Los router WiFi conviven con nosotros desde hace años. Ocupan un lugar casi privilegiado en nuestras casas y pasan totalmente desapercibidos. El punto en cuestión es que lo controlan todo y justo por eso se ha convertido en un objetivo perfecto para los ciberdelincuentes. Si controlan el router, controlan todo lo que pasa por tu red.

Eso es lo que han descubierto los investigadores de Cisco Talos con una herramienta llamada DKnife. No es un virus al uso. No entra solo en tu ordenador o en tu móvil.

Este va directo al corazón de la conexión: el equipo que gestiona todo el tráfico de datos de tu casa o de una empresa. Y desde ahí puede ver, modificar y redirigir lo que haces en internet sin que te des cuenta.

Según los expertos, DKnife lleva activo desde 2019. Es un conjunto de programas diseñados para funcionar en sistemas Linux, que es el tipo de sistema que usan muchos routers y dispositivos de red.

Está formado por siete módulos distintos, cada uno con una función concreta: analizar datos, comunicarse con servidores remotos, descargar más malware o incluso actualizarse solo.

Los investigadores han encontrado pistas que apuntan a un grupo vinculado a China. El código tiene comentarios en chino y el malware está preparado para vigilar servicios muy usados en ese país, como proveedores de correo locales y, sobre todo, WeChat. Además, se ha visto que trabaja junto a otras herramientas de espionaje, como ShadowPad y DarkNimbus.

Cuando el router WiFi se convierte en el espía de la casa

Lo más preocupante de DKnife es dónde se instala. No necesita infectar cada dispositivo por separado. Se coloca en el router o en equipos de red parecidos, que actúan como puerta de entrada y salida a internet. Desde ahí, crea una especie de canal interno que le permite hacerse con los datos.

El hecho es que consigue interceptar toda esa información antes de que a ti te llegue. Esto le permite hacer algo muy peligroso: redirigir descargas legítimas hacia archivos manipulados.

Por ejemplo, si estás bajando una actualización de una app en Android, puede cambiarla por una versión maliciosa. Lo mismo con archivos para Windows. Cisco Talos ha visto cómo esta herramienta instalaba la puerta trasera ShadowPad en ordenadores Windows y después desplegaba DarkNimbus para mantener el control.

También puede secuestrar el sistema de nombres de dominio, lo que se conoce como DNS hijacking. En pocas palabras, puede enviarte a una web falsa aunque tú hayas escrito bien la dirección. Y además tiene capacidad para bloquear el tráfico hacia programas antivirus.

Este 'malware' puede ver lo que haces casi en tiempo real

Como antes se ha mencionado, al estar en el router, DKnife ve pasar todos los datos. No necesita entrar en tu móvil para saber que estás usando una app. Lo detecta porque el tráfico pasa por él.

Según los investigadores, puede monitorizar el uso de aplicaciones de mensajería, servicios de mapas, apps de noticias, llamadas, compras online o plataformas de transporte.

En el caso de WeChat, el seguimiento es muy a fondo. Puede escuchar llamadas de voz y vídeo, mensajes enviados y recibidos, imágenes compartidas e incluso artículos leídos dentro de la app.

Además, este malware puede robar credenciales de correo electrónico interceptando protocolos como POP3 o IMAP. También puede alojar páginas de phishing y descargar archivos maliciosos en dispositivos Android. Todo desde el mismo punto: el router.

Con todo esto sobre la mesa, los investigadores no han podido confirmar cómo se infectan inicialmente estos equipos. Puede ser por fallos de seguridad sin corregir, contraseñas no muy fuertes o vulnerabilidades en dispositivos de empresas. Lo que sí han dejado claro es que, a enero de 2026, los servidores de control asociados a DKnife siguen activos. Es decir, la amenaza no ha desaparecido.