Hemos recopilado las noticias de ciberseguridad más importantes de la semana.
- Se distribuyó un clipper de criptomonedas utilizando una reputación falsa en GitHub y YouTube.
- Un gusano USB se propagó por sí mismo a través de accesos directos ocultos de Windows para robar criptomonedas.
- Las fuerzas del orden de Corea del Sur desmantelaron una red de lavado de criptomonedas que servía a un sindicato camboyano.
- Los investigadores descubrieron un nuevo troyano de Android para robar criptomonedas.
Se distribuyó un clipper de criptomonedas utilizando una reputación falsa en GitHub y YouTube
Un atacante desconocido lanzó una campaña de distribución de malware a gran escala, utilizando técnicas de marketing legítimas para crear una falsa "economía de reputación". Esto fue informado por especialistas de Check Point Research.
El objetivo final de los ataques es desplegar clippers de criptomonedas disfrazados como herramientas de trading en los ecosistemas de Solana y Pump.fun, así como software para predecir resultados de apuestas.
Según los expertos, el clipper en sí está escrito en Rust y tiene como objetivo los sistemas operativos Windows y macOS. El malware monitorea de manera encubierta y continua el portapapeles del dispositivo. Cuando detecta una dirección de billetera de criptomonedas copiada, el software la intercambia instantáneamente por los detalles del atacante, redirigiendo los activos digitales.
Para ganar la confianza de las víctimas —principalmente inversores en criptomonedas y jugadores en línea— el hacker construyó una compleja infraestructura multiplataforma de "Redes Fantasma". Los analistas registraron actividad coordinada en la plataforma VirusTotal: un grupo de cuentas falsas dejó comentarios y me gusta positivos en masa para clasificar erróneamente archivos maliciosos como seguros.
Manipulación de métricas similar también se utiliza en otros recursos:
- GitHub y SourceForge. El atacante opera una red de cuentas para promocionar cruzadamente repositorios. En SourceForge, el contador de descargas fue artificialmente inflado a 44,000 utilizando una granja de dispositivos Android;
- YouTube. Un canal con más de 91,000 suscriptores se utiliza para publicitar el software. Los videos tutoriales se crean utilizando generadores de voz de IA y están acompañados de comentarios positivos falsificados;
- Medios. Para legitimar la herramienta, el hacker utiliza servicios de distribución de comunicados de prensa (por ejemplo, EIN Presswire), cuyas publicaciones son luego reimpresas automáticamente por sitios de noticias asociados.
Los investigadores de Check Point enfatizaron que la manipulación de plataformas de crowdsourcing apunta a un cambio peligroso en las tácticas de ingeniería social. El esquema de inflación de reputación multiplataforma probado con éxito podría en el futuro ser utilizado para la distribución masiva de ransomware y ladrones de información más sofisticados.
Un gusano USB se propagó por sí mismo a través de accesos directos ocultos de Windows para robar criptomonedas.
Expertos de Microsoft revelaron detalles de una campaña de distribución de malware autorreplicante dirigida a poseedores de criptomonedas.
El proceso de infección se activa cuando la víctima abre un archivo de acceso directo modificado (.LNK) en una unidad USB. Después de su lanzamiento, el gusano descarga de forma encubierta cargas adicionales desde un servidor de comando ubicado en la zona de dominio .onion.
El malware escanea el sistema local en busca de documentos del usuario. Al encontrarlos, el programa oculta los originales y los reemplaza con accesos directos maliciosos que tienen nombres idénticos. Como resultado, el software se activa cada vez que el usuario intenta abrir sus archivos de trabajo. Para autorreplicarse, el gusano crea una tarea programada que monitorea los puertos. Tan pronto como se inserta una nueva unidad USB en la computadora, el virus se copia instantáneamente en el medio externo.
El ladrón entra en su fase activa solo si "Administrador de tareas" no se está ejecutando en el sistema. Establece una conexión con el servidor de comando a través de un ejecutable de Tor incorporado y monitorea el portapapeles cada medio segundo en busca de datos sensibles:
- frases semilla BIP39 de 12 y 24 palabras;
- direcciones de billeteras de Bitcoin (incluyendo Legacy, P2SH, Bech32 y Taproot), Ethereum, Tron y Monero.
