Una campaña de malware recién descubierta está vaciando silenciosamente monederos de criptomonedas haciendo algo que la mayoría de las herramientas de seguridad nunca ven venir.

En lugar de depender de ataques de fuerza bruta o exploits de la dark web, el actor de amenazas detrás de esta campaña construyó un motor de reputación falso en múltiples plataformas para hacer que el software peligroso parezca completamente seguro y confiable.

El malware en el centro de todo esto es un secuestrador de portapapeles escrito en Rust, un lenguaje de programación conocido por su velocidad y control de bajo nivel.

Se ejecuta silenciosamente en segundo plano, vigila cualquier dirección de monedero de criptomonedas copiada en el portapapeles y la sustituye por una dirección controlada por el atacante.

Para cuando la víctima completa una transferencia, los fondos van al monedero equivocado sin posibilidad de revertir la transacción.

Analistas de Check Point Research dijeron en un informe que identificaron el alcance total de esta campaña, señalando cómo el actor de amenazas construyó todo un ecosistema para entregar y camuflar el malware.

La operación se dirige a traders de criptomonedas, jugadores en línea y cualquier persona que busque atajos para obtener ganancias rápidas, atrayéndolos con herramientas falsas como bots sniper de Solana, predictores de Aviator y pronosticadores de juegos de crash.

Ninguna de estas herramientas funciona como se anuncia. Todas sirven como vehículos de entrega para el secuestrador de portapapeles. Lo que hace que esta campaña destaque no es el malware en sí, sino la elaborada red de credibilidad falsa que lo rodea.

El atacante utilizó un sitio de phishing de WordPress como centro principal y dirigió a las víctimas hacia GitHub, SourceForge y YouTube, todos mostrando una interacción inflada mediante cuentas falsas.

Combinado con bajas tasas de detección en plataformas de seguridad, creó una ilusión convincente de legitimidad en la que incluso los usuarios cuidadosos podrían caer.

Rust Clipboard Hijacker

El actor de amenazas opera al menos seis cuentas de GitHub, incluyendo Decryptor-j, crash-predictor1 y roblox-script1, utilizando Ghost Networks para inflar artificialmente las estrellas y los forks de los repositorios.

Un repositorio mostraba 146 estrellas y 62 forks, todos probablemente generados por cuentas falsas coordinadas.

Solo en GitHub, los investigadores contaron más de 5,000 descargas, con más de 1,250 vinculadas a la herramienta "Aviator Predictor" para macOS.

SourceForge contó una historia similar, registrando un total de 44,485 descargas, aunque la mayoría parecen sospechosas.

Una gran parte provino de dispositivos Android a pesar de que solo existen versiones para Windows y macOS, lo que sugiere fuertemente que se utilizó una granja de dispositivos Android para inflar artificialmente el recuento de descargas.

El engaño también se extendió a VirusTotal, donde algunas muestras de malware recibieron votos benignos y comentarios "seguros" de la comunidad.

Check Point Research señaló que esta manipulación del sentimiento, combinada con tasas de detección de antivirus ya bajas, puede engañar tanto a los usuarios como a los sistemas de detección automatizados basados en la reputación.

El resultado no hace que el archivo sea realmente más seguro, pero hace que parezca que lo es, y eso es suficiente.

Cómo funciona realmente el secuestrador de portapapeles

En Windows, las víctimas descargan un ZIP y ejecutan un archivo como SniperBot_Premium(Free).exe, que es un cargador .NET que ejecuta silenciosamente un archivo oculto llamado silkebin.exe, el secuestrador de portapapeles real construido en Rust.

Se instala en una carpeta de inicio para que se lance automáticamente en cada arranque del sistema. El malware monitorea los cambios en el portapapeles y verifica si el texto copiado coincide con una dirección de criptomoneda utilizando expresiones regulares para Bitcoin, Ethereum, Litecoin, Tron, XRP, Monero, Cardano, Dogecoin y más.

Cuando se detecta una coincidencia, sustituye silenciosamente la dirección por una extraída de una lista integrada de más de 15,500 monederos controlados por el atacante.

Estos monederos se rotan frecuentemente, sustituyendo las direcciones utilizadas por otras nuevas después de cada transacción completada.

En macOS, se indica a las víctimas que ejecuten unlocker.command, que elimina las advertencias de seguridad de macOS y lanza la aplicación maliciosa automáticamente.

Esta versión instala un LaunchAgent para persistencia e incluye un bucle de vigilancia de autorreparación que reescribe continuamente sus propios archivos, haciendo que la eliminación sea extremadamente difícil sin matar primero el proceso activo.

Se te recomienda encarecidamente evitar la descarga de cualquier herramienta que prometa ganancias de trading automatizadas o atajos de juego de fuentes no oficiales.

Verifica siempre cada dirección de monedero carácter por carácter antes de enviar cualquier criptomoneda, y nunca confíes en un archivo basándote únicamente en su recuento de estrellas de GitHub, cifras de descarga o comentarios de la comunidad de VirusTotal.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.