{"id":365,"date":"2026-03-25T16:14:06","date_gmt":"2026-03-25T16:14:06","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/25\/el-malware-glassworm-utiliza-solana-dead-drops-para-entregar-rat-y-robar-datos-criptograficos-y-del-navegador-cyberdefensa-mx\/"},"modified":"2026-03-25T16:14:06","modified_gmt":"2026-03-25T16:14:06","slug":"el-malware-glassworm-utiliza-solana-dead-drops-para-entregar-rat-y-robar-datos-criptograficos-y-del-navegador-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/25\/el-malware-glassworm-utiliza-solana-dead-drops-para-entregar-rat-y-robar-datos-criptograficos-y-del-navegador-cyberdefensa-mx\/","title":{"rendered":"El malware GlassWorm utiliza Solana Dead Drops para entregar RAT y robar datos criptogr\u00e1ficos y del navegador \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los investigadores de ciberseguridad han se\u00f1alado una nueva evoluci\u00f3n de la campa\u00f1a GlassWorm que ofrece un marco de m\u00faltiples etapas capaz de robar datos integrales e instalar un troyano de acceso remoto (RAT), que implementa una extensi\u00f3n de Google Chrome para robar informaci\u00f3n haci\u00e9ndose pasar por una versi\u00f3n fuera de l\u00ednea de Google Docs.<\/p>\n<p>\u00abRegistra las pulsaciones de teclas, descarga cookies y tokens de sesi\u00f3n, realiza capturas de pantalla y recibe comandos de un servidor C2 oculto en una nota de la cadena de bloques Solana\u00bb, dijo el investigador de seguridad de Aikido Ilyas Makari. <a href=\"https:\/\/www.aikido.dev\/blog\/glassworm-chrome-extension-rat\" rel=\"noopener\" target=\"_blank\">dicho<\/a> en un informe publicado la semana pasada.<\/p>\n<p>GlassWorm es el apodo asignado a una campa\u00f1a persistente que obtiene un punto de apoyo inicial a trav\u00e9s de paquetes maliciosos publicados en npm, PyPI, GitHub y el mercado Open VSX. Adem\u00e1s, se sabe que los operadores comprometen las cuentas de los mantenedores del proyecto para enviar actualizaciones envenenadas.<\/p>\n<p>Los ataques son lo suficientemente cuidadosos como para evitar infectar sistemas con una configuraci\u00f3n regional rusa y utilizan transacciones de Solana como un sistema de resoluci\u00f3n muerta para recuperar el servidor de comando y control (C2) (\u00ab45.32.150[.]251\u00bb) y descargar cargas \u00fatiles espec\u00edficas del sistema operativo.<\/p>\n<p>La carga \u00fatil de la etapa dos es un marco de robo de datos con capacidades de recolecci\u00f3n de credenciales, exfiltraci\u00f3n de billeteras de criptomonedas y creaci\u00f3n de perfiles del sistema. Los datos recopilados se comprimen en un archivo ZIP y se extraen a un servidor externo (\u00ab217.69.3[.]152\/pared\u00bb). Tambi\u00e9n incorpora funcionalidad para recuperar y lanzar la carga \u00fatil final.<\/p>\n<p>Una vez que se transmiten los datos, la cadena de ataque implica recuperar dos componentes adicionales: un binario .NET dise\u00f1ado para llevar a cabo phishing de billetera de hardware y un RAT JavaScript basado en Websocket para desviar datos del navegador web y ejecutar c\u00f3digo arbitrario. La carga \u00fatil RAT se obtiene de \u00ab45.32.150[.]251\u00bb mediante el uso de una URL de evento p\u00fablica de Google Calendar como solucionador de ca\u00eddas muertas.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El binario .NET aprovecha la infraestructura del Instrumental de administraci\u00f3n de Windows (WMI) para detectar conexiones de dispositivos USB y muestra una ventana de phishing cuando se conecta una billetera de hardware Ledger o Trezor.