Malware en Windows roba cripto al copiar y pegar
El equipo de Microsoft Threat Intelligence ha documentado una campaña de malware activa desde febrero de 2026 que combina el robo de credenciales con la suplantación de direcciones de criptomonedas. El programa malicioso extrae frases semilla y claves privadas, además de interceptar el portapapeles del sistema operativo para desviar fondos de forma imperceptible para el usuario.
Mecanismo de infección y propagación
El vector de infección inicial son las memorias USB. El malware utiliza un mecanismo de propagación automatizado: cuando una unidad extraíble se conecta a un equipo ya comprometido, el programa oculta los archivos originales y los sustituye por accesos directos maliciosos (.lnk) que mantienen el nombre y el icono original (por ejemplo, un PDF o una hoja de cálculo).
Al conectar esa USB en otro ordenador, el usuario ejecuta el malware al intentar abrir lo que cree un documento legítimo. Una vez instalado, el programa crea tareas programadas para asegurar su persistencia en cada reinicio y para infectar futuros dispositivos USB que se conecten al equipo.
El «clipper» y la suplantación de direcciones
El malware pertenece a la categoría de clippers, diseñada para monitorizar el portapapeles de Windows cada 500 milisegundos. Su objetivo principal es alterar las direcciones de envío:
- Direcciones objetivo: Bitcoin Legacy (1), P2SH (3), Taproot (bc1p), Bech32 (bc1q), Tron (T) y Monero (4 u 8).
- Método de engaño: Al detectar una dirección copiada, la reemplaza por una controlada por el atacante. Para dificultar la detección, la dirección fraudulenta comparte los dos primeros caracteres o el último carácter con la original.
- Robo de claves: También rastrea el portapapeles en busca de claves privadas y frases semilla del estándar BIP-39, lo que otorga al atacante control total sobre la wallet.
La única defensa efectiva contra este mecanismo es la verificación carácter por carácter de la dirección completa en el campo de destino antes de confirmar la operación.
Comunicación oculta y control remoto
Para evadir los bloqueos de red, el malware despliega un cliente Tor portátil y se comunica con diez servidores de comando y control (C2) a través de dominios .onion.
Más allá de la interceptación de datos, el servidor C2 puede enviar un comando denominado EVAL que permite ejecutar código arbitrario en el equipo infectado. Esta funcionalidad convierte al malware en una puerta trasera completa, permitiendo al atacante instalar software adicional o tomar el control total del sistema.
Como método de vigilancia, el programa toma cinco capturas de pantalla con diez segundos de separación y las envía al servidor C2 a través de Tor para que el atacante pueda evaluar los saldos de la víctima y el contexto de uso, eliminando los archivos locales una vez confirmada la transmisión.
Recomendaciones de seguridad
El informe de Microsoft subraya que la seguridad de los activos digitales depende en gran medida del comportamiento del usuario. Las medidas de prevención sugeridas son:
- No ejecutar archivos provenientes de memorias USB desconocidas o no solicitadas, independientemente de su extensión o icono.
- Verificar siempre la dirección completa de destino antes de autorizar cualquier transferencia de criptomonedas.
- Desactivar la ejecución automática de dispositivos removibles en el sistema operativo Windows.
- Mantener el antivirus actualizado para garantizar la detección en tiempo real de estas amenazas.
La velocidad de acción del malware (medio segundo) significa que el robo o la suplantación pueden completarse antes de que el software de seguridad tenga oportunidad de intervenir, convirtiendo una rutina cotidiana como «copiar y pegar» en un punto crítico de vulnerabilidad.
