SolyxImmortal representa un avance notable en el malware de robo de información dirigido a sistemas Windows.

Esta amenaza basada en Python combina múltiples capacidades de robo de datos en un único implante persistente, diseñado para vigilancia a largo plazo en lugar de actividad destructiva.

El malware opera en silencio en segundo plano, recopilando credenciales, documentos, pulsaciones de teclas y capturas de pantalla, mientras envía la información robada directamente a los atacantes a través de webhooks de Discord.

Su aparición en enero de 2026 marca un cambio hacia modelos operativos más sigilosos que priorizan el monitoreo continuo sobre la explotación rápida.

El vector de ataque se centra en distribuir el malware, empaquetado como un script de Python con apariencia legítima llamado “Lethalcompany.py,” hacia los sistemas objetivo.

Una vez ejecutado, SolyxImmortal establece inmediatamente persistencia a través de múltiples mecanismos y lanza hilos de vigilancia en segundo plano.

El malware no se propaga lateralmente ni se replica a sí mismo; en cambio, se centra por completo en extraer datos de un único dispositivo comprometido.

Este enfoque focalizado permite a los atacantes mantener visibilidad a largo plazo sobre la actividad del usuario sin llamar la atención.

Analistas de Cyfirma identificaron a SolyxImmortal como una amenaza sofisticada que aprovecha APIs legítimas de Windows y plataformas confiables para la comunicación de comando y control.

El diseño del malware refleja madurez operativa, enfatizando fiabilidad y sigilo sobre la complejidad.

Al utilizar webhooks de Discord para la transmisión de datos, los atacantes explotan la reputación de la plataforma y el cifrado HTTPS para evitar la detección basada en redes.

Esta técnica demuestra cómo los actores de amenazas abusan cada vez más de servicios legítimos para ocultar actividades maliciosas.

Mecanismo de persistencia y robo de credenciales del navegador

El malware establece persistencia copiándose a sí mismo en una ubicación oculta dentro del directorio AppData, renombrándose para parecerse a un componente legítimo de Windows.

Luego se registra en la clave Run del registro de Windows, asegurando su ejecución automática en cada inicio de sesión del usuario sin requerir privilegios administrativos.

Este enfoque garantiza un funcionamiento continuo incluso después de reiniciar el sistema.

SolyxImmortal apunta a múltiples navegadores, incluyendo Chrome, Edge, Brave y Opera GX, accediendo a sus directorios de perfil.

El malware extrae las claves maestras de cifrado del navegador utilizando Windows DPAPI, luego descifra las credenciales almacenadas mediante cifrado AES-GCM.

Las credenciales recuperadas aparecen en formato de texto plano antes de la exfiltración, lo que indica medidas de seguridad locales mínimas.

El malware también recolecta documentos escaneando el directorio principal del usuario en busca de archivos con extensiones específicas como .pdf, .docx y .xlsx, filtrando los resultados por tamaño de archivo para evitar sobrecarga en la red.

Todos los artefactos robados se comprimen en un archivo ZIP y se transmiten a webhooks de Discord controlados por los atacantes, completando así el ciclo de robo de datos.