trojan.tencent/rozena: guía para proteger tu USB

Resumen rápido

trojan.tencent/rozena es la etiqueta que recibe un archivo ejecutable de Windows identificado como TGBDownloader.exe. Se le clasifica, sobre todo, como troyano. Un troyano —ya sabes— es un programa que puede parecer inofensivo o útil, pero que, al ejecutarlo, puede hacer cosas no deseadas o directamente peligrosas para el equipo.

En este caso el nivel de riesgo calculado es bajo, porque solo 4 de 75 motores lo detectaron, es decir, alrededor de un 5,3%. Esto no quiere decir “seguro” de forma automática. Quiere decir que hay menos consenso que en otras amenazas más claras. Aun así, presenta etiquetas de comportamiento que merecen atención: comprobaciones del entorno, pausas prolongadas y detección de depuración, entre otras señales.

La regla práctica para quien use USB es sencilla: si ves este ejecutable en un pendrive o memoria, no lo abras. Escanéalo primero. USB-AV Antivirus puede eliminar amenazas presentes en el dispositivo al conectarlo. Si el malware ya llegó a Windows, entonces necesitas un antivirus convencional dentro del sistema para limpiarlo.

Qué hace esta amenaza (explicado fácil)

El fichero analizado es un Win32 EXE, es decir, un ejecutable para Windows. El nombre reportado es TGBDownloader.exe, aunque aparece también bajo otros nombres en distintas muestras. Eso ocurre cuando el mismo binario se distribuye con nombres distintos o cuando viene de fuentes variadas.

La detección junta dos referencias: Tencent y Rozena. En trabajos públicos, Rozena aparece como una familia ligada a troyanos y, en algunos casos, a comportamientos tipo puerta trasera. Una puerta trasera —o backdoor— permite acceso remoto no autorizado. Para este archivo concreto no hay una confirmación pública que demuestre todas esas capacidades, así que lo prudente es manejarlo con cautela, no con alarma innecesaria.

Las etiquetas observadas apuntan a comportamientos que suelen levantar sospechas en análisis de seguridad:

Comprueba espacio en disco: puede ser legítimo en ciertos programas, pero también sirve para mapear el entorno.
Revisa entrada del usuario: puede vigilar interacción o esperar una acción concreta.
Detecta entornos de depuración: intenta saber si alguien lo está analizando.
Usa pausas largas: retrasa actividad para dificultar el análisis automático.
Incluye overlay: tiene datos añadidos al final del ejecutable —puede ser normal o sospechoso según el contexto.

Esas señales no son, por sí solas, prueba de una infección activa. Pero sí justifican no ejecutarlo sin más comprobaciones, sobre todo si apareció en una memoria USB, en la carpeta de descargas o bajo nombres inesperados como program.exe, file.exe o steam.exe.

Qué puede pasar si lo ignoras

Si un archivo sospechoso se ejecuta y resulta malicioso, el daño posible varía. En troyanos típicos los riesgos incluyen cambios no deseados en el sistema, descarga de componentes adicionales, exposición de datos o la apertura de una vía para otras acciones remotas. No afirmamos que todo eso ocurra con este archivo en particular —no hay pruebas suficientes para asegurarlo— pero son posibilidades reales.

Otra cosa frecuente: que alguien copie el archivo de un equipo a otro mediante un pendrive. Aunque no se autorunée, sigue siendo peligroso si otra persona lo abre pensando que es un instalador inocente.

Ignorar esta situación puede traducirse en tres problemas prácticos:

Propagación accidental: el ejecutable puede acabar en más USB, carpetas compartidas o equipos domésticos.
Confusión con software legítimo: nombres tipo installer, downloader o steam.exe pueden engañar a usuarios menos experimentados.
Falsa sensación de seguridad: “riesgo bajo” no equivale a confianza plena, sobre todo cuando hay detecciones de troyano o riskware.

Señales comunes de infección

Estas pistas son generales. No confirman por sí mismas que trojan.tencent/rozena esté activo, pero sirven para decidir cuándo revisar el equipo y los USB:

Surgen ejecutables desconocidos en el pendrive.
Un instalador se abre y no muestra nada claro, o se cierra sin explicación.
Windows va más lento tras ejecutar un archivo descargado.
El navegador inicia descargas que no recuerdas haber lanzado.
El antivirus muestra alertas sobre troyanos, riskware o aplicaciones potencialmente no deseadas.
Un archivo cambia de nombre o aparece duplicado en varias carpetas.
El equipo establece conexiones de red inesperadas después de abrir un ejecutable.

Si detectas una o varias de estas señales, no sigas abriendo archivos. Primero escanea el USB. Luego revisa Windows con un antivirus convencional y actualizado.

Datos técnicos

Un hash es la huella digital del archivo: sirve para identificarlo con exactitud sin depender del nombre, que puede cambiar.

