Cómo eliminar el falso Xeno RAT del sistema operativo

¿Qué tipo de malware es el falso ejecutor de scripts Xeno?

El falso Xeno es un troyano de múltiples etapas que distribuye una combinación de ladrón de información y troyano de acceso remoto (Remote Access Trojan, RAT). Se hace pasar por un ejecutor de scripts de Roblox llamado «Xeno», una herramienta de trampas promocionada a través de foros de videojuegos y servidores de Discord.

Como ha documentado Bitdefender, el malware (también identificado como «Powercat» en informes de seguridad) roba de forma silenciosa credenciales del navegador, tokens de Discord, monederos de criptomonedas y sesiones de cuentas de juegos, mientras proporciona al atacante acceso remoto en tiempo real a la máquina infectada.

Dado que el cebo es una herramienta de trampas para videojuegos, se dirige principalmente a jugadores más jóvenes que quizá no sospechen que la descarga es dañina. Una vez instalado, el malware se ejecuta en segundo plano sin signos visibles de infección.

Descripción general del malware falso Xeno

La infección se desarrolla en tres etapas. La primera es un ejecutable llamado xeno.exe que extrae un entorno de ejecución de Java empaquetado e inicia la segunda etapa. Esa segunda etapa es un archivo Java fuertemente ofuscado con comprobaciones antianálisis. La tercera etapa es la carga útil principal, almacenada dentro de una carpeta que imita el directorio GameDVR de la Xbox Game Bar y disfrazada como un archivo DLL de Windows.

El malware se conecta al servidor de su operador a través de un canal WebSocket cifrado. La dirección del servidor se calcula dinámicamente en tiempo de ejecución, lo que dificulta bloquear o desmantelar la infraestructura.

Vigilancia y control remoto

Una vez activo, el falso Xeno ofrece al atacante una considerable visibilidad de la máquina de la víctima. Registra las pulsaciones de teclas y la actividad del ratón, toma capturas de pantalla aproximadamente cada medio segundo y transmite el escritorio casi en tiempo real. También admite el acceso a la cámara web.

El atacante puede abrir un shell interactivo de PowerShell o un símbolo del sistema estándar, ejecutar comandos arbitrarios y explorar, subir o descargar archivos del sistema de la víctima. También incorpora una rutina de escalada de privilegios que permite al operador solicitar permisos elevados cuando sea necesario.

Robo de información

El falso Xeno apunta a una amplia variedad de datos guardados. Extrae cookies de Brave, Chrome, Edge, Opera, Opera GX y Vivaldi. Los tokens de Discord se roban tanto de la base de datos del navegador como a través de la API de Discord. Se recopilan las credenciales de sesión de Roblox y Minecraft, junto con tokens de varios clientes de terceros para el lanzador de Minecraft.

En el ámbito financiero, el stealer apunta a monederos de criptomonedas como Exodus, Atomic, Cake Wallet, SafePal, TronWallet y Monero Wallet. También abarca los lanzadores de plataformas de juegos (Steam, Epic Games, Battle.net, Riot Client, Rockstar Games Launcher), varios clientes VPN y herramientas de desarrollo. Los tokens de pago de Microsoft Store almacenados en archivos de caché local pueden exponer los métodos de pago vinculados a la cuenta de Microsoft de la víctima.

Persistencia y evasión de defensas

El falso Xeno sobrevive a los reinicios agregando una clave Run del Registro de Windows llamada «Display Calibration», elegida específicamente para pasar desapercibida y evitar sospechas. Los archivos del malware se colocan en directorios donde el usuario puede escribir, diseñados para parecerse a rutas legítimas de Windows y de la Xbox Game Bar.

Para dificultar el análisis, la carga útil comprueba la presencia de depuradores conectados, IDE de desarrolladores conocidos e indicadores comunes de virtualización. Las comprobaciones del tamaño del disco y de la dirección MAC le ayudan a detectar entornos de sandbox. La carga útil principal de Java está ofuscada mediante la herramienta comercial Allatori, lo que hace que la ingeniería inversa sea considerablemente más difícil.

Conclusión

El falso Xeno es una amenaza grave que combina el robo de credenciales con el acceso remoto completo a la máquina infectada. Puede exponer contraseñas, cuentas de videojuegos, sesiones de Discord, monederos de criptomonedas y datos de pago, al tiempo que permite al atacante observar la pantalla, registrar las pulsaciones de teclas y ejecutar comandos.

Su convincente disfraz como herramienta de trampas hace que sea fácil pasarlo por alto. Cualquiera que haya podido ejecutar un instalador falso de Xeno o un «Xeno executor» desde una fuente no oficial debe eliminar el malware de su sistema de inmediato.