Cuando detecta una dirección copiada, el programa la intercambia instantáneamente por los detalles del atacante. Para engañar a la víctima, el algoritmo elige billeteras cuyos caracteres iniciales coinciden visualmente con los originales.
Además de la interceptación del portapapeles, cada diez segundos el virus toma cinco capturas de pantalla y las envía a los hackers utilizando la utilidad Curl. Con un comando especial del servidor, el software puede descargar y ejecutar scripts de JavaScript arbitrarios en la máquina infectada.
La actividad de este gusano USB ha sido registrada continuamente desde al menos febrero. Los investigadores enfatizaron que los indicadores más obvios de infección son conductuales en lugar de basados en firmas. Las principales "banderas rojas" de un compromiso son la actividad de fondo sospechosa de los procesos wscript.exe y cscript.exe, lanzamientos inesperados de Curl, PowerShell y cmd.exe, así como conexiones de red no autorizadas a localhost:9050 (el puerto estándar del servidor proxy Tor).
Las fuerzas del orden surcoreanas desmantelaron una red de lavado de criptomonedas que servía a un sindicato camboyano.
Las fuerzas del orden surcoreanas detuvieron a 23 sospechosos en un caso de lavado de fondos para una organización de phishing camboyana. Esto fue reportado por Newsis.
El esquema se llevó a cabo a través de una compleja red de enrutamiento de transacciones utilizando tanto intercambios de criptomonedas nacionales surcoreanos como extranjeros. Según la investigación, desde febrero de 2024 hasta abril de 2025, el grupo movió alrededor de 11.1 millones de USDT.
La policía señaló la escala colosal de la infraestructura involucrada: para lavar el dinero, los atacantes utilizaron alrededor de 11,300 cuentas diferentes. Estas cuentas de tránsito estaban directamente vinculadas a fondos robados que totalizaban aproximadamente $17 millones, que los criminales obtuvieron como resultado de 265 incidentes.
Durante las redadas policiales, se incautaron ganancias criminales por un valor de 650 millones de won (alrededor de $430,000). Al mismo tiempo, la fase activa de la operación de aplicación de la ley aún no ha concluido: el presunto organizador del grupo sigue prófugo. Ya se ha emitido un "aviso rojo" de Interpol para él, lo que implica una búsqueda internacional y extradición.
Los investigadores descubrieron un nuevo troyano de Android para robar criptomonedas.
Investigadores de seguridad en Zimperium descubrieron un troyano para Android destinado a robar criptomonedas.
Según los analistas, el arsenal del malware Rokarolla comprende 137 comandos remotos. El kit de herramientas permite interceptar códigos PIN, leer y enviar SMS, manipular el portapapeles para robar activos digitales y desactivar forzosamente los mecanismos de protección integrados del sistema operativo.
El software se distribuye a través de sitios web maliciosos que se hacen pasar por instaladores de servicios populares como TikTok y Google Chrome.
En la primera etapa, la víctima descarga un programa que imita visualmente el componente del sistema Google Play Protect. Usando este disfraz, el dropper utiliza ingeniería social para obligar al usuario a concederle acceso a "Accesibilidad." Habiendo obtenido permiso, el malware despliega la carga útil principal y, primero que nada, desactiva el escáner real de Play Protect.
Rokarolla descarga páginas de autorización HTML falsas desde su servidor para cada aplicación activa de la lista de objetivos. Cuando la víctima abre una billetera de criptomonedas legítima, el troyano la superpone instantáneamente con una ventana falsa e intercepta todos los detalles ingresados.
Además, una superposición separada imita exactamente la pantalla de bloqueo estándar de Android. Esto permite que el software robe un código PIN, contraseña o patrón, dando a los operadores la capacidad de controlar el smartphone incluso en estado bloqueado. Para robar criptomonedas, el troyano utiliza un clipper incorporado: monitorea de manera encubierta el portapapeles y cambia las direcciones de billetera copiadas por los detalles de los atacantes, redirigiendo las transacciones.
