Cómo eliminar el RAT TELEPUZ del sistema operativo

¿Qué tipo de malware es TELEPUZ?

TELEPUZ es una plataforma modular de Malware-as-a-Service (MaaS) que combina funciones de troyano de acceso remoto (RAT) con capacidades de robo de información. Escrito en C y desplegado como una DLL de Windows de 64 bits, se ejecuta silenciosamente en segundo plano mientras otorga a los atacantes el control remoto total de los sistemas infectados.

Según una investigación publicada por Elastic Security Labs, TELEPUZ se distribuye a través de ClickFix - una técnica de ingeniería social en la que un sitio web malicioso engaña al visitante para que pegue un comando de PowerShell en el cuadro de diálogo Ejecutar, descargando e instalando el malware de forma silenciosa.

Una vez activo, TELEPUZ puede robar credenciales y cookies del navegador, registrar las pulsaciones de teclas, inyectar código en sitios web bancarios, capturar pantallas y permitir que los operadores envíen comandos de forma remota. Admite 36 comandos distintos, lo que otorga a los atacantes un control casi total de un dispositivo comprometido.

Descripción general de TELEPUZ

Elastic Security Labs identificó por primera vez TELEPUZ a finales de abril de 2026, con un volumen de compilaciones que fue creciendo de forma constante a partir de principios de junio. Aparecen nuevas muestras en VirusTotal casi a diario, lo que apunta a un desarrollo activo. El proyecto parece estar gestionado por un equipo pequeño o por un desarrollador individual.

TELEPUZ está estructurado en torno a un núcleo ligero y módulos opcionales que los operadores pueden enviar a los dispositivos infectados bajo demanda. Los módulos confirmados incluyen un keylogger, un ladrón de credenciales de navegador y un inyector web. Cada módulo es un binario independiente que se obtiene del servidor del operador cuando se necesita.

La cadena de distribución ClickFix comienza en una página web comprometida o controlada por el atacante. Cuando la víctima ejecuta el comando de PowerShell pegado, se descarga una variante del stealer VIDAR basada en Go como cargador inicial. Ese cargador recupera y ejecuta a continuación el stager de TELEPUZ y su carga útil principal desde dominios controlados por el atacante.

Capacidades de TELEPUZ

TELEPUZ admite 36 comandos remotos que abarcan una amplia gama de acciones maliciosas. Los operadores pueden realizar inyección de procesos, enumerar y terminar procesos, cargar o descargar archivos, capturar capturas de pantalla, ejecutar comandos de shell y escalar privilegios a nivel de Administrador o SYSTEM.

El módulo inyector web utiliza el Chrome DevTools Protocol y la interfaz Firefox WebDriver BiDi para interceptar y modificar páginas dentro del navegador de la víctima en tiempo real. Esto permite al atacante alterar de forma silenciosa las páginas de sitios bancarios y financieros; por ejemplo, intercambiar campos de entrada para capturar las credenciales tecleadas sin que el usuario note nada extraño.

El módulo stealer extrae las cookies guardadas de los navegadores basados en Chromium y de Firefox. El módulo keylogger registra todo lo que el usuario teclea. Todos los datos capturados se envían de vuelta al operador a través del canal de comando y control del malware.

Comunicación de comando y control

TELEPUZ se comunica con sus operadores mediante WebSocket, con cifrado TLS opcional. Los comandos y las respuestas siguen una estructura JSON. A cada dispositivo infectado se le asigna un ID de sesión único derivado de los números de serie del hardware, el nombre del equipo y la fecha de instalación del sistema operativo.

Si el servidor principal deja de estar accesible, TELEPUZ recurre a obtener direcciones de servidor actualizadas de un canal de Telegram, de páginas de perfil de Steam o de registros DNS. También puede consultar un contrato inteligente de la blockchain Polygon como último recurso. Estas múltiples rutas de reserva lo hacen resistente frente a la desarticulación de infraestructuras.

