LummaStealer, un notorio malware robador de información, ha regresado con fuerza tras una importante operación de las fuerzas del orden en 2025. Este resurgimiento se caracteriza por un cambio en las tácticas de distribución, alejándose de los kits de exploits tradicionales hacia campañas agresivas de ingeniería social. Los ciberdelincuentes ahora están utilizando técnicas de "ClickFix", que muestran a los usuarios páginas falsas de verificación CAPTCHA.

LummaStealer, un notorio malware robador de información, ha regresado con fuerza tras una importante operación de las fuerzas del orden en 2025.

Este resurgimiento se caracteriza por un cambio en sus tácticas de distribución, alejándose de los exploit kits tradicionales para adoptar campañas de ingeniería social agresivas.

Ahora, los ciberdelincuentes están utilizando técnicas de “ClickFix”, que muestran a los usuarios páginas falsas de verificación CAPTCHA.

Estos mensajes engañosos engañan a las víctimas para que ejecuten comandos maliciosos en sus sistemas sin darse cuenta, eludiendo así las advertencias y protocolos de seguridad estándar.

La infraestructura de distribución del malware también ha evolucionado, volviéndose más resistente y difícil de detectar. En lugar de depender únicamente de descargas directas, las nuevas campañas emplean un cargador sofisticado conocido como CastleLoader.

Esta fase intermedia está diseñada para evadir la detección de los antivirus ejecutando código malicioso directamente en la memoria del ordenador.

Al evitar la creación de archivos en el disco duro durante su fase inicial, el ataque minimiza la huella digital que deja, lo que complica el análisis forense y los esfuerzos de mitigación.

Analistas de Bitdefender identificaron esta actividad renovada y destacaron el papel crítico que desempeña CastleLoader en la cadena de infección.

Su investigación indica que el cargador no es solo un vehículo de distribución, sino una herramienta compleja equipada con funciones avanzadas de ofuscación y anti-análisis.

El malware apunta a sistemas Windows para robar datos sensibles, como credenciales de navegadores, cookies de sesión, carteras de criptomonedas y tokens de autenticación en dos factores.

Esta información robada se utiliza luego a nivel global para tomas de control de cuentas, fraudes financieros y robo de identidad.

Análisis técnico de CastleLoader

CastleLoader actúa como el puente sigiloso entre la infección inicial y el despliegue de la carga útil de LummaStealer.

El cargador se distribuye como un script compilado de AutoIt, una herramienta de automatización legítima que los atacantes abusan para ocultar su código.

Al ejecutarse, el script emplea una ofuscación intensa para ocultar su verdadero propósito, reemplazando nombres de variables con palabras aleatorias e insertando “código muerto”. Esto dificulta que las herramientas de seguridad automatizadas analicen la intención del archivo.

Antes de recuperar la carga útil final, CastleLoader realiza una serie de comprobaciones del entorno para asegurarse de que se está ejecutando en una máquina real de una víctima y no en un sandbox aislado de un investigador de seguridad.

Inspecciona el sistema en busca de nombres de computadora o usuarios específicos que suelen usarse en entornos de prueba.

Si detecta software de virtualización como VMware o VirtualBox, finaliza su proceso para evitar ser descubierto.

Una característica única de este cargador es que genera una consulta DNS fallida para un dominio inexistente, creando un “artefacto” distintivo que los defensores pueden usar para identificar la infección.

Una vez que el entorno se considera seguro, el malware establece persistencia copiándose en la carpeta de datos de aplicación local y creando un acceso directo en el inicio, asegurando que se ejecute automáticamente.

Para mantenerte seguro, debes desconfiar de las páginas web que te pidan pasos de verificación manuales, como copiar y pegar código. Evitar el software pirata y mantener actualizadas tus soluciones de seguridad sigue siendo la defensa más efectiva contra estas amenazas en evolución.