Un nuevo actor de amenazas, identificado como JINX-0164, está llevando a cabo ataques dirigidos contra organizaciones de criptomonedas. El grupo utiliza perfiles de LinkedIn para engañar a los desarrolladores y lograr que descarguen malware personalizado para macOS. Activos desde mediados de 2025, combinan ingeniería social, robo de credenciales y sabotaje de la cadena de suministro para comprometer todo el proceso de desarrollo de software.

Un nuevo actor de amenazas, rastreado como JINX-0164, ha estado llevando a cabo ataques calculados contra organizaciones de criptomonedas, utilizando perfiles de LinkedIn para atraer a desarrolladores y lograr que descarguen malware personalizado para macOS.

Activo al menos desde mediados de 2025, el grupo ha combinado ingeniería social, robo de credenciales y sabotaje de la cadena de suministro en una operación fluida que pone en riesgo todo el flujo de desarrollo de software.

Los ataques comienzan con un perfil de LinkedIn convincentemente diseñado que contacta a los objetivos bajo la apariencia de una oportunidad de negocio o una oferta de trabajo.

Una vez establecida la confianza, las víctimas reciben una invitación a una reunión vinculada a una página de plataforma de conferencias falsa, diseñada para parecerse a Microsoft Teams o servicios similares.

Al hacer clic en el enlace, se activa la descarga de una herramienta de acceso remoto específica para macOS que comienza a robar datos confidenciales silenciosamente desde el momento en que se ejecuta.

Investigadores de Wiz.io identificaron y nombraron al grupo de amenazas JINX-0164 tras investigar múltiples intrusiones dirigidas a empresas de criptomonedas.

Wiz CIRT y Wiz Research indicaron en un informe compartido con Cyber Security News que este actor tiene motivaciones financieras y ha estado desplegando dos familias de malware distintas, AUDIOFIX y MINIRAT, con un enfoque claro en los dispositivos macOS.

AUDIOFIX es un infostealer basado en Python compilado y una puerta trasera que recolecta credenciales del navegador, extensiones de billeteras de criptomonedas, claves SSH, tokens de API de la nube e incluso datos del portapapeles en tiempo real.

Se comunica con su servidor de comando y control a través de HTTPS cifrado, utilizando el cifrado AES-256-CBC, y puede cambiar silenciosamente a intervalos de sondeo aleatorios para evitar la detección.

El malware también apunta a sesiones activas en plataformas de comunicación como Discord, Slack y Telegram, otorgando a los atacantes una visión amplia de la vida digital de la víctima.

El actor de amenazas enmascaró su actividad de red enrutando las conexiones a través de servicios de VPN comerciales, lo que dificulta la atribución.

Para cubrir aún más sus huellas, manipularon los metadatos de los commits de Git para suplantar a desarrolladores legítimos y enviaron código malicioso directamente a repositorios internos, convirtiendo la propia infraestructura de desarrollo de la organización en un mecanismo de entrega para nuevas infecciones.

El actor de amenazas JINX-0164 utiliza ingeniería social en LinkedIn

La cadena de ataque se desarrolló durante un período de dos semanas en un caso documentado, pasando de un mensaje de LinkedIn al compromiso total de la infraestructura.

Una vez que un desarrollador hacía clic en el enlace de la reunión falsa, se descargaba AUDIOFIX a través de un script "bash dropper" alojado en un dominio falso de actualización de controladores.

La carga útil se disfrazaba como un componente de audio del sistema llamado coreaudiod y se guardaba como ChromeUpdater, lanzándose a través de launchctl para establecer persistencia.

Tras ganar acceso, el malware recolectó credenciales del Llavero de macOS, navegadores y archivos de configuración de la nube, incluyendo claves de AWS, GCP y Azure, así como tokens de API de Cloudflare.

Luego, se utilizaron tokens de GitHub para exfiltrar secretos de los flujos de CI/CD utilizando una herramienta de código abierto llamada nord-stream. El atacante insertó código infectado en repositorios compartidos, lo que propagó AUDIOFIX a cada desarrollador que descargara y compilara desde esas ramas.

Ataque a la cadena de suministro a través de un paquete npm troyanizado

El 7 de abril de 2026, JINX-0164 escaló el ataque apuntando a la cadena de suministro de software en general. El grupo modificó silenciosamente la versión 4.9.1 del paquete npm @velora-dex/sdk, un SDK de criptomonedas ampliamente utilizado, añadiendo código que descargaría y ejecutaría un script de shell cada vez que el paquete fuera importado por cualquier proyecto.

Ese script de shell entregaba MINIRAT, una puerta trasera ligera basada en Go que registra las máquinas infectadas en la misma infraestructura de comando y control utilizada por AUDIOFIX.

Aunque MINIRAT no realiza el mismo robo automatizado masivo de datos, proporciona a los operadores acceso remoto persistente y la capacidad de ejecutar comandos y mover archivos.

En este incidente solo se vieron comprometidas las credenciales de npm, ya que el código fuente en GitHub permaneció sin modificaciones.

Se recomienda a las organizaciones implementar una solución de Detección y Respuesta de Endpoints (EDR) y habilitar el registro de auditoría en todas las plataformas en la nube y sistemas de control de versiones por defecto.

Tus equipos de seguridad deben vigilar los commits no verificados en GitHub, el uso inesperado de VPN de proveedores como ExpressVPN, Astrill VPN y Mullvad VPN, y cualquier actividad anómala de flujo de trabajo en los pipelines de CI/CD.

Activar el Modo Vigilante de GitHub puede ayudar a detectar intentos de suplantación de desarrolladores mediante commits no firmados o discordantes. Los equipos también deben monitorizar el uso de nord-stream y marcar cualquier publicación de nuevos paquetes de código que provengan de direcciones IP desconocidas.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (ej. [.]) para evitar la resolución accidental o la creación de hipervínculos. Solo actívalos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.