Persistencia y evasión de defensas

TELEPUZ se instala como un servicio de Windows llamado CipherAllocator para sobrevivir a los reinicios. También modifica el Registro de Windows como mecanismo de persistencia secundario, lo que hace que la simple eliminación a nivel de proceso sea insuficiente para limpiar completamente el sistema.

Para evadir el software de seguridad, TELEPUZ modifica en memoria la Antimalware Scan Interface (AMSI) y ETW (Event Tracing for Windows), y reemplaza la biblioteca NTDLL con una copia limpia del disco para eliminar los hooks colocados por las herramientas de seguridad. Estos pasos impiden que el software antivirus supervise la actividad del malware.

Antes de ejecutar su código principal, TELEPUZ realiza una serie de comprobaciones antianálisis. Lee el número de núcleos de la CPU, el tamaño de la RAM y el espacio en disco para detectar máquinas virtuales de uso común entre los investigadores de seguridad. También busca nombres de usuario, nombres de equipo e identificadores de hipervisor de sandbox conocidos, y detecta puntos de interrupción de hardware.

El filtrado geográfico impide que TELEPUZ se ejecute en sistemas con una configuración regional de un país de la CEI. Un bypass del Control de cuentas de usuario (UAC) mediante elevación COM y la interfaz ALPC de AppInfo permite la escalada de privilegios sin activar un aviso de Windows. Las llamadas al sistema indirectas, la ofuscación con instrucciones basura y el cifrado personalizado de cadenas RC4 completan su conjunto de herramientas de evasión.

Conclusión

TELEPUZ concede a los atacantes un acceso profundo a los dispositivos infectados. Su combinación de control RAT, robo de credenciales e inyección web significa que los operadores pueden supervisar a las víctimas, recolectar credenciales de cuentas, interceptar la actividad bancaria y desplegar cargas útiles adicionales en cualquier momento.

La resistente infraestructura de comando y control del malware, sus amplias capacidades de evasión y su desarrollo activo lo convierten en una amenaza grave. Las víctimas corren el riesgo de sufrir robo de identidad, fraude financiero, secuestro de cuentas e infecciones de malware adicionales. TELEPUZ debe eliminarse de inmediato de cualquier sistema infectado.

Más ejemplos de malware clasificado como RAT son Starland, DenoRAT y MODBEACON.

¿Cómo se infiltró TELEPUZ en mi equipo?

Según la investigación de Elastic Security Labs, TELEPUZ se distribuye a través de una cadena ClickFix de varias etapas. Las víctimas visitan un sitio web comprometido o creado por el atacante que muestra una página falsa de error o de verificación. Esa página indica al usuario que abra el cuadro de diálogo Ejecutar, pegue un comando de PowerShell precargado en el portapapeles y lo ejecute.

Ejecutar el comando establece contacto con un servidor controlado por el atacante y descarga una variante del stealer VIDAR basada en Go como cargador de primera etapa. Ese cargador recupera y ejecuta a continuación el stager de TELEPUZ y su DLL de carga útil principal desde dominios comprometidos, íntegramente en memoria. La víctima no ve ningún instalador ni advertencia en ningún momento del proceso.

Además de ClickFix, este tipo de amenazas también se propaga mediante correos electrónicos de phishing, páginas falsas de descarga de software, contenido pirateado y cracks de software. Mantenerse alejado de las fuentes de descarga no oficiales y estar atento a avisos inesperados reduce considerablemente el riesgo de infección.

¿Cómo evitar la instalación de malware?

Desconfíe de cualquier página web o mensaje que le pida abrir PowerShell, el cuadro de diálogo Ejecutar o un símbolo del sistema y pegar en él un comando. Los servicios e instaladores de software legítimos nunca le pedirán que haga esto. Descargue programas únicamente desde los sitios web oficiales de los desarrolladores y tiendas de aplicaciones de confianza, y evite el contenido pirateado, los generadores de claves y las herramientas de activación no oficiales.

