Alerta de seguridad · 22/10/2026
DarkCore: el PDF que no es un PDF.
Alerta · Video «DarkCore, el PDF falso»
El 22/10/2026, la empresa de seguridad BlackFog publicó el análisis de DarkCore, un programa espía que se vende entre ciberdelincuentes y que llega como un acceso directo de Windows con ícono de PDF. Acá tenés cómo reconocerlo, cómo cerrar las sesiones que no reconocés y qué hacer si ya abriste algo raro, con los enlaces oficiales para verificarlo vos.
Ir a cómo reconocerloLa alerta02 · 22/10/2026
Un programa espía, a la venta.
DarkCore se ofrece en una red de cibercrimen desde el 11/08/2026. La muestra que analizó BlackFog es para Windows y arranca con un archivo que parece un PDF. No se sabe cómo llega a las víctimas ni cuántas hay.
- 01
22/10/2026
BlackFog publica el análisis de la muestra de DarkCore.
- 02
Solo Windows
La muestra es un programa para Windows de 64 bits, sin firma digital.
El truco03 · 22/10/2026
No es un PDF: es un acceso directo.
El archivo se llama PdfView, tiene el ícono de un PDF y se presenta como «PDF Report Launcher». En realidad es un acceso directo de Windows, de los que terminan en .lnk. Cuando lo abrís, te muestra un informe real del Banco Mundial para que no sospeches y, por detrás, descarga el programa espía.
- 01
Abrís «PdfView»
Parece un PDF, pero es PdfView.lnk: un acceso directo con ícono de PDF.
- 02
Ves un informe real
Baja un documento del Banco Mundial y lo abre como señuelo.
- 03
Por detrás, descarga
Baja ReportPDFReader.exe, el programa espía, y lo ejecuta.
- 04
Borra la marca
Intenta borrar la marca de «descargado de internet», que es la que hace que Windows te avise.
Lo que promete04 · 22/10/2026
Según el vendedor: tus sesiones.
El vendedor dice que DarkCore roba contraseñas y sesiones abiertas, y que trae un navegador propio para usarlas: en sus capturas aparecen WhatsApp, Gmail, YouTube y MediaFire. Así, el atacante entraría a tus cuentas sin escribir la contraseña y desde tu propia conexión. BlackFog no pudo comprobar que esa parte funcione.
- 01
Comprobado
El acceso directo con ícono de PDF, el informe del Banco Mundial como señuelo, la descarga del programa y el intento de borrar la marca de internet.
- 02
Sin comprobar
Que entre a Gmail o a WhatsApp con tus sesiones robadas. Lo promete el vendedor; los investigadores no lo pudieron confirmar.
La técnica05 · 22/10/2026
Una sesión robada ya pasó el control.
Cuando entrás a una cuenta, el navegador guarda la sesión para no pedirte la contraseña cada vez. Si alguien se la lleva, entra como si fueras vos: la verificación en dos pasos ya se cumplió cuando iniciaste sesión. Por eso, además de cambiar la contraseña, conviene cerrar las sesiones que no reconocés.
«Las cookies de sesión representan un inicio de sesión exitoso que ya ocurrió.»
Traducción nuestra
Cómo reconocerlo06 · 22/10/2026
Mirá cómo termina el archivo.
Windows esconde la extensión de los archivos, y ahí está el truco: un programa o un acceso directo pueden tener el ícono de un PDF. Activá las extensiones (está en «Los pasos») y, antes de abrir algo, fijate cómo termina.
Cómo termina
| Termina en | Qué es | Qué hacer |
|---|---|---|
| Un PDF de verdad | Seguro: Abrilo si lo esperabas | |
| .exe | Un programa | Peligro: Si dice ser un documento, no lo abras |
| .lnk | Un acceso directo | Peligro: No se ve: buscá la flechita en el ícono |
| .js .vbs .bat .cmd | Archivos que ejecutan órdenes | Peligro: Si dicen ser un documento, no los abras |
La muestra de DarkCore es PdfView.lnk. Aunque actives las extensiones, Windows nunca muestra el «.lnk» de un acceso directo: lo reconocés por la flechita en la esquina del ícono, o porque en la columna «Tipo» dice «Acceso directo». Un PDF de verdad no tiene flechita.
Los pasos07 · 22/10/2026
Tres pasos para hoy.
Son los pasos del video, con la ruta de cada menú y la ayuda oficial de cada servicio. Sirven contra DarkCore y contra cualquier archivo disfrazado o sesión robada.
01 · Windows 11
Abrí el Explorador de archivos y entrá a Ver › Mostrar › Extensiones de nombre de archivo. Desde ahí, cada archivo muestra cómo termina, salvo los accesos directos: en esos, buscá la flechita.
02 · Windows 10
En el Explorador de archivos, entrá a la pestaña Vista y, en el grupo «Mostrar/ocultar», tildá «Extensiones de nombre de archivo».
03 · WhatsApp
En el celu: en Android, tocá los tres puntos › Dispositivos vinculados; en iPhone, Ajustes › Dispositivos vinculados. Tocá cada dispositivo que no reconozcas y elegí «Cerrar sesión».
