El sigiloso "ModStealer" apunta a las billeteras de criptomonedas basadas en navegador

Una nueva variante de malware diseñada específicamente para robar datos de billeteras criptográficas está evadiendo todos los principales motores antivirus, según la firma de seguridad para dispositivos Apple Mosyle.

Apodado ModStealer, el infostealer ha estado activo durante casi un mes sin ser detectado por los escáneres de virus. Investigadores de Mosyle afirman que el malware se está distribuyendo a través de anuncios maliciosos de reclutadores dirigidos a desarrolladores y utiliza un script de NodeJS altamente ofuscado para evadir las defensas basadas en firmas.

Eso significa que el código del malware ha sido encriptado y compuesto con técnicas que lo hacen ilegible para las herramientas antivirus basadas en firmas. Dado que estas defensas dependen de detectar “patrones” de código reconocibles, la ofuscación los oculta, permitiendo que el script se ejecute sin ser detectado.

En la práctica, esto permite a los atacantes insertar instrucciones maliciosas en un sistema mientras evitan los escaneos de seguridad tradicionales que normalmente detectarían código más simple y sin alteraciones.

A diferencia de la mayoría del malware enfocado en Mac, ModStealer es multiplataforma, afectando también a entornos Windows y Linux. Su misión principal es la exfiltración de datos, y se presume que el código incluye instrucciones predefinidas para atacar 56 extensiones de billeteras de navegador diseñadas para extraer claves privadas, credenciales y certificados.

El malware también admite el secuestro del portapapeles, la captura de pantalla y la ejecución remota de código, otorgando a los atacantes la capacidad de tomar un control casi total de los dispositivos infectados. En macOS, la persistencia se logra a través de la herramienta de inicio de Apple, incrustándose como un LaunchAgent.

Mosyle declara que la versión se alinea con el perfil de “Malware como Servicio,” donde los desarrolladores venden herramientas listas para usar a afiliados con conocimientos técnicos limitados. El modelo ha impulsado un aumento en los robo de información este año, con Jamf reportando un incremento de 28% solo en 2025.

El hallazgo se produce tras recientes ataques centrados en npm, donde paquetes maliciosos como colortoolsv2 y mimelib2 utilizaron contratos inteligentes de Ethereum para ocultar malware de segunda etapa. En ambos casos, los atacantes aprovecharon la ofuscación y la infraestructura confiable de desarrolladores para evadir la detección.

ModStealer extiende este patrón más allá de los repositorios de paquetes, demostrando cómo los ciberdelincuentes están escalando sus técnicas a través de los ecosistemas para comprometer los entornos de desarrollo y dirigirse directamente a las billeteras criptográficas.

Este artículo, o partes del mismo, fue generado con asistencia de herramientas de IA y revisado por nuestro equipo editorial para garantizar la precisión y el cumplimiento de nuestros estándares. Para más información, consulte la política completa de IA de CoinDesk.