Para superar la autenticación de dos factores, Rokarolla lee todos los SMS en el dispositivo y puede enviar mensajes por su cuenta, interceptando códigos bancarios de un solo uso. Además, al establecerse como la aplicación predeterminada para llamadas y SMS, el troyano puede bloquear llamadas entrantes, por lo que una llamada de advertencia del sistema antifraude del banco simplemente no llegará al propietario.
Los expertos enfatizaron que la principal protección contra tales amenazas es una vigilancia aumentada al otorgar permisos de "Accesibilidad", ya que son precisamente estos los que inician toda la cadena de ataque.
Los organizadores de estafas criptográficas utilizaron mensajeros para recoger efectivo
Los atacantes han comenzado a contratar mensajeros para recoger fondos de las víctimas cuyas transacciones están bloqueadas por los sistemas de seguridad bancaria. El FBI informó sobre esta nueva táctica de los operadores de esquemas de "pig butchering" de criptomonedas.
Por lo general, tales fraudes comienzan con estafadores contactando a posibles víctimas a través de redes sociales, sitios de citas y mensajeros, ganando su confianza y luego atrayéndolos a esquemas de inversión falsos.
Habiendo convencido a la víctima de retirar efectivo (por ejemplo, bajo el pretexto de un "congelamiento" temporal de la cuenta), los estafadores envían un mensajero a la persona que les confió. Se utiliza una contraseña preacordada o el número de serie de un billete de dólar específico para la identificación. Habiendo recibido el dinero, los hackers simulan un aumento en el saldo de la billetera virtual de la víctima y comienzan el ciclo de nuevo, exigiendo nuevas contribuciones para pagar "impuestos" ficticios sobre el retiro de fondos.
Según datos del FBI para 2025, el fraude con criptomonedas e inversiones sigue siendo la "forma más destructiva" de cibercrimen en EE. UU.: representó el 49% de todos los incidentes, con un daño total de $8.6 mil millones.
Una vulnerabilidad en los auriculares inalámbricos permitió a los hackers espiar a los usuarios de iPhone
Apple lanzó una actualización de firmware para los auriculares inalámbricos Beats Studio Buds que cierra una vulnerabilidad de alta gravedad.
El fallo, reportado por expertos de SentinelOne en enero, permitía a los atacantes conectarse secretamente al dispositivo y usar el micrófono incorporado para espiar.
El problema, que recibió el identificador CVE-2025-20701, está relacionado con una autorización incorrecta en el SDK de audio Bluetooth del desarrollador de chips Airoha. El defecto permite a un hacker dentro del rango Bluetooth conectar remotamente su propio equipo a los auriculares sin el conocimiento o consentimiento del usuario, siempre que el auricular aún no esté emparejado y esté buscando activamente conexiones. La vulnerabilidad fue eliminada con éxito en la actualización de firmware de Beats versión 1B211.
Según los especialistas, el exploit se puede activar a través de Bluetooth estándar o el protocolo de baja energía (BLE) sin ninguna autenticación. Además de la escucha clandestina, el ataque otorga a los atacantes casi control total sobre el dispositivo: permite leer y sobrescribir la RAM y la memoria flash de los auriculares. Además, los hackers pueden secuestrar relaciones de confianza establecidas con smartphones previamente emparejados, lo que abre un vector para el desarrollo de ataques multi-etapa más sofisticados.
También en ForkLog:
- Un contrato desactualizado en la red Aztec fue hackeado por $2 millones.
- Kentucky, siguiendo a otros estados, presentó una demanda contra Polymarket.
- El Reino Unido prohibirá las redes sociales para niños menores de 16 años.
- El Tribunal Supremo de la Federación Rusa reconoció la criptomoneda como un objeto de robo.
- Bitbank amenazó con bloquear transacciones relacionadas con Polymarket.
¿Qué leer durante el fin de semana?
Las ideas que cambian el mundo casi siempre nacen en la periferia, entre personas que sus contemporáneos consideran excéntricos. En un nuevo artículo, ForkLog exploró por qué los pioneros, como Jack Parsons, a menudo permanecen en la sombra de las revoluciones que provocaron.
Fuente: ForkLog
