Se ha identificado un nuevo malware para Windows llamado Lucid Stealer, el cual preocupa a los expertos en ciberseguridad por su amplio alcance y capacidades avanzadas. Descubierto a través de canales de Telegram, este software no solo roba contraseñas, sino que puede tomar el control total de la máquina infectada, afectando a 18 navegadores, billeteras de criptomonedas y tokens de Discord mediante un acceso remoto oculto.

Un malware de Windows recientemente identificado está despertando serias preocupaciones entre los profesionales de la ciberseguridad por su amplio alcance y su conjunto de capacidades inusualmente profundas.

Descubierta a través de canales clandestinos vinculados a Telegram, la amenaza conocida como Lucid Stealer va mucho más allá de robar unas cuantas contraseñas almacenadas. Puede tomar el control total de una máquina infectada sin que la víctima note que algo anda mal.

Lo que hace que este malware sea particularmente peligroso es cómo se camufla. Todo el paquete malicioso está envuelto dentro de un entorno de ejecución de Node.js legítimo, lo que hace que parezca una aplicación de software normal para la mayoría de las herramientas de seguridad estándar.

Este empaquetado tan astuto le permite evadir las defensas básicas mientras lleva a cabo silenciosamente una amplia gama de actividades dañinas en segundo plano.

Investigadores de Foresiet identificaron y analizaron estáticamente esta versión de Lucid Stealer tras notar una actividad renovada vinculada a un canal de Telegram dedicado que promociona la herramienta como un producto de pago basado en suscripción.

Foresiet afirmó en un informe que la muestra es mucho más capaz que un robador de credenciales típico, ya que combina el robo de datos con el acceso remoto en vivo en una sola compilación.

El malware se vende como un servicio comercial, completo con un panel web alojado, claves de licencia y un canal de soporte activo.

Los operadores cerraron brevemente el proyecto a finales de mayo de 2026 antes de relanzarlo días después, anunciando una reconstrucción total del sitio e incluso un plan para dejar de usar Node.js y pasar a Java para mejorar la evasión. Esto demuestra que las personas detrás de esto están invirtiendo activamente en mejorar y expandir la amenaza.

La situación es especialmente grave porque las infecciones deben tratarse como compromisos totales. Las credenciales, las cookies del navegador, las sesiones de Discord, las claves de monederos de criptomonedas y los datos de sesión de Roblox están en riesgo en el momento en que el malware se ejecuta.

Se insta a los defensores a actuar rápido y asumir que todo lo almacenado en la máquina infectada ya ha sido visto por el atacante.

Nuevo Lucid Stealer apunta a 18 navegadores, monederos de criptomonedas y tokens de Discord

Lucid Stealer está diseñado para robar prácticamente cada rincón de la vida digital de un usuario. La versión analizada apunta a 18 navegadores, 21 formatos de "clipper" de criptomonedas, siete monederos de escritorio, siete extensiones de navegador para monederos y cuatro variantes del cliente de Discord.

Busca credenciales guardadas, cookies de sesión, datos de autocompletado e historial del navegador utilizando una herramienta SQLite integrada para consultar directamente las bases de datos copiadas del navegador.

El malware se inyecta en los clientes de Discord para robar tokens y modificar la aplicación para enviar los datos robados de vuelta continuamente. También monitorea la actividad del portapapeles, por lo que cualquier dirección de monedero de criptomonedas que la víctima copie puede ser intercambiada silenciosamente por una controlada por el atacante.

Estas capacidades trabajan juntas para vaciar tanto las cuentas financieras como las plataformas de comunicación al mismo tiempo.

Lo que realmente diferencia a esta amenaza es su módulo de acceso remoto. El malware incluye una función de control de escritorio oculta, llamada HVNC, que permite a los operadores tomar el control de una máquina visualmente sin abrir ninguna ventana visible en la pantalla de la víctima.

Combinado con una shell remota, un administrador de archivos, registro de pulsaciones de teclas (keylogging) y captura de pantalla, el atacante tiene esencialmente el mismo acceso que si estuviera sentado frente a la máquina.

Cadena de infección y guía de detección para defensores

El malware llega en un archivo ZIP protegido por contraseña. Una vez abierto, se ejecuta a través de un proceso de configuración por capas que suelta archivos auxiliares, establece la persistencia en el registro de Windows y, opcionalmente, intenta obtener privilegios elevados.

Para cuando el payload principal se descifra y se ejecuta, el atacante ya tiene un punto de apoyo estable.

Los equipos de seguridad deberían centrarse en la detección basada en el comportamiento en lugar de confiar solo en los hashes de archivos, ya que los operadores ya han anunciado planes para reconstruir el malware en una nueva plataforma.

Buscar copias temporales autofacturadas en la carpeta TEMP de Windows disfrazadas como archivos “winupd”, entradas sospechosas en el registro HKCU Run llamadas WindowsUpdate y archivos de módulo .node inesperados que aparezcan en los perfiles de usuario son algunas de las señales más fuertes de una infección activa.

Los defensores de red deben bloquear todo el tráfico a la dirección C2 conocida y vigilar las solicitudes POST repetidas a los puntos finales de registro e upload internos como confirmación adicional.

Indicadores de Compromiso (IoCs)

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (ej. [.]) para evitar resoluciones accidentales o enlaces. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.