Mantenga actualizados su sistema operativo y todos los programas instalados para parchear las vulnerabilidades de seguridad conocidas. Evite hacer clic en anuncios y ventanas emergentes en sitios desconocidos, y rechace las solicitudes de notificaciones del navegador de páginas que no reconozca. Utilice una solución de seguridad de confianza y realice análisis periódicos. Si cree que su equipo ya está infectado, le recomendamos ejecutar un análisis con Combo Cleaner Antivirus para Windows para eliminar automáticamente el malware infiltrado.

Página CAPTCHA falsa utilizada para distribuir TELEPUZ (fuente: elastic.co):

Cadena de infección de TELEPUZ (fuente: elastic.co):

Eliminación automática instantánea de malware:

La eliminación manual de amenazas puede ser un proceso largo y complicado que requiere conocimientos informáticos avanzados. Combo Cleaner es una herramienta profesional para eliminar malware de forma automática, que está recomendado para eliminar malware. Descárguelo haciendo clic en el siguiente botón:

Si decide descargar este programa, quiere decir que usted está conforme con nuestra Política de privacidad y Condiciones de uso. Para usar el producto con todas las funciones, debe comprar una licencia para Combo Cleaner. 7 días de prueba gratuita limitada disponible. Combo Cleaner es propiedad y está operado por RCS LT, la empresa matriz de PCRisk.

Menú rápido:

• ¿Qué es TELEPUZ?
• PASO 1. Eliminación manual del malware TELEPUZ.
• PASO 2. Compruebe si su equipo está limpio.

¿Cómo eliminar malware manualmente?

La eliminación manual de malware es una tarea complicada; normalmente es mejor permitir que los programas antivirus o antimalware lo hagan de forma automática. Para eliminar este malware, recomendamos usar Combo Cleaner Antivirus para Windows.

Si desea eliminar el malware manualmente, el primer paso es identificar el nombre del malware que intenta eliminar. Aquí tiene un ejemplo de un programa sospechoso ejecutándose en el equipo de un usuario:

Si ha revisado la lista de programas que se ejecutan en su equipo, por ejemplo, utilizando el administrador de tareas, e identificado un programa que parece sospechoso, debe continuar con estos pasos:

Descargue un programa llamado Autoruns. Este programa muestra las aplicaciones de inicio automático, el Registro y las ubicaciones del sistema de archivos:

Reinicie su equipo en Modo seguro:

Usuarios de Windows XP y Windows 7: Inicie su equipo en Modo seguro. Haga clic en Inicio, haga clic en Apagar, haga clic en Reiniciar, haga clic en Aceptar. Durante el proceso de arranque del equipo, presione la tecla F8 en su teclado varias veces hasta que aparezca el menú de Opciones avanzadas de Windows, y luego seleccione Modo seguro con funciones de red de la lista.

Vídeo que muestra cómo iniciar Windows 7 en «Modo seguro con funciones de red»:

Usuarios de Windows 8: Inicie Windows 8 en Modo seguro con funciones de red - Vaya a la pantalla de Inicio de Windows 8, escriba Avanzado, en los resultados de búsqueda seleccione Configuración. Haga clic en Opciones de inicio avanzadas, en la ventana «Configuración general del equipo» que se abre, seleccione Inicio avanzado.

Haga clic en el botón «Reiniciar ahora». Su equipo se reiniciará ahora en el «menú de opciones de inicio avanzado». Haga clic en el botón «Solucionar problemas» y luego haga clic en el botón «Opciones avanzadas». En la pantalla de opciones avanzadas, haga clic en «Configuración de inicio».

Haga clic en el botón «Reiniciar». Su PC se reiniciará en la pantalla de Configuración de inicio. Presione F5 para arrancar en Modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 8 en «Modo seguro con funciones de red»:

Usuarios de Windows 10: Haga clic en el logotipo de Windows y seleccione el icono de Encendido. En el menú que se abre, haga clic en «Reiniciar» mientras mantiene presionada la tecla «Shift» de su teclado. En la ventana «elegir una opción», haga clic en «Solucionar problemas» y, a continuación, seleccione «Opciones avanzadas».

