Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Boxter es un troyano que lleva tiempo circulando y que afecta tanto a sistemas Windows como Android. Está diseñado para colarse en los dispositivos, muchas veces engañando a los usuarios, y luego crear puertas traseras, robar información o descargar otras cargas maliciosas. Piensa en él como un invitado no deseado que no solo se queda más tiempo del debido, sino que también abre todas tus puertas para que entren sus amigos de dudosa reputación.
¿Qué es el malware Boxter?
Boxter es una clasificación para una familia de malware troyano que ataca principalmente a los sistemas operativos Windows y Android. No tiene un solo truco: las distintas variantes tienen objetivos diferentes. Algunas versiones, como Trojan.Win32.Boxter, se enfocan en crear puertas traseras en PC con Windows y robar información del sistema. Otras, como Trojan.PS1.Boxter, son scripts basados en PowerShell que se usan para descargar y ejecutar otro malware. En dispositivos móviles, la variante Android.Boxer se hace pasar por una app legítima para enviar mensajes SMS de tarificación especial sin el consentimiento del usuario, generando cargos para la víctima.
Su propósito principal es establecer un punto de entrada inicial en un sistema, que luego puede usarse para actividades maliciosas adicionales. Entre sus alias conocidos se incluyen Trojan:PowerShell/Boxter, Trojan.Win32.Boxter.reg y Trojan:AndroidOS/Boxer.
¿Cuándo se descubrió Boxter por primera vez?
La familia Boxter lleva más de una década activa. Las variantes para Android, como Trojan-AndroidOS.Boxer.a, se identificaron por primera vez alrededor de 2012. Los investigadores de seguridad han documentado versiones para Windows durante un período similar, con nuevas variantes y scripts que aparecen periódicamente. Esta longevidad demuestra que sus tácticas principales, aunque no son innovadoras, siguen siendo efectivas.
¿Quién creó Boxter?
Se desconocen las identidades y el número de personas detrás de Boxter. Como muchas familias de malware extendidas, probablemente sea obra de varios actores de amenazas o grupos que han modificado y reutilizado el código a lo largo de los años. La disponibilidad del malware en foros clandestinos contribuye a su uso generalizado por parte de diversos actores maliciosos con distintas motivaciones.
¿A qué ataca Boxter?
Boxter tiene un objetivo amplio. Las variantes para Windows afectan a una gran variedad de sistemas, desde PC de usuarios individuales hasta estaciones de trabajo corporativas. No son selectivas y pueden infectar cualquier máquina vulnerable a la que tengan acceso. Las variantes basadas en PowerShell son especialmente preocupantes para las empresas, ya que pueden usarse en ataques dirigidos a redes empresariales.
Las versiones para Android se dirigen específicamente a usuarios móviles, aprovechándose de quienes descargan apps de tiendas de aplicaciones no confiables de terceros. A nivel geográfico, se han reportado infecciones en todo el mundo, lo que convierte a esta amenaza en un problema global.
Método de distribución de Boxter
Boxter se propaga mediante varios métodos comunes pero efectivos. Veamos cuáles son:
Spam y correos de phishing: Un clásico, y con razón. Los usuarios reciben correos con archivos adjuntos maliciosos disfrazados de documentos legítimos (facturas, avisos de envío, etc.) o enlaces a sitios web comprometidos.
Paquetes maliciosos: El malware suele venir empaquetado con software de apariencia legítima, especialmente freeware o programas pirateados descargados de fuentes dudosas. Cuando el usuario instala el programa deseado, Boxter se instala en segundo plano.
Tiendas de aplicaciones de terceros: Para la versión de Android, el principal vector son las tiendas de aplicaciones no oficiales. Los actores de amenazas suben una app comprometida que contiene el troyano Boxer. Los usuarios desprevenidos la descargan, otorgándole permisos que le permiten enviar mensajes SMS de tarificación especial.
