{"id":1006,"date":"2026-05-28T09:32:50","date_gmt":"2026-05-28T09:32:50","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/28\/jinx-0164-apunta-a-empresas-de-criptomonedas-con-senuelos-de-reclutamiento-falsos-y-malware-para-macos-cyberdefensa-mx\/"},"modified":"2026-05-28T09:32:50","modified_gmt":"2026-05-28T09:32:50","slug":"jinx-0164-apunta-a-empresas-de-criptomonedas-con-senuelos-de-reclutamiento-falsos-y-malware-para-macos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/28\/jinx-0164-apunta-a-empresas-de-criptomonedas-con-senuelos-de-reclutamiento-falsos-y-malware-para-macos-cyberdefensa-mx\/","title":{"rendered":"JINX-0164 apunta a empresas de criptomonedas con se\u00f1uelos de reclutamiento falsos y malware para macOS \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Una nueva campa\u00f1a orquestada por un actor de amenazas previamente indocumentado se ha dirigido a organizaciones de criptomonedas con el objetivo de facilitar el robo de activos digitales mediante ingenier\u00eda social con tem\u00e1tica de reclutamiento y malware macOS personalizado.<\/p>\n

\u00abEstas campa\u00f1as aprovecharon sofisticadas t\u00e9cnicas de ingenier\u00eda social, malware personalizado para macOS y una focalizaci\u00f3n profunda en la infraestructura CI\/CD\u00bb, afirman los investigadores de Wiz Shira Ayal, Eden Abergil, Andre Maccarone, Yuval Dan y Benjamin Read. dicho<\/a>. \u00abLos m\u00e9todos utilizados permitieron al actor de amenazas pasar lateralmente de las computadoras port\u00e1tiles de los empleados comprometidas a los sistemas de distribuci\u00f3n de c\u00f3digos y la infraestructura de desarrollo\u00bb.<\/p>\n

La empresa de seguridad en la nube propiedad de Google est\u00e1 rastreando la actividad bajo el nombre JINX-0164<\/b>. Se considera que el actor de amenazas est\u00e1 activo desde al menos mediados de 2025 y est\u00e1 motivado por ganancias financieras, apuntando a los desarrolladores a trav\u00e9s de t\u00e9cnicas de reclutamiento y otras t\u00e9cnicas de ingenier\u00eda social para desviar criptomonedas. En al menos un caso, se dice que el adversario llev\u00f3 a cabo un ataque a la cadena de suministro.<\/p>\n

En la cadena de ataque documentada por Wiz, se descubri\u00f3 que JINX-0164 aprovecha perfiles cre\u00edbles de LinkedIn para acercarse a las v\u00edctimas y ofrecer una reuni\u00f3n virtual. La invitaci\u00f3n a la reuni\u00f3n est\u00e1 dise\u00f1ada para dirigir al objetivo a un dominio fraudulento que se hace pasar por un proveedor de teleconferencias.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

A partir de ah\u00ed, se enga\u00f1a a las v\u00edctimas para que descarguen e instalen el programa. Esto, a su vez, activa la recuperaci\u00f3n de un ladr\u00f3n de informaci\u00f3n de macOS basado en Python y un troyano de acceso remoto con nombre en c\u00f3digo AUDIOFIX utilizando un script bash alojado en un dominio de tienda de controladores falso (\u00abapple.driver-store[.]com\u00bb).<\/p>\n

\u00abEl [bash] El script descarg\u00f3 una carga \u00fatil compatible con la arquitectura del mismo dominio, compatible con los sistemas Intel y Apple Silicon. La carga \u00fatil se hace pasar por un controlador de audio del sistema llamado coreaudiod, se guard\u00f3 como ChromeUpdater y se ejecut\u00f3 a trav\u00e9s de launchctl\u00bb, dijo Wiz.<\/p>\n

\"\"<\/a><\/div>\n

Luego, el malware Python se aprovecha para robar datos confidenciales del punto final comprometido, moverse lateralmente a sistemas de distribuci\u00f3n de c\u00f3digo interno e infraestructura de desarrollo inyectando la carga \u00fatil AUDIOFIX y modificar el c\u00f3digo fuente en un intento de comprometer otros puntos finales y robar credenciales de billetera de criptomonedas.<\/p>\n