04 · Google y Gmail
En tu Cuenta de Google, entrá a Seguridad y acceso › Tus dispositivos › Administrar todos los dispositivos. Elegí el que no reconozcas y tocá «Salir».
05 · Instagram y Facebook
Las dos usan el Centro de cuentas de Meta: entrá a Centro de cuentas › Contraseña y seguridad › Dónde iniciaste sesión, elegí tu cuenta y cerrá las sesiones que no reconozcas.
Si ya abriste algo raro.
Primero cortá el acceso y después limpiá. Es lo que recomienda BlackFog si se sospecha un robo de datos: aislar el equipo, cortar las transferencias, cerrar las sesiones activas y cambiar las credenciales.
- Desconectá la compu de internet: sacá el cable o apagá el wifi.
- Desde el celu o desde otra compu, cerrá todas las sesiones de WhatsApp, Google, Instagram y Facebook, con los pasos de arriba.
- Cambiá tus contraseñas desde un dispositivo sano, empezando por la del mail. No las cambies desde la compu que abrió el archivo.
- Antes de volver a usar esa compu para entrar a tus cuentas, que la revise quien te da soporte técnico.
La guía08 · 22/10/2026
Dos mensajes, listos para mandar.
- 01
Mostrá las extensiones
Explorador › Ver › Mostrar › Extensiones de nombre de archivo (en Windows 10, Vista › Extensiones de nombre de archivo).
- 02
Mirá antes de abrir
Si un «PDF» termina en .exe o tiene la flechita de los accesos directos, no lo abras.
- 03
Revisá tus sesiones
WhatsApp › Dispositivos vinculados, y Google › Seguridad y acceso › Tus dispositivos. Cerrá las que no reconozcas.
- 04
Si abriste algo, cortá
Desconectá la compu, cerrá todas las sesiones desde el celu y cambiá tus contraseñas desde otro dispositivo.
Hola, ojo con los archivos que parecen PDF. Hay un programa espía nuevo, DarkCore, que viene como un acceso directo de Windows con ícono de PDF. Antes de abrir un archivo, fijate cómo termina: si dice .exe, o si el ícono tiene la flechita de los accesos directos, no lo abras y avisame. Para ver cómo termina: Explorador › Ver › Mostrar › Extensiones de nombre de archivo.
Hola, en la compu del negocio abrí un archivo que parecía un PDF y creo que era un acceso directo o un programa. Ya la desconecté de internet. ¿Podés revisarla antes de que la vuelva a usar? Se parece a DarkCore, el programa espía que analizó BlackFog el 22/10/2026. Gracias.
Antes de darlo por terminado
- ¿Windows te muestra cómo termina cada archivo?
- ¿Sabés reconocer la flechita de un acceso directo?
- ¿Cerraste las sesiones que no reconocés en WhatsApp, Google, Instagram y Facebook?
- ¿Le pasaste el mensaje a quien usa la compu del negocio?
Un cuidado: no mandes contraseñas ni códigos de verificación por mensaje, a nadie.
Fuentes09 · 22/10/2026
Las fuentes.
Todo lo que dice esta guía sale de acá, para que puedas verificarlo. La revisamos el 26/10/2026.
- BlackFog · DarkCore (nueva pestaña)
El análisis de la muestra: el acceso directo, el señuelo, la descarga, lo que promete el vendedor y qué hacer si hubo robo de datos.
- GBHackers (nueva pestaña)
La cobertura del 26/10/2026.
- Microsoft · Extensiones de nombre de archivo (nueva pestaña)
Cómo mostrarlas en Windows 11 y en Windows 10.
- Microsoft · Datos adjuntos bloqueados en Outlook (nueva pestaña)
Los tipos de archivo que Outlook bloquea porque pueden traer virus, entre ellos .lnk, .exe, .js, .vbs, .bat y .cmd.
- NCC Group · Extensiones que Windows esconde (nueva pestaña)
Por qué el «.lnk» no aparece aunque actives las extensiones (el valor NeverShowExt). Lo comprobamos también en Windows 11.
- WhatsApp · Cómo desvincular un dispositivo (nueva pestaña)
Cómo cerrar desde el celu la sesión de WhatsApp Web, de Escritorio y de otros dispositivos.
- Google · Dispositivos con acceso a tu cuenta (nueva pestaña)
Cómo ver dónde está abierta tu cuenta y salir de un dispositivo.
- Google · Cuenta hackeada o vulnerada (nueva pestaña)
Qué hacer si alguien entró a tu cuenta de Google.
- Meta · Cerrar sesión en otro dispositivo (nueva pestaña)
La sección «Dónde iniciaste sesión» del Centro de cuentas.
¿Quién hizo esta guía?
VisionRs. Armamos webs, cartas digitales, turnos online y automatizaciones con la información real de cada negocio: lo mismo que explica esta guía, pero funcionando todos los días.
Seguí la serie · @visionrs.code (nueva pestaña)