{"id":1621,"date":"2026-07-17T16:18:21","date_gmt":"2026-07-17T16:18:21","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/17\/las-pruebas-de-codificacion-falsas-generan-malware-alineado-con-ottercookie-oculto-en-imagenes-de-banderas-svg-cyberdefensa-mx\/"},"modified":"2026-07-17T16:18:21","modified_gmt":"2026-07-17T16:18:21","slug":"las-pruebas-de-codificacion-falsas-generan-malware-alineado-con-ottercookie-oculto-en-imagenes-de-banderas-svg-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/17\/las-pruebas-de-codificacion-falsas-generan-malware-alineado-con-ottercookie-oculto-en-imagenes-de-banderas-svg-cyberdefensa-mx\/","title":{"rendered":"Las pruebas de codificaci\u00f3n falsas generan malware alineado con OtterCookie oculto en im\u00e1genes de banderas SVG \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Se ha observado que los actores de amenazas norcoreanos vinculados a la campa\u00f1a Contagious Interview emplean esteganograf\u00eda en archivos de im\u00e1genes SVG para ocultar cargas \u00fatiles maliciosas como parte de una campa\u00f1a que utiliza ofertas de trabajo falsas y desaf\u00edos de codificaci\u00f3n.<\/p>\n

\u00abCualquier usuario que ejecutara el proyecto termin\u00f3 con una carga \u00fatil de cuatro etapas alineada con OTTERCOOKIE: un ladr\u00f3n de credenciales de navegador y billeteras criptogr\u00e1ficas, un ladr\u00f3n de archivos, un troyano de acceso remoto (RAT) basado en Socket.IO y un ladr\u00f3n de portapapeles\u00bb, Elastic Security Labs dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n

Los hallazgos resaltan una vez m\u00e1s el continuo ataque a los desarrolladores de software por parte de piratas inform\u00e1ticos patrocinados por el Estado alineados con la Rep\u00fablica Popular Democr\u00e1tica de Corea (RPDC) con el objetivo de robar datos confidenciales y saquear carteras de criptomonedas. La actividad est\u00e1 siendo rastreada bajo el nombre de REF9403.<\/p>\n

El brazo de ciberseguridad de la plataforma holandesa de b\u00fasqueda y observabilidad empresarial dijo que descubri\u00f3 la campa\u00f1a despu\u00e9s de que los actores de amenazas atacaran a miembros de su espacio de trabajo comunitario de Slack<\/a> con se\u00f1uelos de ingenier\u00eda social para supuestas ofertas de trabajo, destacando una nueva v\u00eda de acceso inicial no documentada previamente en ataques asociados con Contagious Interview, una sofisticada operaci\u00f3n de ingenier\u00eda social en curso desde al menos diciembre de 2022.<\/p>\n

Los mensajes, publicados por un usuario llamado Maxwell en el canal #jobs Slack a finales de mayo de 2026, buscaban un desarrollador experimentado para ayudar a actualizar su plataforma de comercio electr\u00f3nico a una \u00abarquitectura moderna y escalable que utiliza Next.js (v14), NestJS, PostgreSQL y Auth.js\u00bb junto con la integraci\u00f3n de Stripe.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Aquellos que expresaron inter\u00e9s en la oportunidad recibieron mensajes directos que les indicaban que completaran una evaluaci\u00f3n de codificaci\u00f3n como parte de la oferta de trabajo, una t\u00e1ctica est\u00e1ndar observada en las campa\u00f1as de entrevistas contagiosas. La tarea implic\u00f3 ejecutar un repositorio troyanizado que conten\u00eda malware dise\u00f1ado para filtrar datos valiosos y configurar una puerta trasera Socket.IO.<\/p>\n

Espec\u00edficamente, los repositorios distribuidos como parte del esquema incorporan c\u00f3digo completamente funcional pero tambi\u00e9n incorporan c\u00f3digo malicioso en forma de im\u00e1genes SVG para evitar la detecci\u00f3n.<\/p>\n