Análisis técnico del malware Boxter
Una vez en un sistema, Boxter se pone a trabajar. Aunque los detalles varían según la versión, la cadena de ataque general es bastante sencilla.
Una infección suele comenzar cuando un usuario ejecuta un archivo malicioso. Por ejemplo, una variante de Boxter basada en PowerShell (Trojan:PowerShell/Boxter.A) ejecuta un script que se conecta a un servidor de comando y control (C2). Luego descarga y ejecuta un payload de segunda etapa, que puede ser desde spyware hasta ransomware.
La variante Trojan.Win32.Boxter.reg agrega y modifica claves del registro para asegurarse de ejecutarse cada vez que el sistema inicia. Esto le permite mantener persistencia. También crea una puerta trasera que permite a un atacante remoto obtener acceso y control sobre el equipo comprometido. Luego puede robar archivos, instalar más malware o usar el dispositivo como parte de un botnet.
La versión para Android se centra en el fraude financiero. Después de instalarse, usa los permisos que se le otorgaron para enviar en secreto mensajes SMS a números de tarifa premium propiedad de los atacantes. La víctima a menudo no se da cuenta hasta que recibe una factura telefónica sorprendentemente alta.
Tácticas, técnicas y procedimientos (TTPs)
Boxter utiliza varias técnicas de MITRE ATT&CK, entre ellas:
T1566 - Phishing: Usa correos electrónicos engañosos para entregar el payload inicial.
T1059.001 - Command and Scripting Interpreter: PowerShell: Ejecuta comandos y scripts maliciosos para descargar más payloads.
T1112 - Modify Registry: Altera claves del Registro de Windows para lograr persistencia.
T1547.001 - Boot or Logon Autostart Execution: Registry Run Keys: Se agrega a las claves de ejecución del registro para asegurarse de ejecutarse al inicio.
T1027 - Obfuscated Files or Information: Oculta su código malicioso para evadir la detección del software de seguridad.
Indicadores de compromiso (IoCs)
Detectar Boxter implica buscar artefactos y comportamientos específicos. Aunque los IoCs cambian a medida que el malware evoluciona, aquí hay algunos patrones comunes a tener en cuenta:
Hashes:
18349091873b2a265691456950294154c14771e4 (Trojan.PS1.BOXTER.A)
40F83A387E85501B4B642C06A9331FC6 (Trojan.Win32.BOXTER.REG)
Modificaciones del registro: Creación de entradas nuevas en HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run diseñadas para ejecutar el malware al inicio.
Tráfico de red: Conexiones salientes inusuales a direcciones IP o dominios desconocidos, especialmente a través de procesos de PowerShell.
Artefactos del sistema de archivos: Creación de archivos .dll o .exe sospechosos en carpetas temporales o directorios de usuario.
Cómo saber si estás infectado con Boxter
Detectar una infección de Boxter puede ser complicado, ya que intenta pasar desapercibido. Sin embargo, hay algunas señales reveladoras:
Lentitud inesperada del sistema: Tu computadora se vuelve de repente más lenta de lo habitual, ya que el malware consume recursos en segundo plano.
Actividad de red extraña: Tu firewall o tus herramientas de monitoreo de red marcan conexiones salientes de aplicaciones inesperadas, como PowerShell.
Software no autorizado: Encuentras programas instalados en tu computadora que no recuerdas haber descargado.
Facturas telefónicas altas (Android): Un aumento repentino e inexplicable en tu factura de celular es una señal de alerta importante para la variante de Android.
Alertas de seguridad: Tu antivirus o tu solución EDR te alerta sobre la detección de un troyano. ¡No ignores estas alertas!
Instrucciones para eliminar Boxter
Si sospechas una infección de Boxter, debes actuar rápido. Intentar eliminarlo manualmente es arriesgado: podrías pasar por alto archivos residuales o claves del registro, lo que permitiría que reaparezca.
