Un malware de robo de información para macOS puede comprometer las sesiones de Telegram Desktop y, desde ahí, atacar tanto carteras de criptomonedas en software como en hardware, según la firma de seguridad blockchain SlowMist. El informe describe una cadena de ataque que recopila credenciales y datos de carteras desde múltiples fuentes de macOS y luego aprovecha ese acceso para intercambiar o drenar fondos mediante técnicas que no dependen de vulnerar la verificación en dos pasos de Telegram de la manera habitual.
SlowMist afirma que el malware extrae secretos del llavero de macOS (Keychain), las cookies de Safari, las Apple Notes, Telegram Desktop y archivos de base de datos vinculados a más de una docena de carteras de criptomonedas. Después de recopilar contraseñas y datos de sesiones autenticadas, copia la información de sesión de Telegram Desktop junto con bases de datos de carteras y los datos de extensiones de billeteras del navegador, lo que permite intentos de toma de cuentas posteriores.
Conclusiones principales
SlowMist informa que el malware puede secuestrar sesiones existentes de Telegram Desktop en macOS al reutilizar datos locales autenticados, en lugar de forzar un nuevo inicio de sesión.
Además de robar contraseñas, el malware ataca bases de datos de billeteras y datos de aplicaciones tanto de billeteras de software populares como de gestores de billeteras físicas.
Es posible que la verificación en dos pasos de Telegram no detenga el ataque, porque el malware evita tener que superar los desafíos de verificación.
SlowMist describe dos estrategias posteriores: descifrar sin conexión las bases de datos de billeteras con las contraseñas recopiladas o sustituir aplicaciones de billetera (por ejemplo, el software de Ledger o Trezor) por imitaciones para capturar frases de recuperación.
Cómo Telegram Desktop se convierte en el punto de entrada
La advertencia principal de SlowMist es que las cuentas de Telegram Desktop en macOS pueden verse comprometidas incluso cuando los usuarios han activado la verificación en dos pasos. Según la firma, la razón es arquitectónica: en lugar de iniciar una nueva sesión que requiera verificación, el malware reutiliza una sesión local ya autenticada que está almacenada en el dispositivo.
En sus pruebas, SlowMist restauró en otro Mac los datos robados de una sesión de Telegram Desktop sin que el usuario tuviera que introducir un número de teléfono, un código de verificación ni la contraseña de verificación en dos pasos. Esta diferencia es importante para los usuarios porque la verificación en dos pasos está diseñada para proteger los inicios de sesión, mientras que este método ataca los datos de sesión que pueden trasladarse a un nuevo entorno.
La conclusión práctica es que Telegram Desktop debe considerarse un objetivo de gran valor cuando el malware puede acceder a credenciales y archivos de sesión. Si un atacante puede trasladar una sesión a otro equipo, los pasos posteriores —como obtener acceso a cuentas vinculadas, intercambiar información o inducir a las víctimas a realizar acciones arriesgadas— pueden llevarse a cabo sin activar las protecciones aplicables a una nueva autenticación.
El robo de datos de billeteras abarca billeteras de software, gestores de billeteras físicas y bases de datos de nodos
SlowMist afirma que el malware no se limita a Telegram. También recopila datos relacionados con billeteras de una amplia variedad de fuentes, incluidas aplicaciones de billetera y clientes de nodo completo.
En cuanto a las billeteras, SlowMist menciona billeteras de software como Exodus, Atomic, Electrum, Wasabi y Monero. También señala que se atacan las interfaces de software de las billeteras físicas, incluidas Ledger Live y Trezor Suite: capas de software que gestionan los dispositivos físicos y suelen coordinar la forma en que los usuarios consultan sus saldos e inician transacciones.
Además de las billeteras independientes, el informe señala que el malware busca datos de billeteras almacenados por clientes de nodo completo y menciona Bitcoin Core, Litecoin Core, Dash Core y Dogecoin Core entre los afectados. Para los inversores y operadores, la implicación es clara: la información de las billeteras no se encuentra únicamente en las aplicaciones de billetera. Si el malware puede acceder al almacenamiento local asociado al software de nodos, podría encontrar material adicional que ayude a los atacantes a intentar acceder a las billeteras o replicar sus funciones.
