Esta campaña, que fue reportada originalmente a través de X por el usuario DaveTheResearcher, es un ejemplo de sitios falsos cuya URL presenta variaciones imperceptibles con respecto al oficial y que a simple vista parecen legítimos. En el caso de CapCut, el sitio oficial tiene el siguiente dominio www.capcut.com, mientras que la URL de la página falsa agrega la letra i al final de la palabra cut: www.capcuti.com.

“Probablemente este sitio falso haya sido promovido a través de anuncios en los resultados de Google para intentar engañar a usuarios desprevenidos que hacen clic en los primeros resultados. Otra posibilidad es que se haya distribuido a través de anuncios en redes sociales, algo que ya hemos visto en el pasado con otras páginas falsas que se hacían pasar por CapCut”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Además de la URL, desde ESET advierten que los cibercriminales también tomaron recaudos a la hora de diseñar el sitio apócrifo y utilizaron una estética similar a la del sitio oficial para hacer que su engaño sea aún más creíble. Al comparar la página oficial con la del sitio falso se observa similitud de estilos.

Imagen referencial suministrada por ESET y Comstat Rowland

Suplantan identidad de CapCut

Analizando el sitio falso, ESET identificó que el certificado utilizado por los cibercriminales para el protocolo HTTPS es válido desde el 08-04-2025 hasta el 07-07-2025. Esta información da una idea de la posible duración de la campaña maliciosa y representa, además, otro indicio para cuestionar la legitimidad del sitio.

Como parte de la investigación, el equipo de ESET descargó desde el sitio falso el supuesto instalador de CapCut. Al hacer clic en el botón “Download for Windows” se bajó un archivo comprimido en formato .zip que contiene un ejecutable con nombre Installer-<NUMERO_INSTALACION>.exe  y una carpeta llamada AppData. Este archivo ejecutable se trataba de un instalador NSIS que contenía un script que se utiliza para instalar y ejecutar archivos en la máquina de la víctima.  

“Este caso es un ejemplo más de cómo los cibercriminales aprovechan la popularidad de apps y software muy populares como el editor de videos CapCut para crear sitios falsos similares al oficial y de esta manera distribuir malware. También es un buen ejemplo de la capacidad y calidad de los sitios que crean los cibercriminales, con diferencias muy sutiles y que fácilmente podrían engañar. Por otro lado, si se trata de una app para dispositivos móviles, siempre puede hacer caer en la trampa a quienes no presten la debida atención”, concluye Gutiérrez Amaya de ESET.

Para no ser víctimas de este tipo de engaños desde ESET aconsejan, en primer lugar, no confiar ciegamente en los primeros resultados de Google o en sitios a los que se llega por anuncios en redes sociales. En segundo lugar, analizar la URL del sitio y hacer una segunda búsqueda ante la duda.  Por último, instalar en los dispositivos un software antimalware que identifique sitios falsos y los bloquee, pero que además detecte y bloquee cualquier archivo malicioso que se intenta ejecutar en el equipo, ya sea en una computadora o en un teléfono móvil.

Para obtener más información preventiva en materia de ciberseguridad, puede visitar el sitio web de ESET: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Fuente de imagen referencial principal: Jakob Owens en Unsplash

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

A continuación, ESET comparte los detalles de este caso que sirve como paradigma para entender como la IA está siendo utilizada como señuelo por los cibercriminales:

El ejemplo, reportado por el usuario de X g0njxa, se centra en el sitio falso “capcutproia”, el cual simula ser una herramienta para crear videos con la ayuda de la Inteligencia Artificial. Al ingresar, se presenta una web muy similar al sitio oficial.

Ya adentro, el paso siguiente que ofrece el sitio es escribir un prompt o bien subir una imagen de referencia para crear el video deseado. El sitio simula que procesa el pedido.

Una vez que termina de procesar el pedido, ofrece descargar el resultado. Al hacer clic en la descarga, se obtiene un archivo llamado “creation_made_by_capcut.mp4 – Capcut.com”.

“Es importante señalar que el archivo que se obtiene de la descarga es un troyano. Es decir, un archivo que dice ser algo que en realidad no es. En este caso puntual el archivo que se presenta como el video generado en realidad descarga una herramienta que permite a un tercero conectarse remotamente en el equipo del usuario. ESET detecta el archivo que se descarga como Win32/RemoteAdmin.ConnectWiseControl.E. Puntualmente en Latinoamérica no se evidenciaron detecciones, pero sí en países como República Checa y Sri Lanka”, indica Camilo Gutierrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Con respecto a la herramienta que descarga el archivo en el equipo de la víctima, se trata de un instalador de una herramienta simil a Teamviewer. Si bien algunas soluciones de seguridad pueden detectar este archivo como una PUA, es decir, un archivo potencialmente malicioso porque se trata de una herramienta legítima, está claro que en el contexto que se descarga el archivo la intención es maliciosa.

“La mayoría de las aplicaciones de control remoto cuentan con la opción de generar un ejecutable preconfigurado para conectarse con una IP o usuario específico, lo cual es útil para la asistencia virtual, pero también para los atacantes. Así, basta con que la víctima abra el archivo, y en dos o tres clicks le dará el control de su equipo al cibercriminal sin saberlo”, advierte Martina López, Investigadora del equipo de Laboratorio de ESET Latinoamérica.

Además de este sitio falso que se hace pasar por CapCut, el o las personas responsables detrás de esta campaña maliciosa también están creando sitios similares que se hacen pasar por herramientas para crear contenido con IA simulando ser de marcas como Canva o Adobe, entre otras. Así lo reportó la empresa Silent Push a través de X, que confirma la existencia de al menos 13 sitios similares. Todos con el mismo comportamiento: hacer creer a las potenciales víctimas que descargan un archivo generado con la herramienta pero en realidad descargan lo que permite el acceso remoto a la máquina del usuario.

Otros sitios de phishing similares

Las campañas que involucran a sitios falsos con el objetivo de obtener información sensible o dinero de sus víctimas son muy comunes. Desde ESET recomiendan incorporar buenos hábitos para saber identificar cuándo se trata de un sitio legítimo, y cuándo no.

Medidas preventivas a tomar en cuenta

1. Siempre verificar que la URL sea legítima y correcta antes de acceder o ingresar datos.

2. Evitar descargas innecesarias en herramientas que funcionan desde la web.

3. Implementar una solución de seguridad, a fin de analizar los archivos descargados antes de ejecutarlos.

4. Estar al día con las novedades y consultar fuentes confiables para conocer las campañas activas y sus posibles riesgos.

Para obtener más información, visite el sitio web de ESET: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET).

DOBLE LLAVE

Con información de ESET y Comstat Rowland Comunicaciones Estratégicas

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos