Una campaña de malware vinculada a Corea del Norte ha implementado un método para mantener la conexión con equipos infectados, ocultando la ubicación de su servidor de control dentro de transferencias de criptomonedas en lugar de almacenar el código en Ethereum. Los atacantes atraen a los desarrolladores mediante ofertas de trabajo falsas, repositorios de código contaminados y paquetes de software maliciosos que, al ejecutarse, instalan el malware.

Una campaña de malware vinculada a Corea del Norte ha encontrado una manera de mantener los ordenadores infectados conectados a sus operadores. En lugar de almacenar el malware en Ethereum, los atacantes ocultan la ubicación de un servidor de control dentro de transferencias de criptomonedas.

La campaña llega a los desarrolladores a través de ofertas de trabajo falsas, repositorios de código contaminados y paquetes de software maliciosos. Ejecutar el código puede instalar una herramienta de acceso remoto y un robador de credenciales en Windows, macOS y Linux.

Investigadores de Ransom-ISAC identificaron el nuevo componente de Ethereum en muestras de XCTDH de septiembre de 2026.

Ransom-ISAC afirmó en un informe que esta técnica le da al malware otra forma de encontrar a su operador si otras rutas son interrumpidas.

La operación fue documentada por primera vez en octubre de 2025, pero los investigadores descubrieron que sus señales de Ethereum comenzaron en junio de 2026. Contabilizaron 2.655 transacciones durante 90 días. El informe no establece cuántos ordenadores fueron infectados ni cuántos datos fueron robados.

Convirtieron Ethereum en un sistema de mensajería secreto

El método, llamado HashHiding por Ransom-ISAC, convierte la dirección del destinatario de una transferencia de Ethereum en un mensaje diminuto. Sus primeros cuatro bytes representan la dirección de internet del servidor, y los siguientes dos representan su puerto.

Los bytes restantes contienen un segundo punto final y relleno. Esto es diferente a colocar cargas completas de malware en los datos de transacciones de blockchain.

Estas transferencias no llevan ninguna llamada a contratos inteligentes ni scripts ocultos. La mayoría no mueve ninguna criptomoneda, mientras que algunas transfieren una cantidad ínfima a una dirección cuya clave privada no se espera que nadie controle.

El malware vigila las transacciones enviadas desde la cartera de señalización del operador. Escanea bloques recientes de Ethereum a través de puntos de acceso públicos, encuentra una transferencia coincidente, decodifica su dirección de destinatario y contacta con el servidor que esta revela.

El servidor suministra entonces el código que puede reconstruir la infección. Informes anteriores sobre servidores de malware ocultos en transferencias de Ethereum describieron un método relacionado llamado NullReceiver.

Ransom-ISAC reconoce esa descripción pública anterior, mientras rastrea esta campaña separada a través de su propia recolección en la cadena (on-chain). La distinción es importante porque aquí una dirección de blockchain actúa como una señal, no como un sitio de almacenamiento para el malware.

El operador cambió el destino codificado en cuatro ocasiones distintas durante el periodo observado. Las dos primeras señales apuntaban a la misma dirección de internet en puertos diferentes; las señales posteriores se movieron a otro rango de direcciones. Un cambio posterior alteró solo el número final de la dirección del servidor, un cambio que podría escapar a las listas de bloqueo.

Múltiples rutas mantienen el malware conectado

Ethereum es solo una parte de esta operación. El cargador inicial verifica transacciones en TRON, con Aptos como respaldo, para localizar JavaScript cifrado almacenado en transacciones de BNB Smart Chain. Esa ruta más antigua entrega el código, mientras que la ruta de Ethereum suministra una ubicación de servidor actualizada.

El ataque comienza cuando un desarrollador sigue una solicitud de reclutamiento falsa y ejecuta un proyecto o paquete envenenado. Como han demostrado los cargadores de JavaScript ocultos en repositorios, un proyecto puede llevar código que contacta con servicios de blockchain tras su ejecución.

En este caso, el cargador oculto introduce etapas posteriores sin un enlace de descarga malicioso obvio. La herramienta de acceso remoto actualizada puede ejecutar comandos, registrar pulsaciones de teclado y vigilar el portapapeles.

Un robador independiente de un solo uso busca información del navegador, datos del gestor de contraseñas, credenciales de almacenamiento en la nube y material de carteras de criptomonedas. Los investigadores contaron 153 carteras objetivo y afirmaron que los datos robados salen a través de una interfaz de bot de mensajería.

El escáner de Ethereum se inicia junto con la herramienta de acceso remoto, no solo después de que una conexión falle. Una ubicación de servidor codificada y la ruta antigua entre cadenas también permanecen activas. Este diseño paralelo significa que bloquear un servidor o un punto de acceso de blockchain puede dejar otra ruta abierta.

El riesgo general se asemeja a los ataques a desarrolladores que utilizan cargas de blockchain, donde una tarea de desarrollo con apariencia confiable se convierte en el primer paso del compromiso.

Ransom-ISAC recomienda estar atento a consultas inesperadas de bloques de Ethereum seguidas de conexiones a servidores inusuales y monitorear la cartera de señalización para nuevos cambios de destino.

Los equipos que investiguen una posible infección también deberían examinar los procesos de Node.js que ejecuten código evaluado y revisar los entornos de desarrollo.

Eliminar un servidor conocido por sí solo no es suficiente si el malware puede leer una dirección de servidor más reciente de los registros públicos de la blockchain y reiniciar la cadena.