\u00abSi bien estos proyectos aparentemente leg\u00edtimos funcionan perfectamente bien, el c\u00f3digo malicioso se activa silenciosamente detr\u00e1s de escena\u00bb, dijo Elastic. \u00abLas cargas \u00fatiles se dividen en fragmentos base64 dentro de comentarios HTML en cada imagen de bandera SVG dentro de un directorio de activos. Estos archivos parecen ser im\u00e1genes normales de banderas de pa\u00edses (AE.svg, AF.svg), pero cada archivo contiene un bloque de comentarios inyectado con datos codificados en Base64\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

Luego, la carga \u00fatil se ensambla mediante un archivo JavaScript (\u00abserverValidation.js\u00bb) presente en el repositorio. La cadena de ataque est\u00e1 dise\u00f1ada de tal manera que el malware se ejecuta en cada inicio del servidor. Elastic dijo que las principales cargas \u00fatiles se superponen con OtterCookie, un malware multiplataforma que surgi\u00f3 por primera vez en septiembre de 2024.<\/p>\n

OtterCookie \u00abevolucion\u00f3 de una herramienta b\u00e1sica para ejecutar comandos remotos y buscar claves criptogr\u00e1ficas a un programa modular capaz de realizar un robo de datos m\u00e1s amplio con capacidad para verificar entornos de VM, instalar clientes de comunicaci\u00f3n como socket.io para C2, filtrar informaci\u00f3n, ejecutar comandos de shell arbitrarios, cargar otros m\u00f3dulos para recopilar datos espec\u00edficos e informar los resultados\u00bb, Microsoft anotado<\/a> all\u00e1 por marzo.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El malware incorpora cuatro m\u00f3dulos distintos que le permiten recopilar datos de navegadores web y carteras de criptomonedas, recopilar archivos que coincidan con una lista espec\u00edfica de extensiones, facilitar el control remoto persistente utilizando un troyano basado en Socket.IO que puede ejecutar comandos de shell, capturar contenido del portapapeles y soltar ejecutables de Windows.<\/p>\n

Entre los archivos recopilados por OtterCookie se incluyen extensiones de herramientas de codificaci\u00f3n de inteligencia artificial (IA) como .claude, .cursor, .gemini, .windsurf, .pearai y .llama, lo que sugiere que el actor de amenazas est\u00e1 refinando activamente su arsenal para aspirar la mayor cantidad de informaci\u00f3n posible.<\/p>\n

Vale la pena se\u00f1alar que el malware tambi\u00e9n muestra algunas superposiciones funcionales con un ladr\u00f3n de datos y un troyano distribuido a trav\u00e9s de paquetes npm falsos disfrazados de herramientas Rollup polyfill, lo que sugiere que los actores de la amenaza est\u00e1n buscando m\u00faltiples vectores de propagaci\u00f3n.<\/p>\n

\u00abEsta campa\u00f1a refuerza el hecho de que los desarrolladores siguen siendo un objetivo principal, donde el compromiso de un solo individuo puede proporcionar el acceso inicial necesario para permitir ataques de gran alcance a la cadena de suministro contra organizaciones posteriores\u00bb, dijo Elastic. \u00abEl \u00e9xito de estas operaciones subraya c\u00f3mo comprometer a un desarrollador individual puede proporcionar un camino hacia un impacto organizacional mucho m\u00e1s amplio\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha observado que los actores de amenazas norcoreanos vinculados a la campa\u00f1a Contagious Interview emplean esteganograf\u00eda en archivos de im\u00e1genes SVG para ocultar cargas \u00fatiles maliciosas como parte de una campa\u00f1a que utiliza ofertas de trabajo falsas y desaf\u00edos de codificaci\u00f3n. \u00abCualquier usuario que ejecutara el proyecto termin\u00f3 con una carga \u00fatil de cuatro […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3863,3865,3423,31,24,295,1247,1537,95,60,1622,3864,1950,3866],"class_list":["post-1621","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-alineado","tag-banderas","tag-codificacion","tag-con","tag-cyberdefensa-mx","tag-falsas","tag-generan","tag-imagenes","tag-las","tag-malware","tag-oculto","tag-ottercookie","tag-pruebas","tag-svg"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1621","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1621"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1621\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1621"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1621"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1621"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}