Un sofisticado cargador de malware conocido como OysterLoader ha surgido como una amenaza significativa en el panorama de la ciberseguridad, empleando múltiples capas de ofuscación para evadir la detección y entregar cargas peligrosas. Identificado por primera vez en junio de 2024 por Rapid7, este malware en C++ se distribuye principalmente a través de sitios web falsos que suplantan aplicaciones de software legítimas como PuTTy, WinSCP y Google Authenticator.

Un sofisticado cargador de malware conocido como OysterLoader ha surgido como una amenaza significativa en el panorama de la ciberseguridad, empleando múltiples capas de ofuscación para evadir la detección y distribuir cargas maliciosas peligrosas.

Identificado por primera vez en junio de 2024 por Rapid7, este malware en C++ se distribuye principalmente a través de sitios web falsos que suplantan aplicaciones de software legítimas como PuTTy, WinSCP, Google Authenticator y varias herramientas de IA.

El malware se hace pasar por archivos de Microsoft Installer (MSI), a menudo firmados digitalmente para parecer legítimos, lo que lo hace especialmente engañoso para usuarios desprevenidos.

OysterLoader opera a través de una compleja cadena de infección de cuatro etapas que comienza con un empaquetador TextShell, avanza mediante la ejecución de shellcode personalizado y, finalmente, entrega la carga maliciosa principal.

El cargador se ha asociado principalmente con campañas de ransomware Rhysida, aunque los investigadores de seguridad también lo han observado distribuyendo malware común como Vidar, uno de los infostealers más extendidos a partir de enero de 2026.

La conexión con el grupo de ransomware Rhysida, estrechamente vinculado a la nebulosa del actor de amenazas WIZARD SPIDER, subraya la gravedad de esta amenaza.

Los analistas de Sekoia identificaron que OysterLoader mantiene una infraestructura de comando y control de dos niveles, con servidores de entrega que gestionan las conexiones iniciales y servidores C2 finales que manejan las interacciones con las víctimas.

El malware exhibe capacidades avanzadas de anti-análisis, incluyendo API hammering, resolución dinámica de APIs mediante algoritmos de hash personalizados y detección de sandbox basada en temporización.

Sus desarrolladores han evolucionado continuamente el código del malware, actualizando protocolos de comunicación y técnicas de ofuscación para mantener su eficacia frente a soluciones de seguridad.

Mecanismo de infección avanzado y técnicas de esteganografía

El proceso de infección demuestra una notable sofisticación técnica en cómo OysterLoader oculta y despliega sus componentes maliciosos.

Tras realizar comprobaciones iniciales del entorno para verificar que el sistema infectado tiene al menos 60 procesos en ejecución, el malware establece comunicación con servidores de comando y control a través de HTTPS.

Durante esta fase, emplea esteganografía para ocultar la carga útil de la siguiente etapa dentro de archivos de imagen de iconos, disfrazando código malicioso como contenido visual legítimo.

El malware utiliza cifrado RC4 con una clave codificada para proteger la carga útil incrustada dentro de estos archivos de imagen.

Esta carga está oculta después de un patrón marcador específico etiquetado como "endico", lo que hace extremadamente difícil su detección mediante herramientas de seguridad convencionales.

Una vez descifrada, la carga útil se escribe como un archivo DLL en el directorio AppData del usuario y se ejecuta mediante tareas programadas que se activan cada 13 minutos, garantizando acceso persistente a los sistemas comprometidos.

El malware se comunica utilizando codificación JSON personalizada con un alfabeto Base64 no estándar y valores de desplazamiento aleatorios, lo que dificulta especialmente el análisis del tráfico de red para los equipos de seguridad que monitorean entornos infectados.