Una nueva y peligrosa campaña de infostealer está atacando algunos de los datos más sensibles que la gente guarda en sus ordenadores. Disfrazado como un instalador legítimo de OpenClaw, un popular asistente personal de IA de código abierto, el malware se apodera silenciosamente de los sistemas y va tras más de 250 extensiones de navegador vinculadas a monederos de criptomonedas y gestores de contraseñas. La campaña ha estado activa al menos desde febrero de 2026.

El ataque comienza en un convincente sitio web falso, openclaw-installer.com, registrado el 9 de marzo de 2026, que dirige a los visitantes a un archivo llamado OpenClaw_x64[.]7z. Ese archivo contiene un ejecutable basado en Rust de 130 MB relleno con documentación falsa para pasar los escaneos de seguridad. El tamaño fue deliberado: supera los umbrales de tamaño de archivo de los antivirus y rompe los límites de subida de los sandboxes automatizados en un solo movimiento.

Investigadores de Netskope Threat Labs descubrieron la campaña y documentaron lo que llaman la ola "Hologram", una segunda iteración de la operación significativamente más avanzada.

El propio manifiesto del dropper no intenta ocultar su propósito, nombrándose abiertamente como "Hologram" con la descripción "Generador de entidades señuelo para distracción táctica".

Una vez que el instalador falso se ejecuta, verifica si se encuentra dentro de una máquina virtual o un sandbox. Busca cadenas de BIOS vinculadas a máquinas virtuales, librerías de software sospechosas y perfiles de hardware que no coincidan con sistemas reales.

Los hackers utilizan un instalador falso de OpenClaw

Si esas comprobaciones se superan, espera a que haya un movimiento real del ratón antes de hacer cualquier otra cosa. Los sandboxes automatizados no mueven el ratón, por lo que el malware se queda quieto y nunca es detectado.

Tras confirmar que está en una máquina real, el dropper desactiva Windows Defender, abre puertos del firewall y descarga seis componentes modulares que trabajan juntos. El atacante recibe una confirmación en su canal privado de Telegram una vez que los seis módulos se cargan correctamente.

El componente de robo de credenciales de esta campaña es amplio y organizado. El malware obtiene una lista de objetivos de una organización de Azure DevOps controlada por el atacante, que cubre 250 extensiones de navegador.

Esa lista incluye 201 monederos de criptomonedas como MetaMask, Phantom, Coinbase, OKX, Rabby y Ronin, además de 49 gestores de contraseñas y aplicaciones de autenticación, incluyendo Bitwarden, LastPass, 1Password, NordPass, KeePass y Google Authenticator.

Debido a que la lista reside en un repositorio Git remoto en lugar de estar codificada en cualquier binario, el atacante puede actualizar los objetivos sin reescribir el malware. La lista de aplicaciones atacadas puede crecer silenciosamente sin activar nuevas detecciones. Por separado, el malware también accede a los datos de Ledger Live en el sistema de archivos, dando al atacante dos rutas de robo independientes.

Los seis módulos de la etapa 2 tienen cada uno un rol específico. Uno recopila huellas digitales del hardware para decidir si la víctima merece un ataque completo. Otro abre una conexión persistente al servidor del atacante.

Un tercero carga un ensamblado .NET oculto enteramente en la memoria utilizando un componente de Rust llamado clroxide, una técnica nunca antes documentada en una campaña de crimeware. La persistencia se implementa a través de autorun de registro, un secuestro del inicio de sesión de Windows, una tarea programada y droppers basados en Telegram que sobreviven incluso si se elimina el implante principal.

Una amenaza en rápida evolución con infraestructura rotativa

Lo que hace que esta campaña sea tan difícil de detener es cómo el atacante gestiona su infraestructura. La dirección del servidor de comando nunca está codificada en el malware. En su lugar, el implante la lee de la descripción de un canal de Telegram, por lo que si un dominio es bloqueado, obtiene uno nuevo en la siguiente comprobación. Durante el análisis activo, el atacante rotó cada capa antes de que se publicaran los hallazgos.

Todos los datos de la víctima, incluidos nombres de usuario, direcciones IP y marcas de tiempo, se enrutan a través de Hookdeck, un servicio legítimo de retransmisión de webhooks. Esto mantiene el token del bot de Telegram del atacante totalmente fuera del tráfico de red, lo que hace muy difícil rastrear el backend de comando real.

Los equipos de seguridad deben vigilar las señales conductuales que sobreviven a la rotación de dominios. Estas incluyen archivos de instalador inusualmente grandes, PowerShell lanzado desde binarios soltados con nombres de comandos fragmentados, tráfico saliente a dominios de retransmisión de webhooks, conexiones de Azure DevOps desde procesos que no son de desarrollo y reglas de firewall abiertas programáticamente en los puertos 56001 al 57002. Bloquear dominios individuales por sí solo no es suficiente. La inspección a nivel de aplicación y la detección conductual son necesarias para capturar lo que esta campaña está haciendo dentro de servicios confiables.

Indicadores de Compromiso (IoCs):-

Hashes de Archivos

Dominios

Direcciones IP

URLs de Dead-drop y Staging

Mutexes

Claves de Registro

Archivos y Rutas

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (p. ej., [.]) para evitar la resolución accidental o el enlace automático. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.