Una nueva cepa de malware sofisticado, denominada «LTX Stealer», ha surgido en el panorama de amenazas cibernéticas, utilizando una arquitectura única basada en Node.js para comprometer sistemas Windows. Detectado por primera vez a principios de 2026, esta herramienta maliciosa está diseñada para robar información sensible de los usuarios, incluyendo credenciales de inicio de sesión, cookies de navegadores y datos de carteras de criptomonedas.

Una nueva cepa de malware sofisticado llamada “LTX Stealer” ha surgido en el panorama de amenazas cibernéticas, utilizando una arquitectura única basada en Node.js para comprometer sistemas Windows.

Detectado por primera vez a principios de 2026, esta herramienta maliciosa está diseñada para robar información sensible de los usuarios, incluyendo credenciales de inicio de sesión, cookies de navegadores y datos de carteras de criptomonedas.

El malware se distingue por empaquetar un entorno de ejecución completo de Node.js dentro de su carga útil, lo que le permite ejecutar código JavaScript complejo de forma nativa en la máquina de la víctima sin necesidad de que el framework esté instalado previamente.

El ataque suele comenzar con un punto de entrada engañosamente simple: un archivo instalador de Windows llamado “Negro.exe”. Este archivo está construido usando el framework legítimo Inno Setup, una herramienta común para crear instaladores de software.

Al ocultarse dentro de un envoltorio de instalación confiable, el malware logra enmascarar sus intenciones maliciosas ante los escaneos de seguridad estándar. Al ejecutarse, el instalador despliega una carga útil masiva —de aproximadamente 271 MB— en el sistema de la víctima.

Analistas de Cyfirma identificaron el malware poco después de su aparición, señalando que este gran tamaño de archivo es una táctica deliberada para eludir los motores antivirus, que a menudo omiten el escaneo de archivos voluminosos para mantener el rendimiento del sistema.

Una vez dentro, LTX Stealer apunta a navegadores basados en Chromium como Google Chrome y Microsoft Edge. Accede a los archivos “Local State” para extraer claves de cifrado, que luego utiliza para desbloquear contraseñas guardadas y cookies de sesión.

Simultáneamente, el malware escanea en busca de carteras de criptomonedas y toma capturas de pantalla de la actividad del usuario.

Todos los datos robados se comprimen y preparan para su exfiltración a un servidor de comando y control.

Los atacantes utilizan servicios en la nube como Supabase para la autenticación y Cloudflare para ocultar la verdadera ubicación de sus servidores, haciendo que la infraestructura sea resistente a los intentos de cierre.

Ofuscación mediante compilación a bytecode

Una característica técnica definitoria de LTX Stealer es su fuerte dependencia de técnicas avanzadas de ofuscación para dificultar el análisis inverso.

La carga útil principal, updater.exe, no es un ejecutable estándar, sino una aplicación Node.js empaquetada creada con una herramienta llamada pkg. Esto agrupa la lógica maliciosa en JavaScript, las dependencias y el entorno de ejecución en un solo binario.

Para proteger aún más su código, los desarrolladores compilaron el código fuente JavaScript a bytecode (.jsc) usando Bytenode. Este proceso de conversión transforma el código legible en un formato binario extremadamente difícil de decompilar o analizar para los investigadores de seguridad.

Al eliminar por completo el código fuente original, los atacantes garantizan que entender la lógica interna del malware requiera conocimientos especializados sobre los internos de Node.js, elevando significativamente la barrera para su análisis y detección.

Para defenderte contra LTX Stealer, debes implementar las siguientes medidas:

• Bloquear indicadores conocidos: Configura firewalls y sistemas de detección en endpoints para bloquear el tráfico hacia dominios como eqp.lol y direcciones IP asociadas con el panel de control del malware.
• Monitorear la creación de archivos: Genera alertas ante la creación de directorios ocultos o marcados como sistema en rutas accesibles para el usuario, especialmente aquellos que imitan a proveedores legítimos como “Microsoft Updater”.
• Marcar binarios grandes: Investiga ejecutables sin firmar que sean inusualmente grandes (más de 100 MB) y muestren comportamientos en tiempo de ejecución consistentes con aplicaciones Node.js.
• Detectar acceso a credenciales: Monitorea procesos que accedan secuencialmente a los archivos “Local State” de los navegadores y almacenes de credenciales, ya que este comportamiento es altamente indicativo de actividad de robo de información.

Fuentes:
https://cybersecuritynews.com/new-node-js-based-ltx-stealer-attackers-users/