La notificación que no era un PDF
WatchGuard publicó el 22 de octubre una investigación sobre tres campañas que combinan phishing, VBScript ofuscado y componentes legítimos de Windows para ocultar malware. El caso más definido usa correos que imitan avisos de protesto notarial en Brasil y termina desplegando Overlord RAT; en los otros dos, la telemetría descrita por la investigación observa víctimas principalmente en Portugal.
La historia importa por la combinación, no por una técnica inédita aislada. El mensaje parece administrativo, el dominio puede incluir datos reales de una empresa y el flujo se apoya en servicios cloud, PowerShell, curl o aplicaciones y componentes legítimos. Cada paso intenta parecer una actividad normal.
El señuelo aprovecha una preocupación real
Los correos se presentaban como comunicaciones de cartórios de protesto, instituciones brasileñas relacionadas con el registro de impagos. WatchGuard identificó ocho dominios fraudulentos que imitaban a oficinas de distintos estados. Los enlaces incluían un número CNPJ válido, el identificador nacional de una persona jurídica, para que el supuesto documento pareciera personalizado.
El organismo de Cartórios de Protesto de Goiás ya había advertido de fraudes que usaban su nombre, dominios parecidos y datos públicos de empresas. Ese contexto no demuestra que cada correo procediera de la misma infraestructura, pero explica por qué el señuelo resulta creíble.