Los investigadores de ciberseguridad están señalando una nueva oleada de tácticas de malware dirigidas a personas que poseen, desarrollan y asesoran sobre software relacionado con criptoactivos. Por ejemplo, Kaspersky afirma haber descubierto un nuevo marco de malware, denominado OkoBot, que ataca a inversores de criptomonedas al combinar la ingeniería social con capacidades de robo de datos.
Al mismo tiempo, SlowMist advierte de una campaña de intrusión separada que se dirige a desarrolladores de Web3 mediante mensajes de reclutamiento aparentemente legítimos en LinkedIn, instando a las víctimas a ejecutar código envenenado alojado en GitHub. En conjunto, los incidentes subrayan cómo los atacantes están utilizando cada vez más rutinas cotidianas de trabajo (entrevistas, pruebas de código e instalaciones de aplicaciones) como mecanismos de entrega para el malware.
Puntos clave
OkoBot está diseñado para robar datos relacionados con cripto recopilando archivos de monedero, información del navegador, credenciales y actividad inyectada del navegador o de extensiones.
Kaspersky dice que ha observado múltiples ataques vinculados a OkoBot desde enero de 2026, y que el framework evolucionó a partir de una campaña anterior llamada TookPS.
Según se informa, la infraestructura de OkoBot enruta toda la entrega de cargas mediante un túnel SSH, lo que permite el transporte remoto de datos hacia sistemas controlados por el atacante.
SlowMist informa sobre estafas tipo “reclutador” en LinkedIn que entregan repositorios maliciosos de GitHub disfrazados como tareas de entrevistas técnicas para desarrolladores Web3.
El flujo de reclutamiento imita de cerca las entrevistas legítimas de desarrolladores, lo que reduce las sospechas y aumenta la probabilidad de que las víctimas ejecuten el código malicioso.
OkoBot apunta a tenedores de cripto mediante el robo de monederos y navegadores
En un informe publicado esta semana, Kaspersky describió OkoBot como un framework de malware que inicia una cadena de infección mediante tácticas de ingeniería social y entrega de “aplicaciones maliciosas”. Según Kaspersky, la entrada inicial incluye trucos como ClickFix, que busca persuadir a los usuarios para que ejecuten comandos dañinos, además de aplicaciones de GitHub con troyanos que pueden introducir una puerta trasera en un dispositivo comprometido.
Una vez que un sistema está bajo control del atacante, Kaspersky dice que OkoBot puede recopilar información sensible que es directamente relevante para la propiedad de cripto. La empresa informa que el malware puede:
Robar archivos de monederos de criptomonedas.
Extraer datos del navegador y credenciales de usuario.
Inyectar extensiones maliciosas.
Capturar ventanas de aplicaciones de monedero, lo que potencialmente permite el robo mediante datos relacionados con lo que aparece en pantalla o la sesión.
Kaspersky también indicó que identificó múltiples ataques que usan esta familia de malware desde enero de 2026. Para los inversores, la preocupación práctica no es solo que los monederos puedan ser accesados, sino también que la actividad del navegador y los datos de autenticación almacenados pueden utilizarse para avanzar más rápido hacia tomas de cuentas o operaciones de transferencia.
Cómo funciona la infraestructura: orquestación de cargas útil mediante SSH
Un detalle destacado en el análisis de Kaspersky es que, presuntamente, OkoBot difiere de campañas anteriores en cómo gestiona sus cargas maliciosas. Kaspersky dijo que el framework orquesta las 20 cargas maliciosas mediante un túnel SSH, lo que permite el transporte remoto de datos desde computadoras comprometidas hacia sistemas controlados por los atacantes.
Esto importa porque apunta a un modelo operativo en el que el atacante mantiene un control fuerte sobre las etapas posteriores tras la intrusión inicial. En lugar de depender solo de un comportamiento estático, una arquitectura en túnel puede ayudar a los atacantes a adaptarse a las víctimas y recopilar información con más fiabilidad, según lo que el malware encuentre en cada host.
