Un nuevo malware para Linux llamado ClipXDaemon ha surgido como una amenaza financiera directa para los usuarios de criptomonedas en entornos de escritorio basados en X11. A diferencia del malware convencional que depende de servidores de comando y control (C2) para recibir instrucciones, ClipXDaemon opera de manera completamente autónoma: monitorea silenciosamente el portapapeles cada 200 milisegundos y reemplaza direcciones de billeteras legítimas por otras controladas por los atacantes.

Un nuevo malware para Linux llamado ClipXDaemon ha surgido como una amenaza financiera directa para los usuarios de criptomonedas en entornos de escritorio basados en X11.

A diferencia del malware convencional que depende de servidores de comando y control (C2) para recibir instrucciones, ClipXDaemon opera de forma completamente autónoma: monitorea silenciosamente el portapapeles cada 200 milisegundos y reemplaza direcciones de billeteras legítimas por otras controladas por los atacantes.

Una vez desplegado, se ejecuta por completo en la máquina de la víctima sin emitir señales de red, sin recibir comandos remotos y sin necesidad de infraestructura externa de ningún tipo.

El malware apareció a principios de febrero de 2026 a través de una estructura de carga previamente vinculada a ShadowHS, una amenaza para Linux documentada en enero de 2026 que desplegaba herramientas de post-explotación contra entornos de servidores.

Ambas campañas comparten un envoltorio de preparación construido con bincrypter, un marco de cifrado de scripts de shell de código abierto disponible públicamente, pero sus cargas útiles son operativamente muy diferentes.

ShadowHS apuntaba a servidores, mientras que ClipXDaemon va tras usuarios de escritorio Linux que copian y pegan direcciones de billeteras de criptomonedas durante transacciones cotidianas.

El uso compartido de la misma herramienta de ofuscación refleja una tendencia creciente de los atacantes a reutilizar utilidades de código abierto para reducir costos de desarrollo y complicar la atribución, en lugar de indicar autoría compartida.

Analistas de Cyble identificaron el malware y lo llamaron ClipXDaemon, señalando que apunta a ocho formatos de criptomonedas: Bitcoin, Ethereum, Litecoin, Monero, Tron, Dogecoin, Ripple y TON.

Los patrones de expresiones regulares para billeteras y las direcciones de reemplazo están cifrados dentro del binario usando el cifrado de flujo ChaCha20, protegiéndolos del análisis estático.

Durante el análisis dinámico, se confirmaron billeteras de reemplazo activas para seis activos, mientras que TON y Ripple solo parecían ser monitoreados, sin observarse direcciones de reemplazo. En el momento del análisis, la carga útil ELF pasaba completamente desapercibida en VirusTotal.

Lo que más distingue a ClipXDaemon es la ausencia total de actividad de red.

El binario no lleva incrustadas direcciones IP ni dominios y nunca inicia consultas DNS, conexiones HTTP o comunicación por sockets, lo que hace que las defensas tradicionales basadas en red sean completamente ineficaces.

No hay servidores que incautar, tráfico que analizar ni infraestructura que desmantelar.

La monetización ocurre en un momento preciso: cuando una víctima pega una dirección de billetera copiada, el malware la reemplaza silenciosamente por una controlada por el atacante antes de que se confirme la transacción —un cambio que la mayoría de los usuarios no nota hasta que sus fondos ya han desaparecido.

Una cadena de infección de tres etapas diseñada para ocultarse

ClipXDaemon llega a través de una cadena de infección de tres etapas construida para dejar mínimas huellas.

El proceso comienza con un cargador cifrado generado por bincrypter, que almacena una carga útil codificada en línea, la decodifica y descifra usando AES-256-CBC.

Además, lo descomprime mediante gzip y ejecuta el dropper intermedio directamente a través de un descriptor de archivo /proc/self/fd, sin escribir nunca la etapa descifrada en el disco.

El dropper decodifica un binario ELF de 64 bits incrustado y lo escribe en un nombre de archivo aleatorio dentro de ~/.local/bin/.

Luego, añade la ejecución de la carga útil a ~/.profile, creando persistencia activada por inicio de sesión sin necesidad de acceso root, trabajos cron o servicios del sistema.

Una vez activo, el payload verifica si el servidor de visualización Wayland está presente y sale inmediatamente si lo detecta, ya que Wayland restringe el acceso global al portapapeles que X11 permite.

Con X11 confirmado, realiza una secuencia de demonización de doble bifurcación (double-fork) y renombra su proceso a kworker/0:2-events usando prctl(PR_SET_NAME), imitando un hilo de trabajo del kernel para evitar sospechas en listados de procesos rutinarios.

Luego, sondea el portapapeles cada 200 milisegundos y, cuando una cadena copiada coincide con uno de los ocho patrones cifrados de billeteras de criptomonedas, el implante reemplaza silenciosamente el contenido del portapapeles con una dirección de billetera del atacante antes de que se complete la operación de pegado.

Los usuarios de Linux y criptomonedas deberían priorizar migrar de X11 a Wayland siempre que sea posible, ya que Wayland bloquea el raspado global del portapapeles del que depende ClipXDaemon.

Los administradores de sistemas deberían auditar cambios en ~/.profile y ~/.bashrc, marcar nuevos ejecutables dentro de ~/.local/bin/ e investigar cualquier proceso en segundo plano con nombre de hilo del kernel ejecutándose bajo una cuenta de usuario no root.

Los controles EDR conductuales deberían alertar sobre binarios ELF ejecutados a través de /proc/self/fd, demonización de doble bifurcación desde shells de usuario y sondeos de alta frecuencia del portapapeles desde demonios en segundo plano.

Los usuarios deberían verificar manualmente cada dirección de billetera antes de confirmar una transferencia de criptomonedas y considerar seriamente el uso de billeteras de hardware que muestren las direcciones de destino de forma independiente al sistema anfitrión.