<\/p>\n<p>\u00abLa interfaz de usuario de Ledger muestra un error de configuraci\u00f3n falso y presenta 24 campos de entrada de frases de recuperaci\u00f3n numerados\u00bb, se\u00f1al\u00f3 Makari. \u00abLa interfaz de usuario de Trezor muestra un mensaje falso de &#8216;Error en la validaci\u00f3n del firmware, iniciando reinicio de emergencia&#8217; con el mismo dise\u00f1o de entrada de 24 palabras. Ambas ventanas incluyen un bot\u00f3n &#8216;RESTAURAR WALLET&#8217;\u00bb.<\/p>\n<p>El malware no s\u00f3lo elimina cualquier proceso real de Ledger Live que se est\u00e9 ejecutando en el host de Windows, sino que tambi\u00e9n vuelve a mostrar la ventana de phishing si la v\u00edctima la cierra. El objetivo final del ataque es capturar la frase de recuperaci\u00f3n de la billetera y transmitirla a la direcci\u00f3n IP \u00ab45.150.34[.]158.\u00bb<\/p>\n<p>La RAT, por otro lado, utiliza una tabla hash distribuida (<a href=\"https:\/\/thehackernews.com\/2026\/03\/kadnap-malware-infects-14000-edge.html\" rel=\"noopener\" target=\"_blank\">DHT) para recuperar los detalles de C2. En caso de que el mecanismo no devuelva ning\u00fan valor, el malware cambia al punto muerto basado en Solana. Luego, la RAT establece comunicaci\u00f3n con el servidor para ejecutar varios comandos en el sistema comprometido:<\/a><\/p>\n<ul>\n<li>start_hvnc \/ stop_hvnc, para implementar un m\u00f3dulo de Computaci\u00f3n de red virtual oculta (HVNC) para acceso a escritorio remoto.<\/li>\n<li>start_socks \/ stop_socks, para iniciar un m\u00f3dulo WebRTC y ejecutarlo como proxy SOCKS.<\/li>\n<li>reget_log, para robar datos de navegadores web, como Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi y Mozilla Firefox. El componente est\u00e1 equipado para eludir las protecciones de cifrado vinculado a aplicaciones (ABE) de Chrome.<\/li>\n<li>get_system_info, para enviar informaci\u00f3n del sistema.<\/li>\n<li>comando, para ejecutar JavaScript proporcionado por el atacante a trav\u00e9s de eval().<\/li>\n<\/ul>\n<p>La RAT tambi\u00e9n instala a la fuerza una extensi\u00f3n de Google Chrome llamada Google Docs Offline en sistemas Windows y macOS, que luego se conecta a un servidor C2 y recibe comandos emitidos por el operador, lo que permite recopilar cookies, almacenamiento local y el modelo de objetos de documento completo (<a href=\"https:\/\/developer.mozilla.org\/en-US\/docs\/Web\/API\/Document_Object_Model\" rel=\"noopener\" target=\"_blank\">DOMINGO<\/a>) \u00e1rbol de la pesta\u00f1a activa, marcadores, capturas de pantalla, pulsaciones de teclas, contenido del portapapeles, hasta 5000 entradas del historial del navegador y la lista de extensiones instaladas.<\/p>\n<p>\u00abLa extensi\u00f3n tambi\u00e9n realiza vigilancia de sesi\u00f3n espec\u00edfica. Extrae las reglas del sitio monitoreado de \/api\/get-url-for-watch y se env\u00eda con Bybit (.bybit.com) preconfigurado como objetivo, vigilando las cookies de token seguro y de identificaci\u00f3n del dispositivo\u00bb, dijo Aikido. \u00abAl ser detectado, activa un webhook detectado por autenticaci\u00f3n a \/api\/webhook\/auth-detected que contiene el material de la cookie y los metadatos de la p\u00e1gina. El C2 tambi\u00e9n puede proporcionar reglas de redireccionamiento que fuerzan las pesta\u00f1as activas a URL controladas por el atacante\u00bb.<\/p>\n<p>El descubrimiento coincide con otro cambio en las t\u00e1cticas de GlassWorm, con los atacantes publicando paquetes npm haci\u00e9ndose pasar por el servidor WaterCrawl Model Context Protocol (MCP) (\u00ab@iflow-mcp\/watercrawl-watercrawl-mcp) para distribuir cargas \u00fatiles maliciosas.