Otros ejemplos de malware clasificado como RAT son Vanta, WARDEN y KuinaExtractor.

¿Cómo se infiltró el falso Xeno en mi equipo?

Según Bitdefender, el falso Xeno ha estado circulando por foros de videojuegos y comunidades de Discord desde al menos principios de 2026, con un notable aumento de actividad a partir de marzo. Se promociona como un ejecutor de scripts «indetectable» de Roblox, empaquetado como un archivo autoextraíble diseñado para parecer un instalador legítimo de Xeno.

Los enlaces de descarga se comparten directamente en servidores de Discord e hilos de foros de videojuegos, donde parecen creíbles dentro de la comunidad. Los jugadores que buscan herramientas de trampas o métodos para eludir los sistemas anti-trampas son los principales objetivos.

De manera más general, este tipo de amenazas también llega a las víctimas a través de correos electrónicos de phishing, sitios de descarga de software falsos, contenido pirateado, publicidad maliciosa y cracks o generadores de claves para software de pago.

¿Cómo evitar la instalación de malware?

Tenga cuidado al descargar software de fuentes no oficiales, en particular herramientas de trampas, mods de juegos o ejecutores compartidos a través de Discord y foros de videojuegos. Descargue aplicaciones únicamente de sitios web oficiales de desarrolladores o plataformas de distribución verificadas. Trate con escepticismo cualquier herramienta «premium» gratuita.

Mantenga actualizados su sistema operativo y todas las aplicaciones instaladas. Utilice un programa de seguridad de confianza y realice análisis completos con regularidad. Evite hacer clic en enlaces o anuncios sospechosos y rechace las solicitudes de notificación de sitios web desconocidos. Si cree que su equipo ya está infectado, le recomendamos ejecutar un análisis con Combo Cleaner Antivirus para Windows para eliminar automáticamente el malware infiltrado.

Sitio engañoso (loudexsecutor[.]com) que promociona la aplicación falsa de Xeno:

Eliminación automática instantánea de malware:

La eliminación manual de amenazas puede ser un proceso largo y complicado que requiere conocimientos informáticos avanzados. Combo Cleaner es una herramienta profesional para eliminar malware de forma automática, que está recomendado para eliminar malware. Descárguelo haciendo clic en el siguiente botón:

Si decide descargar este programa, quiere decir que usted está conforme con nuestra Política de privacidad y Condiciones de uso. Para usar el producto con todas las funciones, debe comprar una licencia para Combo Cleaner. 7 días de prueba gratuita limitada disponible. Combo Cleaner es propiedad y está operado por RCS LT, la empresa matriz de PCRisk.

Menú rápido:

• ¿Qué es el falso Xeno?
• PASO 1. Eliminación manual del malware falso Xeno.
• PASO 2. Comprobar si su equipo está limpio.

¿Cómo eliminar malware manualmente?

La eliminación manual de malware es una tarea complicada; por lo general, es mejor permitir que los programas antivirus o antimalware lo hagan de forma automática. Para eliminar este malware, le recomendamos utilizar Combo Cleaner Antivirus para Windows.

Si desea eliminar el malware manualmente, el primer paso es identificar el nombre del malware que está intentando eliminar. Aquí tiene un ejemplo de un programa sospechoso ejecutándose en el equipo de un usuario:

Si revisó la lista de programas que se ejecutan en su equipo, por ejemplo, utilizando el administrador de tareas, e identificó un programa que parece sospechoso, debe continuar con estos pasos:

Descargue un programa llamado Autoruns. Este programa muestra las aplicaciones de inicio automático, el Registro y las ubicaciones del sistema de archivos:

Reinicie su equipo en Modo seguro:

Usuarios de Windows XP y Windows 7: Inicie su equipo en Modo seguro. Haga clic en Inicio, haga clic en Apagar, haga clic en Reiniciar, haga clic en Aceptar. Durante el proceso de inicio del equipo, presione la tecla F8 del teclado varias veces hasta que aparezca el menú de Opciones avanzadas de Windows y, a continuación, seleccione Modo seguro con funciones de red en la lista.

Vídeo que muestra cómo iniciar Windows 7 en «Modo seguro con funciones de red»:

Usuarios de Windows 8: Iniciar Windows 8 en Modo seguro con funciones de red: vaya a la pantalla de Inicio de Windows 8, escriba Avanzado, en los resultados de la búsqueda seleccione Configuración. Haga clic en Opciones de arranque avanzadas, en la ventana «Configuración general del PC» que se abre, seleccione Inicio avanzado.

