Alerta de seguridad: infostealer alojado en blockchain ataca sistemas Windows y macOS
El ecosistema de malware llamado infostealer o ladrón de información, cobra cada vez más valor para los hackers maliciosos en todo el ámbito digital. Se encuentran operando bajo modelos de malware como servicio o MaaS, se distribuyen por medio de redes de afiliados y están diseñados para resistir el derribo de su infraestructura.
Esa resiliencia ha quedado demostrada cuando la Unidad de Delitos Digitales de Microsoft desmanteló los dominios maliciosos de Lumma Sealer recientemente. Los infostealers recopilan y extraen información crítica, incluidos datos de identidades no humanas o NHI, desde sistemas vulnerados en la nube, plataformas SaaS, redes privadas virtuales o VPN y entornos de desarrollo.
Igualmente, impulsan operaciones de ransomware al multiplicar las credenciales y rutas de acceso disponibles para los ciberdelincuentes, alimentando el alto volumen de ataques basados en identidad del panorama actual.
A lo largo de este 2026, diversas firmas de seguridad informática han rastreado múltiples campañas que utilizan ingeniería social para engañar a los usuarios, empujándolos a ejecutar acciones maliciosas y almacenar cargas iniciales con ladrones de información.
Hace poco, equipos de investigación de amenazas ha destapado una campaña específica de ClickFix con un ladrón de información alojado en blockchain dirigido contra computadoras Windows y macOS. Los defensores detectaron entornos afectados en lugares como Estados Unidos, Asia, Medio Oriente y Europa, donde este malware ha infectado sistemas luego de un acceso inicial, probablemente derivado de ClickFix.
Las investigaciones han revelado que los cibercriminales combinaron infraestructura blockchain descentralizada con servicios legítimos de alta confianza, con el objetivo de infiltrar el código malicioso y robar datos tanto en sistemas Windows como en macOS. Luego del acceso inicial, los sistemas comprometidos establecieron comunicación de comando y control con configuraciones y cargas alojadas en blockchain públicos.
TIC Defense se ha unido a la lucha contra el malware por medio de un conjunto de servicios y productos de última tecnología, los cuales se enfocan en la prevención y en la respuesta rápida a cualquier tipo de incidentes potencialmente maliciosos. Además, se encarga de aumentar y optimizar las defensas informáticas de las organizaciones, adaptándose a las necesidades de las mismas.
El objetivo final apunta al robo de credenciales y criptomonedas por medio del despliegue de ladrones de información como Atomic macOS Stealer o AMOS, Lumma, Rhadamanthys y Vidar. En la cartera de clientes de las firmas de ciberseguridad, los dispositivos infectados realizaron conexiones salientes hacia puntos extremos inusuales bajo patrones propios de balizamiento (beaconing) y actividad C2.
Los ordenadores se conectaban de manera repetida con dominios generados por algoritmos. Por medio de Inteligencia de Fuentes Abiertas u OSINT, muchos de estos dominios han sido vinculados con familias de malware de ladrones de información como los denominados AMOS y Phexia.
En otros casos, los equipos también se conectaron con nodos de blockchain y con servicios públicos legítimos como GitHub. Aprovechar infraestructura descentralizada y plataformas confiables como GitHub para distribuir malware y sostener el canal de comando y control complica la contención y la distribución del ataque por parte de los defensores.
Los especialistas han detectado también que gran parte de los dispositivos afectados se encargaban de abrir conexiones salientes hacia infraestructura de criptominería ligada al software libre llamado XMRig y al grupo de minería HashVault. Los ciberdelincuentes abusaron de dominios legítimos y dejaron al descubierto una minería activa de criptomonedas dentro de los sistemas vulnerados.