Kaspersky también describió OkoBot como una evolución de TookPS, una campaña de malware identificada por primera vez en 2025 que distribuía un descargador troyanizado a través de sitios web falsos de software. Al evolucionar desde un enfoque de entrega anterior y añadir una gestión de cargas más coordinada, el framework OkoBot parece estar preparado para aumentar tanto el éxito de la infección como la efectividad posterior al compromiso.
Las estafas de reclutamiento en LinkedIn empujan a desarrolladores Web3 a ejecutar repositorios envenenados
La investigación separada de SlowMist se centra en un conjunto de objetivos distinto: desarrolladores Web3. En un informe publicado el sábado, la firma dijo que los atacantes están llegando a desarrolladores mediante mensajes en LinkedIn que se hacen pasar por reclutadores de Web3.
La descripción del flujo de trabajo por parte de SlowMist sugiere que los atacantes están eligiendo deliberadamente un punto de entrada de alta confianza y familiar. Tras el contacto inicial, se envía a las víctimas lo que parecen ser repositorios falsos de GitHub, presentados como un “producto mínimo viable” que el desarrollador debería instalar y probar antes de una entrevista.
La técnica es efectiva, argumenta SlowMist, porque se parece a un proceso real de entrevista técnica. El informe señala que un flujo de trabajo legítimo de un desarrollador a menudo implica descargar código, instalar dependencias y poner en marcha un proyecto: pasos que las víctimas realizan de forma natural al prepararse para una entrevista. En ese entorno, el código malicioso puede resultar menos evidente, especialmente si la víctima no espera un riesgo de seguridad por parte de un repositorio “conectado” a una conversación de reclutamiento.
Qué buscan robar los atacantes de los sistemas de los desarrolladores
SlowMist dijo que el objetivo final es entregar un troyano de acceso remoto completo al dispositivo de la víctima. Una vez establecido, el malware podría permitir que los atacantes roben materiales sensibles asociados con el desarrollo y las operaciones, incluidos claves de proyectos, credenciales en la nube o datos vinculados a extensiones de monedero.
SlowMist también recalcó que el enfoque de reclutamiento forma parte de un patrón más amplio: los atacantes están aprovechando cada vez más escenarios como reclutamiento, revisiones de código y colaboraciones de proyectos para engañar a los desarrolladores y hacerles ejecutar repositorios maliciosos. En otras palabras, no se trata solo de engaño, sino también de timing: esperar el momento en el que es más probable que un desarrollador ejecute código como parte del trabajo normal.
Importante: esta advertencia centrada en LinkedIn llegó después de que SlowMist informara sobre otra campaña dirigida a usuarios de macOS. Ese esfuerzo anterior, tal como lo describió SlowMist, buscaba robar credenciales y secuestrar sesiones de Telegram para obligar a las víctimas a enviar frases de recuperación de monedero a través de sitios web falsos. Aunque los TTP difieren entre las campañas, ambas señalan la misma amenaza subyacente: los atacantes están encadenando metódicamente ingeniería social y robo de credenciales para, en última instancia, comprometer el acceso a cripto.
De cara al futuro, ambos informes sugieren que los lectores deben estar atentos a más vías de compromiso que parezcan “legítimas”, especialmente cuando se solicita la ejecución de código mediante reclutadores, flujos de entrevistas o repositorios de terceros. Tanto para inversores como para desarrolladores, la pregunta inmediata no es solo si hay malware presente, sino si los atacantes pueden aprovechar la confianza cotidiana y las sesiones autenticadas para llegar rápidamente a secretos relevantes para monederos.
Este artículo se publicó originalmente como Kaspersky Flags Malware Framework Targeting Crypto Investors on Crypto Breaking News: su fuente confiable para noticias de cripto, noticias de Bitcoin y actualizaciones de blockchain.