El método más confiable es usar una herramienta confiable de detección y respuesta para endpoints (EDR). Una solución EDR puede identificar y poner en cuarentena todos los componentes maliciosos, incluidos archivos, scripts y mecanismos de persistencia. Para los partners que usan Huntress, nuestra plataforma puede detectar automáticamente amenazas como Boxter, y nuestro equipo del SOC disponible 24/7 puede brindar remediación asistida para garantizar que la amenaza se elimine por completo.
Si debes intentar una eliminación manual, desconecta el dispositivo infectado de la red de inmediato para evitar que se propague o se comunique con su servidor C2. Luego, usa un escáner antivirus confiable en modo seguro para encontrar y eliminar los archivos maliciosos. Sin embargo, un formateo completo del sistema y una restauración desde una copia de seguridad confiable es la única forma de estar 100% seguro de que la amenaza desapareció.
¿Boxter sigue activo?
Sí, Boxter sigue activo en 2025. Aunque algunas de las variantes originales están bien documentadas y las herramientas de seguridad modernas las detectan con facilidad, siguen apareciendo nuevas versiones. Los atacantes reempaquetan constantemente el malware y usan scripts actualizados para evadir las defensas. Su simplicidad y capacidad de adaptación significan que probablemente seguirá siendo una amenaza persistente de bajo nivel en el futuro cercano.
Estrategias de mitigación y prevención
Defenderte de Boxter se reduce a buenos fundamentos de ciberseguridad. No necesitas una solución mágica, solo un escudo sólido.
Security Awareness Training: Enseña a los usuarios a desconfiar de los correos no solicitados, en especial los que tienen archivos adjuntos o llamados urgentes a la acción. Un equipo bien capacitado es tu primera línea de defensa.
Detección y respuesta para endpoints (EDR): Implementa una solución EDR para monitorear los endpoints en busca de comportamiento sospechoso. Herramientas como la plataforma Huntress Managed EDR pueden detectar ataques basados en scripts que un antivirus tradicional podría pasar por alto.
Gestión de parches: Mantén actualizados tus sistemas operativos, navegadores y aplicaciones. Muchas variantes de malware aprovechan vulnerabilidades conocidas que ya tienen parche disponible.
Restringe PowerShell: Usa políticas de control de aplicaciones para restringir el uso de PowerShell solo a usuarios y administradores autorizados.
Filtrado de correo: Usa una puerta de enlace de seguridad de correo para analizar y bloquear correos maliciosos antes de que lleguen a la bandeja de entrada de un usuario.
Monitoreo 24/7: Las amenazas no respetan el horario laboral. Tener el centro de operaciones de seguridad (SOC) monitoreando tu entorno las 24 horas, como el que incluye la plataforma Huntress, garantiza que cualquier señal de compromiso se investigue y contenga de inmediato.
Preguntas frecuentes sobre el malware Boxer
Boxter es un tipo de malware troyano que infecta dispositivos Windows y Android. Suele engañar a los usuarios para que lo instalen disfrazándose de un archivo o aplicación legítima. Una vez dentro, puede crear puertas traseras para acceso remoto, robar datos o descargar otro malware.
Boxter se propaga principalmente mediante correos de phishing con archivos adjuntos maliciosos, paquetes de software que incluyen el malware y aplicaciones falsas en tiendas de Android de terceros. Se engaña al usuario para que ejecute el instalador inicial, el cual luego ejecuta el payload malicioso en segundo plano.
Sí, Boxter y sus variantes siguen siendo una amenaza activa. Aunque las versiones antiguas son fáciles de detectar para el software de seguridad, los atacantes siguen creando versiones nuevas con scripts y técnicas de evasión actualizados, lo que lo mantiene como un problema persistente.
La protección requiere un enfoque de varias capas. Esto incluye security awareness training para detectar phishing, implementar una sólida solución de Detección y respuesta para endpoints (EDR), mantener todo el software parchado y restringir herramientas de scripting poderosas como PowerShell.
