Ha surgido una nueva botnet llamada Void en el mundo del cibercrimen. Este malware presenta una característica preocupante: utiliza contratos inteligentes de Ethereum para gestionar sus comandos. Gracias a este método, la infraestructura de control es imposible de cerrar o incautar mediante los esfuerzos convencionales de las autoridades, ya que no depende de servidores tradicionales.

Ha surgido una nueva botnet llamada Void en el inframundo del cibercrimen, aportando un giro preocupante a la forma en que los atacantes gestionan sus operaciones de forma remota.

En lugar de depender de servidores tradicionales que las autoridades pueden incautar o cerrar, Void Botnet enruta sus comandos a través de contratos inteligentes de Ethereum, situando su infraestructura totalmente fuera del alcance de los esfuerzos convencionales de desmantelamiento.

Anunciada por primera vez en marzo de 2026 en un foro de cibercrimen en lengua rusa, la botnet se vende como un cargador listo para usar a un precio de 600 $ con una tarifa adicional de 50 $ por cada compilación.

Lo que hace que Void Botnet sea particularmente alarmante no es solo la tecnología que utiliza, sino el momento de su aparición en los mercados criminales.

Llegó solo un mes después de que se expusiera una herramienta similar llamada Aeternum C2, demostrando que la infraestructura de comando y control (C2) basada en blockchain ya no es un experimento puntual de un único actor de amenazas.

Dos botnets desarrolladas independientemente utilizando dos blockchains diferentes aparecieron con semanas de diferencia, lo que indica un cambio más amplio en la forma en que los ciberdelincuentes piensan en la resiliencia y la supervivencia a largo plazo. Los investigadores de Qrator Labs identificaron la Void Botnet y publicaron sus hallazgos el 18 de mayo de 2026.

Según Qrator Labs, en un informe compartido con Cyber Security News (CSN), el malware fue desarrollado por un actor de amenazas que opera bajo el seudónimo TheVoidStl, con un alias de operador llamado nikoniko.

Otras herramientas relacionadas vinculadas al mismo desarrollador incluyen TheVoidStealer, WallStealer y Void Miner, lo que sugiere un catálogo de malware activo y en constante expansión.

Void Botnet utiliza contratos inteligentes de Ethereum

Void Botnet está escrita en Rust, lo que la convierte en un binario nativo ligero con un tamaño de archivo de solo 1,5 MB. El cargador se ejecuta tanto en sistemas Windows de 32 como de 64 bits y soporta una amplia gama de tareas posteriores al compromiso que otorgan al atacante un control sustancial sobre cualquier máquina que infecte.

Su diseño refleja una planificación cuidadosa, con un fuerte énfasis en permanecer oculta y conectada incluso cuando las condiciones de la red o las herramientas defensivas actúen en su contra.

Las amenazas que permite esta botnet abarcan un amplio espectro, incluyendo campañas de DDoS, robo de credenciales y operaciones de proxy-as-a-service.

Dado que el canal de comando y control reside en una blockchain pública, los defensores no pueden simplemente incautar un servidor o suspender un dominio para cortar el acceso.

Eso hace que las medidas de seguridad proactivas, incluyendo la protección anti-bot y la mitigación de DDoS, sean más críticas que nunca para las organizaciones que ahora se enfrentan a esta clase creciente de amenazas.

En el corazón de Void Botnet hay un sistema de comando y control de modo dual empaquetado en un único binario. En el modo descentralizado, el operador escribe instrucciones en un contrato inteligente de Ethereum, y las máquinas infectadas consultan ese contrato a intervalos regulares, recogiendo nuevas tareas en un plazo de tres a cinco minutos.

No hay servidor que incautar, ni dominio que bloquear, ni registrador a quien contactar, porque los comandos viven en una blockchain pública a la que ninguna autoridad única puede acceder.

El segundo modo conecta las máquinas directamente al panel web del operador, donde las tareas se completan en menos de treinta segundos.

El operador puede cambiar entre modos en cualquier momento actualizando el contrato. Este diseño le otorga al atacante la flexibilidad de elegir la velocidad cuando las condiciones lo permiten y recurrir al canal resiliente de blockchain cuando sea necesaria la protección contra los intentos de desmantelamiento.

Dentro del panel del operador y capacidades de tareas

El panel del operador ofrece al comprador una vista detallada de cada máquina infectada, incluyendo su ubicación, sistema operativo, software antivirus activo y si el usuario tiene privilegios de administrador.

Las tareas pueden enviarse a máquinas individuales o a toda la flota a la vez, con un filtrado opcional por país para dar soporte a campañas regionales dirigidas.

El panel soporta catorce tipos de tareas. Los payloads pueden entregarse como ejecutables, DLL, paquetes MSI o scripts de PowerShell.

Un modo de ejecución dedicado en memoria carga binarios directamente en la memoria del proceso sin tocar el disco, evadiendo las defensas que dependen del escaneo de archivos.

Las tareas de shell inversa y PowerShell abren sesiones interactivas en vivo en las máquinas comprometidas, mientras que SelfDelete y SelfUpdate permiten al operador limpiar o actualizar el agente a petición. La persistencia se establece a través de una tarea programada que fue introducida en la actualización v1.1.

Indicadores Operativos de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Seudónimo del Actor de Amenaza	TheVoidStl	Desarrollador/vendedor de Void Botnet
Alias del Operador	nikoniko	Alias del operador asociado a la campaña de Void Botnet
Malware Relacionado	TheVoidStealer	Herramienta relacionada del mismo desarrollador
Malware Relacionado	WallStealer	Herramienta relacionada del mismo desarrollador
Malware Relacionado	Void Miner	Herramienta relacionada del mismo desarrollador
Lenguaje de Compilación	Rust / .NET Framework 4.8 (v1.1)	Lenguaje de implementación nativa del cargador
Mecanismo C2	Contratos Inteligentes de Ethereum	Canal C2 descentralizado basado en blockchain
Primera Observación	Marzo 2026	Fecha en que el listado apareció por primera vez en un foro de cibercrimen en ruso
Precio	600 $ + 50 $/compilación	Modelo de precios de Malware-as-a-Service

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (ej. [.]) para evitar la resolución accidental o el enlace dinámico. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/void-botnet-uses-ethereum-smart-contracts/