Haga clic en el botón «Reiniciar ahora». Su equipo se reiniciará ahora en el «menú de opciones de arranque avanzado». Haga clic en el botón «Solucionar problemas» y, a continuación, haga clic en el botón «Opciones avanzadas». En la pantalla de opciones avanzadas, haga clic en «Configuración de inicio».

Haga clic en el botón «Reiniciar». Su PC se reiniciará en la pantalla de Configuración de inicio. Presione F5 para arrancar en Modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 8 en «Modo seguro con funciones de red»:

Usuarios de Windows 10: Haga clic en el logotipo de Windows y seleccione el icono de Encendido. En el menú que se abre, haga clic en «Reiniciar» mientras mantiene presionada la tecla «Shift» del teclado. En la ventana «elegir una opción», haga clic en «Solucionar problemas» y, a continuación, seleccione «Opciones avanzadas».

En el menú de opciones avanzadas, seleccione «Configuración de inicio» y haga clic en el botón «Reiniciar». En la ventana siguiente, debe hacer clic en el botón «F5» del teclado. Esto reiniciará su sistema operativo en modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 10 en «Modo seguro con funciones de red»:

Extraiga el archivo descargado y ejecute el archivo Autoruns.exe.

En la aplicación Autoruns, haga clic en «Options» en la parte superior y desmarque las opciones «Hide Empty Locations» y «Hide Windows Entries». Después de este procedimiento, haga clic en el icono «Refresh».

Revise la lista proporcionada por la aplicación Autoruns y localice el archivo de malware que desea eliminar.

Debe anotar su ruta y nombre completos. Tenga en cuenta que algunos programas maliciosos ocultan los nombres de sus procesos bajo nombres de procesos legítimos de Windows. En esta etapa, es muy importante evitar eliminar archivos del sistema. Después de localizar el programa sospechoso que desea eliminar, haga clic con el botón derecho del ratón sobre su nombre y elija «Delete».

Después de eliminar el malware a través de la aplicación Autoruns (esto garantiza que el malware no se ejecutará automáticamente en el próximo inicio del sistema), debe buscar el nombre del malware en su equipo. Asegúrese de habilitar los archivos y carpetas ocultos antes de continuar. Si encuentra el nombre de archivo del malware, asegúrese de eliminarlo.

Reinicie su equipo en modo normal. Seguir estos pasos debería eliminar cualquier malware de su equipo. Tenga en cuenta que la eliminación manual de amenazas requiere conocimientos informáticos avanzados. Si no dispone de estos conocimientos, deje la eliminación del malware en manos de los programas antivirus y antimalware.

Es posible que estos pasos no funcionen con infecciones de malware avanzadas. Como siempre, es mejor prevenir la infección que intentar eliminar el malware más tarde. Para mantener su equipo seguro, instale las últimas actualizaciones del sistema operativo y utilice software antivirus. Para asegurarse de que su equipo esté libre de infecciones de malware, le recomendamos analizarlo con Combo Cleaner Antivirus para Windows.

Preguntas frecuentes (FAQ)

Mi equipo está infectado con el malware falso Xeno, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Formatear eliminará el falso Xeno, pero también borrará todos los archivos de la unidad. Primero se debe probar una solución de seguridad como Combo Cleaner, que puede eliminar el malware sin destruir sus datos.

¿Cuáles son los mayores problemas que puede causar el malware falso Xeno?

El falso Xeno puede robar credenciales de navegador, tokens de Discord, sesiones de cuentas de videojuegos, archivos de monederos de criptomonedas y tokens de pago de Microsoft. También otorga al atacante el control remoto de la máquina, lo que puede provocar robo de identidad, secuestro de cuentas y pérdidas económicas.

¿Cuál es el propósito del malware falso Xeno?

El falso Xeno tiene dos propósitos: robar datos confidenciales del dispositivo infectado y otorgar al atacante acceso remoto en vivo. Esto permite al operador espiar a la víctima, robar cuentas y fondos, y ejecutar comandos en la máquina sin el conocimiento de la víctima.

¿Cómo se infiltró el malware falso Xeno en mi equipo?

El falso Xeno se propaga a través de foros de videojuegos y servidores de Discord, donde se promociona como un ejecutor de scripts «indetectable» de Roblox gratuito. Los jugadores que descargan y ejecutan el instalador falso desencadenan la cadena de infección de múltiples etapas. La campaña ha estado activa desde al menos principios de 2026.

¿Me protegerá Combo Cleaner del malware?

Sí. Combo Cleaner puede detectar y eliminar la mayoría del malware conocido, incluidas amenazas como el falso Xeno. Se recomienda ejecutar un análisis completo del sistema, ya que las amenazas avanzadas a veces pueden dejar rastros en lo más profundo del sistema.