Cracks y activadores falsos: Microsoft halló instaladores que pueden usar tu PC como proxy
Los cracks y activadores falsos vuelven a ser el anzuelo. Microsoft Threat Intelligence publicó el 3 de noviembre de 2026 el detalle de una campaña de descargas falsas que apunta a quien busca software crackeado, juegos gratis, activadores, plugins y utilidades no oficiales. Lo que se baja es un instalador troyanizado que, en una sola sesión de instalación, mete uno o más programas que hacen plata con tu PC: un agente que hace pasar tráfico de internet de terceros por tu conexión, software de cómputo distribuido que usa tu procesador para otros o utilidades de tipo adware. En los casos que describe Microsoft, cada señuelo dio una rama distinta: el falso Navicat instaló el proxy y el falso FabFilter, el software de cómputo. Según Microsoft, todo eso se instala muchas veces sin que el usuario lo sepa ni lo haya aceptado de manera informada.
A quién le afecta: a cualquiera con Windows que baje cracks, activadores, juegos o «executors» de Roblox (programas para correr trucos en el juego) de sitios que no son los oficiales. Entre los señuelos que vio Microsoft hay plugins de audio crackeados (un «FabFilter Total Bundle»), un «Navicat Premium crack», juegos de PC como Command & Conquer: Red Alert 2, auto-clickers, herramientas de drivers y de desbloqueo de celulares. Microsoft no dice cuántos equipos cayeron ni en qué países, así que no hay datos de América Latina; el riesgo es para cualquiera que use esas descargas, esté donde esté.
Qué hacer hoy:
- No bajes cracks, generadores de claves ni activadores. Es la primera recomendación de Microsoft en el informe, y no es moralina: es el canal de entrada de esta campaña.
- Revisá que Windows bloquee las aplicaciones potencialmente no deseadas. En Seguridad de Windows > Control de aplicaciones y navegador > Configuración de protección basada en reputación (en inglés, App & browser control > Reputation-based protection settings; los nombres en español pueden variar según la versión), dejá activado el bloqueo de aplicaciones potencialmente no deseadas, con las dos opciones: bloquear aplicaciones y bloquear descargas. Microsoft recomienda las dos y aclara que la de descargas funciona solo con Edge. No asumas que viene encendido: una página de soporte de Microsoft dice que está desactivado de forma predeterminada y otra, que lo encendió por defecto desde agosto de 2021 (las dos están escritas para Windows 10). Mirarlo es un momento. Ojo: si Windows detecta una de estas aplicaciones, la bloquea pero no la borra hasta que elijas qué hacer desde la notificación. En la misma app, en la configuración de la protección contra virus y amenazas, dejá activadas también la protección en la nube y la protección contra alteraciones: Microsoft recomienda las dos en el informe.
- Si ya corriste uno de estos instaladores, buscá en la lista de programas instalados de Windows los que no instalaste vos: WorldProxyPool, CharityEngine, BOINC, VirtualBox, AW Manager o Windows Manager (que instala un «Windows Updater.exe» que, por el nombre, se puede confundir con Windows Update). En el Programador de tareas, buscá tareas llamadas WorldProxyPoolAgent, WorldProxyPoolWatchdog o WorldProxyPoolUpdater. Después, un análisis completo: el examen completo de Seguridad de Windows es gratis, y si usás otro antivirus, el suyo. Ojo: BOINC y VirtualBox son programas legítimos; si los instalaste vos a propósito, no son la señal.
Cómo funciona la trampa, según Microsoft
Microsoft describe una cadena de cuatro pasos:
- El señuelo. Ejecutás un instalador que se presenta como el crack, el juego o la utilidad que buscabas.
- El envoltorio. El instalador imita el estilo de Inno Setup, un formato de instalador legítimo, y lanza etapas temporales desde la carpeta
%TEMP%. - Las «ofertas». Esas etapas consultan servidores que van rotando y piden qué instalar. El propio sistema llama «ofertas» a cada programa que entrega, y registra cuáles se instalaron y cuáles fallaron.
- La instalación silenciosa. Los programas se instalan con modificadores de instalación desatendida (
/S,/quiet,/qn), o sea, sin ventanas que te pregunten nada.
Qué le instala a tu PC
| Rama | Qué hace con tu PC | Qué buscar |
|---|---|---|
| Proxy (WorldProxyPool) | Instala un agente que hace pasar tráfico de internet de terceros por tu equipo. Crea tres tareas programadas con privilegios de sistema: una al encender la PC, un vigilante cada cinco minutos y un actualizador cada hora. | La carpeta C:\Program Files\WorldProxyPool y las tareas WorldProxyPool en el Programador de tareas. |
| Cómputo (CharityEngine y BOINC) | Instala software de cómputo distribuido, más VirtualBox, para usar la capacidad de procesamiento de tu equipo. | Las carpetas C:\Program Files\BOINC y C:\ProgramData\BOINC, si no las instalaste vos. |
| Adware (AW Manager / Windows Manager) | Instala utilidades con aspecto de actualizador que tampoco pediste. | Una carpeta AW Manager, en rutas como %APPDATA%\AW Manager (escribí %APPDATA% en la barra de direcciones del Explorador) o C:\Program Files (x86)\AW Manager. |
Un matiz que el propio Microsoft subraya: estos productos y componentes pueden tener usos legítimos. El problema que señala es que llegan escondidos dentro de un paquete engañoso, sin un consentimiento informado, y eso trae riesgos de seguridad y de privacidad. Traducido: el crack «gratis» lo terminás pagando con tu conexión, tu procesador y tu electricidad, y alguien más cobra.
Lo que el informe no dice
- Cuántas PC cayeron ni dónde. No hay cifras de víctimas ni países.
- Desde cuándo. Microsoft la llama una campaña «en evolución», sin fecha de inicio.
- Dónde se promocionan los señuelos. El informe muestra la imagen de un señuelo de ejemplo, pero no nombra sitios.
- Qué pasa con otros antivirus. El informe es de Microsoft, que vende Defender, y las detecciones que lista son las de su antivirus (por ejemplo,
Trojan:Win64/OfferLoaderyAdware:Win32/Clover). No dice nada de otros productos. Sí cuenta que algunas instalaciones fallaron con un mensaje de que el archivo tenía un virus o software potencialmente no deseado, o sea que a veces la protección ya las frena.
Si querés una segunda capa de análisis
Fuentes
- Microsoft Security Blog, «Fake-download campaign uses trojanized installers to deliver monetization payloads» (en inglés), Microsoft Threat Intelligence, 3 de noviembre de 2026. La cadena, los señuelos, las tres ramas, las detecciones y las recomendaciones.
- Soporte de Microsoft, «Protect your PC from potentially unwanted applications» (en inglés), consultada el 3 de noviembre de 2026. Dónde se configura el bloqueo y qué hace cada opción.
- Soporte de Microsoft, «Potentially unwanted apps are blocked by default» (en inglés), consultada el 3 de noviembre de 2026.
- Créditos de imagen: imagen oficial del informe de Microsoft Security y logo de Microsoft, usados en un fotomontaje editorial asistido por IA.
