Un nuevo cargador de malware llamado GoFlateLoader se ha estado propagando silenciosamente por internet, y lo que lo hace destacar no es su complejidad, sino lo efectivo que ha resultado un truco simple.

Escrito en el lenguaje de programación Go, este cargador tiene una sola misión: decodificar e instalar programas peligrosos de robo de información en el ordenador de una víctima sin ser detectado.

No lo logra mediante técnicas de hacking avanzadas, sino haciendo que su propio tamaño sea demasiado grande para que la mayoría de las herramientas de seguridad puedan analizarlo.

GoFlateLoader se distribuye activamente desde al menos abril de 2026 y, en ese corto tiempo, ya ha afectado a más de 33.000 usuarios únicos en todo el mundo.

Entre los países más afectados se encuentran Brasil, India, Argentina, México, Turquía y España, lo que dibuja el panorama de una campaña amplia y continua que no muestra signos de detenerse.

Se ha visto que el cargador entrega varios infostealers conocidos, incluidos Lumma, Vidar, StealC, Amatera, Remus y SvitStealer.

Investigadores de Gen Digital identificaron y han estado rastreando a GoFlateLoader, señalando que destaca precisamente por lo que le falta.

Como dijo Gen Digital en un informe , el cargador no incluye comprobaciones anti-depuración, ni detección de máquinas virtuales, ni lógica de evasión de sandbox, herramientas que la mayoría de los cargadores utilizan habitualmente. En su lugar, se apoya en un método engañosamente simple para mantenerse fuera del radar.

Las dos formas principales en que GoFlateLoader llega a las víctimas son a través de descargas falsas de software craqueado y mediante un sistema de distribución de tráfico malicioso documentado recientemente por Check Point Research.

En esa segunda vía, las víctimas son redirigidas a una página de aterrizaje que muestra un archivo protegido por contraseña junto con la contraseña para abrirlo, mostrada por separado. Esta separación dificulta que las herramientas de seguridad desempaqueten y analicen automáticamente el contenido.

Una vez que el cargador se ejecuta, decodifica su carga útil enteramente dentro de la memoria del ordenador, lo que significa que el programa malicioso final nunca se escribe en el disco duro.

Este enfoque en memoria es una táctica conocida para evitar la detección por parte del software de seguridad que monitoriza la actividad de archivos en el disco.

El uso de la función syscall.Syscall de Go como mecanismo de transferencia, con argumentos ficticios codificados, es un patrón de comportamiento inusual que los investigadores afirman que podría servir como un marcador de detección útil.

GoFlateLoader utiliza un Overlay PE masivo

La característica definitoria de GoFlateLoader es el tamaño de su archivo, que normalmente oscila entre los 700 y 950 megabytes. Este tamaño enorme no es accidental.

El cargador infla artificialmente su tamaño añadiendo un gran bloque de datos, conocido como overlay PE, al final del código ejecutable real. En la mayoría de las muestras observadas, estos datos adicionales son simplemente bytes nulos, aunque algunas versiones utilizan relleno aleatorio.

El objetivo de esta inflación es sencillo. Muchos motores antivirus, herramientas de detección de endpoints y plataformas de análisis en la nube imponen límites de tamaño estrictos para los archivos que están dispuestos a analizar profundamente. VirusTotal, una de las plataformas de inteligencia de amenazas más utilizadas, impone un límite de subida de 650 MB.

El tamaño constante de GoFlateLoader, justo por encima de ese umbral, sugiere fuertemente que fue creado específicamente para escabullirse de VirusTotal y herramientas similares con restricciones de tamaño. Cuando se comprime para su distribución, los datos inflados se reducen drásticamente, haciendo que la entrega sea rápida y económica para los atacantes.

Cargas útiles entregadas y la amenaza que representan

Las cargas útiles finales que entrega GoFlateLoader son todas infostealers: programas diseñados para recolectar silenciosamente contraseñas guardadas, datos del navegador y credenciales de billeteras de criptomonedas de las máquinas infectadas.

Las cargas más comunes observadas son Amatera, Remus y Lumma, aunque también se han visto Vidar, StealC y SvitStealer. El cargador existe en versiones de 32 y 64 bits, cada una adaptada a la arquitectura de la carga útil que debe ejecutar.

Puedes reducir tu riesgo evitando descargas de fuentes no oficiales o no confiables, especialmente el software anunciado como craqueado o versiones gratuitas de programas de pago.

Se recomienda encarecidamente mantener actualizadas las herramientas de seguridad y utilizar soluciones capaces de detectar amenazas en memoria en lugar de confiar únicamente en el escaneo de archivos. Dado que GoFlateLoader evita escribir las cargas útiles en el disco, es poco probable que la detección tradicional basada en archivos sola lo capture.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (ej., [.]) para evitar resoluciones o enlaces accidentales. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.