Los datos capturados incluyen credenciales de administradores de contrase\u00f1as, navegadores web y archivos de llavero de iCloud; credenciales de administrador local; claves SSH; archivos de configuraci\u00f3n; archivos de historial de la consola; informaci\u00f3n de extensiones del navegador de criptomonedas; direcciones de billeteras de criptomonedas; y sesiones activas de Discord, Slack y Telegram.<\/p>\n

\"\"<\/a><\/div>\n

Adem\u00e1s del robo de informaci\u00f3n, AUDIOFIX admite varios comandos que permiten el reconocimiento manual, la exfiltraci\u00f3n, la ejecuci\u00f3n arbitraria de comandos de shell, la eliminaci\u00f3n de archivos y la recuperaci\u00f3n de carga \u00fatil desde un servidor externo.<\/p>\n

Tambi\u00e9n se ha observado que JINX-0164 apunta a desarrolladores de software haci\u00e9ndose pasar por reclutadores, mientras emplea la misma t\u00e9cnica de ingenier\u00eda social: aprovechar la oportunidad de trabajo para programar una reuni\u00f3n que muestra un error t\u00e9cnico falso e indica a la v\u00edctima que descargue una \u00absoluci\u00f3n\u00bb que conduce a la instalaci\u00f3n de malware.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Otro componente clave del arsenal del actor de amenazas es MiniRAT, una puerta trasera basada en Go que anteriormente se distribu\u00eda a trav\u00e9s de una versi\u00f3n comprometida de un paquete npm llamado @velora-dex\/sdk<\/a>un conjunto de herramientas DeFi leg\u00edtimo que se utiliza para intercambios de tokens, \u00f3rdenes limitadas y operaciones delta en la plataforma de intercambio descentralizado VeloraDEX.<\/p>\n

Por detalles<\/a> compartida por SafeDep y StepSecurity el mes pasado, la versi\u00f3n envenenada descarg\u00f3 un script de shell desde un servidor remoto, que luego entreg\u00f3 un binario espec\u00edfico de macOS llamado minirata<\/a>. El malware est\u00e1 equipado para cargar archivos, ejecutar comandos de shell arbitrarios y recuperar cargas \u00fatiles o herramientas adicionales de dominios controlados por atacantes.<\/p>\n

Vale la pena se\u00f1alar que algunos aspectos de la campa\u00f1a, junto con el uso de servicios VPN como Astrill VPN y el enfoque en criptomonedas y desarrolladores, recuerdan a los utilizados por m\u00faltiples grupos de amenazas norcoreanos como BlueNoroff, Contagious Interview y UNC1069. Sin embargo, Wiz dijo que no hay superposiciones de infraestructura que conecten JINX-0164 con Pyongyang en este momento.<\/p>\n

\u00abDel mismo modo, los tipos de dominios de suplantaci\u00f3n de identidad son similares a los utilizados por otros actores norcoreanos; sin embargo, la infraestructura JINX-0164 no se superpone con otros grupos norcoreanos rastreados p\u00fablicamente\u00bb, dijo Wiz.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Una nueva campa\u00f1a orquestada por un actor de amenazas previamente indocumentado se ha dirigido a organizaciones de criptomonedas con el objetivo de facilitar el robo de activos digitales mediante ingenier\u00eda social con tem\u00e1tica de reclutamiento y malware macOS personalizado. \u00abEstas campa\u00f1as aprovecharon sofisticadas t\u00e9cnicas de ingenier\u00eda social, malware personalizado para macOS y una focalizaci\u00f3n profunda […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[27,31,2764,24,562,57,2763,422,60,36,2765,1474],"class_list":["post-1006","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunta","tag-con","tag-criptomonedas","tag-cyberdefensa-mx","tag-empresas","tag-falsos","tag-jinx0164","tag-macos","tag-malware","tag-para","tag-reclutamiento","tag-senuelos"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1006","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1006"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1006\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1006"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1006"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1006"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}