El ColCERT, equipo de respuesta a emergencias cibernéticas de Colombia, alertó por correos con falsas tutelas y citaciones judiciales. Los mensajes llevan archivos que instalan el troyano de acceso remoto XWorm. La alerta AL-20261105-128 es del 5 de noviembre. El ColCERT la difundió en X el lunes 9.
El ColCERT la describe como una campaña de phishing que suplanta instituciones judiciales para distribuir XWorm. Según reportes de prensa sobre la alerta, los mensajes llegan a entidades públicas y empresas del país. Traen asuntos urgentes sobre tutelas, procesos disciplinarios, sentencias o contratos.
La señal más clara está en el archivo. Según esos reportes, los adjuntos terminan en .js o .vbs, aunque el nombre diga «PDF» o «tutela». Entre los ejemplos citados están ACTA_NOTIFICA_TUTELA.js y NOTIFICA_ACTO_PROCESO_TUTELA_PDF.js. Pueden venir adjuntos, dentro de un .zip o como enlace en un servicio legítimo. Un documento judicial real no termina en .js ni en .vbs.
Al abrir el archivo, según esos reportes, se instala XWorm 7.2 en equipos con Windows. Ese programa permite el control remoto del computador. También puede robar credenciales, registrar lo que se teclea, propagarse por memorias USB y descargar otros módulos.
La alerta no atribuye el ataque a ningún grupo ni país, y no hay cifras públicas de organizaciones afectadas.
Una notificación judicial por correo electrónico sí es legal. La permite el artículo 8 de la Ley 2213 de 2022. Por eso el consejo no es ignorar todo mensaje de un juzgado, sino verificarlo por un canal oficial. Si te llega uno, puedes consultar el proceso en el portal de consulta de procesos de la Rama Judicial.
Estas son las recomendaciones para quien recibe esos correos:
– No ejecutes archivos .js o .vbs. Si necesitas revisarlos, ábrelos solo con un editor de texto.
– Revisa el dominio del remitente y desconfía de la urgencia.
– Si ya abriste el archivo, avisa de inmediato al área de tecnología de tu empresa.
Para las áreas de TI, los reportes sugieren restringir PowerShell. También recomienda activar alertas cuando wscript, cscript o powershell lancen RegAsm.exe o MSBuild.exe. El ColCERT atiende en la línea +57 601 344 2222.
Los señuelos judiciales no son nuevos. En agosto, la Secretaría de Seguridad de Bogotá advirtió por otra campaña de citaciones falsas. Pidió revisar que el mensaje traiga el nombre completo del destinatario y un dominio oficial, como @dian.gov.co o @policia.gov.co. En esa ocasión, quien abriera un archivo debía borrarlo, cambiar sus claves y denunciar ante la Policía.
Fuentes: ColCERT (MinTIC), Ley 2213 de 2022, Secretaría de Seguridad de Bogotá.