En el menú de opciones avanzadas, seleccione «Configuración de inicio» y haga clic en el botón «Reiniciar». En la ventana siguiente, debe hacer clic en el botón «F5» de su teclado. Esto reiniciará su sistema operativo en modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 10 en «Modo seguro con funciones de red»:

Extraiga el archivo descargado y ejecute el archivo Autoruns.exe.

En la aplicación Autoruns, haga clic en «Options» en la parte superior y desmarque las opciones «Hide Empty Locations» y «Hide Windows Entries». Después de este procedimiento, haga clic en el icono «Refresh».

Revise la lista proporcionada por la aplicación Autoruns y localice el archivo de malware que desea eliminar.

Debe anotar su ruta y nombre completos. Tenga en cuenta que algunos programas maliciosos ocultan sus nombres de proceso bajo nombres de procesos legítimos de Windows. En esta etapa, es muy importante evitar eliminar archivos del sistema. Después de localizar el programa sospechoso que desea eliminar, haga clic con el botón derecho del ratón sobre su nombre y elija «Delete».

Después de eliminar el malware mediante la aplicación Autoruns (esto garantiza que el malware no se ejecute automáticamente en el próximo inicio del sistema), debe buscar el nombre del malware en su equipo. Asegúrese de habilitar los archivos y carpetas ocultos antes de continuar. Si encuentra el nombre de archivo del malware, asegúrese de eliminarlo.

Reinicie su equipo en modo normal. Seguir estos pasos debería eliminar cualquier malware de su equipo. Tenga en cuenta que la eliminación manual de amenazas requiere conocimientos informáticos avanzados. Si no posee estos conocimientos, deje la eliminación de malware a los programas antivirus y antimalware.

Es posible que estos pasos no funcionen con infecciones de malware avanzadas. Como siempre, es mejor prevenir la infección que intentar eliminar el malware más tarde. Para mantener su equipo seguro, instale las últimas actualizaciones del sistema operativo y utilice software antivirus. Para asegurarse de que su equipo esté libre de infecciones de malware, recomendamos analizarlo con Combo Cleaner Antivirus para Windows.

Preguntas frecuentes (FAQ)

Mi equipo está infectado con el malware TELEPUZ, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Formatear el dispositivo de almacenamiento eliminará TELEPUZ, pero también borrará todos los archivos de la unidad. Ejecutar una herramienta de seguridad de confianza como Combo Cleaner suele ser el primer paso más seguro y evita la pérdida permanente de datos.

¿Cuáles son los mayores problemas que puede causar el malware TELEPUZ?

TELEPUZ puede dar a los atacantes el control remoto completo de un dispositivo infectado, robar credenciales del navegador y cookies de sesión, interceptar la actividad bancaria mediante inyección web y registrar las pulsaciones de teclas. Esto puede provocar el secuestro de cuentas, el robo de identidad, transacciones financieras no autorizadas e instalaciones de malware adicionales.

¿Cuál es el propósito del malware TELEPUZ?

TELEPUZ está diseñado para dar a los atacantes acceso remoto persistente a los sistemas infectados. Su diseño modular permite a los operadores robar credenciales, supervisar la actividad del usuario mediante un keylogger, manipular las páginas de sitios web financieros para capturar datos bancarios y enviar cargas útiles adicionales según sea necesario.

¿Cómo se infiltró el malware TELEPUZ en mi equipo?

Según Elastic Security Labs, TELEPUZ se propaga a través de ClickFix, una técnica en la que sitios web maliciosos engañan a los usuarios para que peguen y ejecuten un comando de PowerShell. Ese comando descarga e instala el malware sin que se requiera ninguna otra acción por parte de la víctima.

¿Me protegerá Combo Cleaner del malware?

Sí. Combo Cleaner puede detectar y eliminar la mayoría del malware conocido, incluido TELEPUZ. Dado que este malware utiliza técnicas de evasión avanzadas, se recomienda ejecutar un análisis completo del sistema para asegurarse de que la infección se ha eliminado por completo.