Campo	Valor
SHA256	a23945c99f549c729b6e88ed249196d20e365da1fd328affe8033aba249e786e
MD5	b587203da58a62fe7bfe8d8b171e014b
SHA1	0b82ed301a67eb1a00cbe52eac284698a1ebd423
Tipo	Win32 EXE, PE32 executable GUI para Microsoft Windows
Tamaño	3.811.920 bytes
Nombre del archivo	TGBDownloader.exe
Otros nombres observados	uptodown-gameloop-1-0-01.exe, Beach Buggy Racing Installer.exe, program.exe, file.exe, steam.exe
Primera fecha reportada	2022-11-30
Fecha de compilación reportada	2022-09-27. Esta fecha puede ser manipulada en algunos ejecutables.
Compilador reportado	Visual Studio
Firma reportada	Tencent Technology(Shenzhen) Company Limited, con expiración reportada el 2016-02-16 23:59:59
Familias asociadas	tencent, rozena

La firma reportada no es garantía automática de seguridad. Una firma puede estar caducada, pertenecer a software legítimo o aparecer en contextos que exigen una revisión adicional.

Cómo se detecta (nombres de detección comunes)

Se suele etiquetar como:

Trojan.Rozena.Win32.213175
Win32/Tencent.X potentially unwanted application
Riskware.Tencent
Trojan.Malware.300983.susgen

Esos nombres reflejan que no todos los motores lo describen igual. Algunos lo tratan como un troyano; otros lo sitúan más cerca del riskware, es decir, software de riesgo: no siempre es malware puro, pero puede comportarse de formas indeseadas o ser usado de manera peligrosa.

Qué hacer ahora (si lo detectaste)

Si encontraste trojan.tencent/rozena en una memoria USB, no lo ejecutes. No intentes “probar” qué hace. Tampoco lo copies a otro equipo para revisarlo a mano.

Checklist de 60 segundos

Desconecta el USB si ya abriste el archivo y notas comportamiento extraño.
Si solo lo detectaste al conectar el pendrive, deja que USB-AV Antivirus actúe sobre el dispositivo USB.
No abras archivos .exe desconocidos desde el pendrive.
Copia solo documentos necesarios y previamente escaneados; evita instaladores dudosos.
Actualiza tu antivirus convencional en Windows.
Ejecuta un análisis completo del equipo si el archivo fue abierto.
Cambia contraseñas importantes desde otro dispositivo limpio si sospechas infección real.
Si el equipo es de trabajo, avisa al responsable de soporte antes de seguir usando el USB.

USB-AV Antivirus está pensado para prevención y limpieza en dispositivos USB: sí puede eliminar amenazas en el USB al conectarlo. No desinfecta Windows si el malware ya quedó instalado en el PC; para eso necesitas un antivirus convencional dentro de Windows.

Errores comunes al intentar “arreglarlo”

Hacer doble clic para comprobar qué es: es el error más peligroso. No “probes” un ejecutable sospechoso abriéndolo.
Renombrar el archivo: cambiar el nombre no elimina el riesgo.
Copiarlo a otro PC: puedes trasladar el problema a un equipo limpio.
Confiar solo en el nombre: un archivo llamado steam.exe o installer.exe no tiene por qué ser legítimo.
Pensar que limpiar el USB limpia Windows: son tareas distintas; revisa el USB y el sistema por separado.

Datos interesantes

No hay información pública concluyente que permita afirmar la existencia de una campaña específica, un país objetivo, una ruta de instalación única o una vía de entrada concreta para este archivo. La investigación sobre Rozena muestra que esta familia puede aparecer en contextos de troyanos para Windows y que algunos informes la asocian con acceso remoto. En este caso lo sensato es mantener una interpretación prudente.

Lo más práctico para el usuario no es memorizar términos técnicos, sino aplicar una regla simple: un ejecutable desconocido en un USB debe tratarse como sospechoso hasta que lo escanees.

Lecturas recomendadas

Cómo prevenir infecciones futuras

Escanea cada memoria USB antes de abrir archivos.
Usa USB-AV Antivirus para revisar pendrives y eliminar amenazas presentes en el USB al conectarlo.
Mantén un antivirus convencional activo y actualizado en Windows.
Descarga instaladores solo desde fuentes oficiales o de confianza.
Evita ejecutar archivos .exe recibidos por mensajería, correo o carpetas compartidas.
No confíes en iconos bonitos ni en nombres conocidos. Revisa el origen.
Haz copias de seguridad de documentos importantes.
Actualiza Windows y tus aplicaciones principales.
Si compartes USB entre varios equipos, escanéalo antes y después de usarlo.

La prevención no garantiza protección total, pero reduce mucho el riesgo. Con amenazas de bajo consenso como esta, la prudencia es clave: no ejecutar, escanear y confirmar antes de confiar.

Preguntas frecuentes

¿USB-AV puede eliminarla si la detecta al conectar el USB?

Sí. USB-AV Antivirus puede eliminar amenazas presentes en el dispositivo USB al conectarlo. Su función es proteger y limpiar el USB.

¿USB-AV desinfecta Windows si ya está instalado?

No. Si el malware ya se instaló en Windows, debes usar un antivirus convencional actualizado para analizar y limpiar el sistema. USB-AV Antivirus es un complemento para prevención y limpieza en USB.

¿Riesgo bajo significa que puedo abrir el archivo?

No. Riesgo bajo significa que hay menos señales de consenso, no que el archivo sea seguro. Si no sabes de dónde salió, no lo ejecutes.

Escanea tus dispositivos USB con USB-AV Antivirus antes de conectarlos.