SlowMist también describe la recopilación de datos ajenos a las bases de datos de billeteras, como cookies de Safari y Notas de Apple. Estos elementos pueden ampliar la capacidad de un atacante para mantener el acceso, conocer el comportamiento del usuario o extraer información confidencial que no se almacena en una única carpeta dedicada a billeteras.
Descifrado sin conexión y falsos procesos de recuperación
Tras recopilar contraseñas y datos de sesiones autenticadas, los atacantes pueden intentar descifrar sin conexión las bases de datos de billeteras robadas, según SlowMist. Para ello, usarían las contraseñas obtenidas del dispositivo infectado, lo que reduciría la necesidad de realizar repetidos intentos en línea que podrían activar límites de frecuencia u otras defensas.
SlowMist también describe un segundo método: sustituir las aplicaciones legítimas de Ledger y Trezor por versiones falsas. En este escenario, se podría engañar a las víctimas para que introduzcan sus frases de recuperación en el software falsificado, un resultado especialmente peligroso porque esas frases son, en la práctica, «llaves maestras» para acceder a los fondos.
SlowMist afirma haber reproducido la cadena de ataque en un entorno aislado, lo que respalda su afirmación de que los pasos descritos pueden ejecutarse en conjunto y no son capacidades independientes entre sí.
Para los usuarios, el riesgo principal es que la vulneración de una billetera puede desarrollarse en varias etapas. Aunque los atacantes obtengan inicialmente acceso a una sesión de Telegram, la recopilación más amplia de bases de datos de billeteras y datos de aplicaciones que realiza el malware puede permitirles intentar extraer fondos directamente o recurrir a la ingeniería social para obtener credenciales de recuperación.
Por qué las protecciones habituales de Telegram podrían no ser suficientes
Los hallazgos de SlowMist ponen de relieve un tema recurrente en los incidentes de secuestro de cuentas: a veces, las funciones de seguridad presuponen un modelo de amenazas específico. La verificación en dos pasos de Telegram ayuda a proteger los nuevos inicios de sesión, pero el método del malware —trasladar una sesión local ya autenticada— cambia las condiciones.
En lugar de pedirle al usuario que supere una comprobación durante el inicio de sesión, el atacante opera con los datos de una sesión que el dispositivo ya había establecido. Por eso, «activé la autenticación en dos pasos» ofrece menos tranquilidad cuando ya hay malware presente y este puede leer archivos relacionados con la sesión.
SlowMist también recomienda tomar medidas operativas inmediatas a quienes sospechen que han sufrido una vulneración. Insta a los usuarios a cerrar las sesiones de Telegram existentes, iniciar sesión de nuevo desde un dispositivo de confianza y cambiar tanto la contraseña de verificación en dos pasos de Telegram como el código de acceso de Telegram Desktop. Estas medidas buscan invalidar los datos de la sesión secuestrada y obligar a Telegram a restablecer la confianza mediante un nuevo proceso de autenticación.
La firma también recomienda generar una nueva frase de recuperación en un dispositivo limpio y trasladar los activos a direcciones nuevas. El objetivo es romper el vínculo entre el estado comprometido de la billetera y los activos que se deben proteger. Si las aplicaciones de billetera o el material de recuperación quedaron expuestos, reutilizar la misma frase de recuperación tras una vulneración puede dejar los fondos expuestos a atacantes que ya tengan suficiente información para recuperar el acceso.
El informe de SlowMist recuerda que la seguridad de las criptomonedas no consiste únicamente en proteger las claves en papel o activar la autenticación en dos pasos en las aplicaciones de mensajería. Cuando el malware puede acceder localmente tanto a los datos de sesión como a las bases de datos de billeteras, las medidas de protección deben incluir el cuidado de los dispositivos y una respuesta rápida ante incidentes. Los usuarios deben estar atentos a cualquier señal de vulneración, comprobar qué sesiones de Telegram siguen activas y estar preparados para trasladar sus fondos a direcciones nuevas si sospechan que sus dispositivos se han infectado.
Este artículo se publicó originalmente como «SlowMist: el malware para macOS secuestra sesiones de Telegram para atacar billeteras de criptomonedas» en Crypto Breaking News, tu fuente de confianza para noticias sobre criptomonedas, Bitcoin y actualizaciones de blockchain.