Este software malicioso puede infiltrarse en sistemas Windows usando archivos que parecen legítimos y operar sin ser detectado por herramientas tradicionales.
Se trata de un programa diseñado para instalar una puerta trasera en los equipos con Windows, permitiendo que los ciberdelincuentes tomen control remoto del sistema sin que el usuario se dé cuenta.
A diferencia de los virus tradicionales, este malware se ejecuta de manera silenciosa, sin mostrar alertas ni ventanas sospechosas, lo que dificulta enormemente su detección.
La infección suele comenzar con un email cuidadosamente dirigido a la víctima, que incluye un archivo comprimido aparentemente inocuo. Dentro, se encuentra un programa que imita una aplicación legítima para trabajar con documentos PDF, pero que ha sido modificado para permitir el acceso no autorizado.
Al ejecutarlo esta app el usuario activa sin saberlo el malware, poniendo en riesgo su información y la seguridad de la red a la que está conectado.
El método que hace tan difícil su detección se llama ‘DLL Side‑Loading’. Los programas de Windows dependen de pequeños archivos de software llamados DLL. PDFSIDER reemplaza una de estas DLL legítimas por una versión manipulada. Cuando el programa se inicia, carga el archivo malicioso en lugar del original, otorgando al atacante acceso completo al sistema.
Además, la herramienta maliciosa se ejecuta en la memoria del equipo y cifra su comunicación con los servidores de control, lo que complica todavía más su análisis.
Por qué es tan peligroso
Una vez instalado, PDFSIDER puede recopilar información del equipo, ejecutar órdenes remotas y enviar los resultados a los atacantes sin levantar sospechas.
Su nivel de sofisticación hace que muchos expertos lo consideren similar a herramientas utilizadas en campañas de espionaje digital muy organizadas e incluso respaldadas por grupos con amplios recursos.
El motivo por el que los antivirus y sistemas EDR suelen fallar es que estos se basan en firmas conocidas o patrones de comportamiento evidentes. PDFSIDER evita ambas defensas: la aplicación principal parece auténtica, su código malicioso se mueve en la memoria y su tráfico cifrado se confunde con comunicaciones normales.
Además, esta amenaza incluye mecanismos para no ejecutarse en entornos de análisis o laboratorios de seguridad, lo que dificulta su estudio y eliminación.
Afortunadamente, existen medidas que reducen el riesgo de infección. Entre ellas los expertos destacan no abrir archivos adjuntos de remitentes desconocidos, mantener el sistema operativo y el software actualizados y vigilar cualquier actividad inusual en la red, especialmente conexiones cifradas en puertos poco habituales. También es recomendable configurar soluciones de seguridad que detecten comportamientos atípicos, como la carga de DLL no estándar.
Acerca del autor