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ciso-risk-comm-cert-dr-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgqhIRUj1YTC94RNdUGjmL9vDt5o56pkuKHyTGP8DvhM0bsTe7VSW-pHKY9HaAKsXk4J3x3gREcX_ZtLx04zPaI1UqHjcBD9QquXjOczTKwcJeGnTUqH73_QRG4d0Ki0KBKChGP48m-7VzU7UTgCWdz7hBtd51XbCyMUXu9PBBQt1sbO1V4WLWu4QrEBTZA\/s728-e100\/ciso-dark-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEste es el primer paso confirmado de GlassWorm hacia el ecosistema MCP\u00bb, dijo el investigador de seguridad de Koi, Lotan Sery. \u00abY dado lo r\u00e1pido que est\u00e1 creciendo el desarrollo asistido por IA, y cu\u00e1nta confianza se otorga a los servidores MCP por dise\u00f1o, este no ser\u00e1 el \u00faltimo\u00bb.<\/p>\n<p>Se recomienda a los desarrolladores que tengan cuidado al instalar extensiones Open VSX, paquetes npm y servidores MCP. Tambi\u00e9n se recomienda verificar los nombres de los editores, los historiales de paquetes y evitar confiar ciegamente en los recuentos de descargas. La empresa polaca de ciberseguridad AFINE ha <a href=\"https:\/\/afine.com\/blogs\/hunting-glassworm-open-source-detection-for-invisible-supply-chain-payloads\" rel=\"noopener\" target=\"_blank\">publicado<\/a> una herramienta Python de c\u00f3digo abierto llamada <a href=\"https:\/\/github.com\/afine-com\/glassworm-hunter\" rel=\"noopener\" target=\"_blank\">cazador de gusanos de cristal<\/a> para escanear los sistemas de los desarrolladores en busca de cargas \u00fatiles asociadas con la campa\u00f1a.<\/p>\n<p>\u00abEl cazador de gusanos de vidrio no realiza ninguna solicitud de red durante el escaneo\u00bb, dijeron los investigadores Pawe\u0142 Woyke y S\u0142awomir Zakrzewski. \u00abSin telemetr\u00eda. Sin llamadas telef\u00f3nicas a casa. Sin verificaciones de actualizaciones autom\u00e1ticas. Solo lee archivos locales. La actualizaci\u00f3n de Glassworm-hunter es el \u00fanico comando que toca la red. Obtiene la \u00faltima versi\u00f3n <a href=\"https:\/\/github.com\/afine-com\/glassworm-hunter\/tree\/main\/data\" rel=\"noopener\" target=\"_blank\">Base de datos de IoC de nuestro GitHub<\/a> y lo guarda localmente.\u00bb<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores de ciberseguridad han se\u00f1alado una nueva evoluci\u00f3n de la campa\u00f1a GlassWorm que ofrece un marco de m\u00faltiples etapas capaz de robar datos integrales e instalar un troyano de acceso remoto (RAT), que implementa una extensi\u00f3n de Google Chrome para robar informaci\u00f3n haci\u00e9ndose pasar por una versi\u00f3n fuera de l\u00ednea de Google Docs. \u00abRegistra [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1275,24,627,1272,70,1273,1274,882,60,396,36,209,703,1271,216],"class_list":["post-365","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-criptograficos","tag-cyberdefensa-mx","tag-datos","tag-dead","tag-del","tag-drops","tag-entregar","tag-glassworm","tag-malware","tag-navegador","tag-para","tag-rat","tag-robar","tag-solana","tag-utiliza"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/365","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=365"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/365\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=365"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=365"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=365"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}