Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza una nueva evolución en las familias de malware BeaverTail y OtterCookie. A continuación, el equipo analiza tres nuevas familias de malware vinculadas al grupo COLDRIVER, patrocinado por el Estado ruso. Finally, we wrap up with an overview of Vidar Stealer 2.0.
El famoso «Chollima» combina «BeaverTail» y «OtterCookie» para crear un nuevo malware de JavaScript
Cisco Talos ha descubierto , una evolución de las familias de malware BeaverTail y OtterCookie, ambas vinculadas a Famous Chollima, un grupo de amenazas persistentes avanzadas (APT) afín al Gobierno de Corea del Norte y conocido por atacar con frecuencia a personas que buscan empleo.
Esta última campaña implica el despliegue de un nuevo módulo de JavaScript diseñado para mejorar las capacidades y el sigilo del malware.
Módulo de registro de teclas y capturas de pantalla de OtterCookie
Los investigadores de Cisco Talos descubrieron un módulo de registro de teclas y capturas de pantalla en la campaña «Famous Chollima» del que no se había informado anteriormente. Asimismo, identificaron muestras de OtterCookie que contenían este módulo en VirusTotal, procedentes de April 2025.
Este módulo puede registrar las pulsaciones de teclas, realizar capturas de pantalla del escritorio y enviar los datos al servidor de comando y control (C2) de OtterCookie. El malware guarda las pulsaciones de teclas y las capturas de pantalla en una subcarpeta temporal antes de enviarlas.
Extensión OtterCookie para Visual Studio Code
Cisco Talos también detectó una extensión de Visual Studio (VS) Code que intentaba ejecutar OtterCookie. La extensión se presenta como una herramienta de incorporación laboral. Los investigadores no pueden confirmar que el autor sea ese actor, pero creen que podría indicar que se está experimentando con nuevos métodos de distribución.
Módulos adicionales de OtterCookie
Cisco Talos descubrió varios módulos adicionales de OtterCookie durante la investigación. Entre ellos se incluyen:
- Módulo de shell remoto
- Módulo de carga de archivos
- Módulo de robo de extensiones de criptomonedas
El informe contiene más detalles sobre cada módulo.
La evolución de OtterCookie
El malware OtterCookie apareció por primera vez a finales de 2024. En « April 2025», Cisco Talos comenzó a observar la incorporación de nuevos módulos que convertían el malware en modular, en lugar de básico.
En August 2025, Cisco Talos detectó la última versión, denominada v5. Esta versión incorporó un módulo de registro de teclas y, una vez desofuscado, reveló que el código fuente combina elementos tanto de OtterCookie como de BeaverTail.
Funcionalidad de BeaverTail
El código BeaverTail puede enumerar los perfiles y las extensiones del navegador, descargar una distribución de Python y una carga útil de cliente desde su servidor C2 , y desactivar el registro en la consola antes de cargar los módulos.
BeaverTail lleva en activo al menos desde May 2023. Comenzó como un pequeño programa de descarga en aplicaciones de JavaScript y apareció en paquetes maliciosos de npm como parte de unos ataques a la cadena de suministro de softwar .
El malware también puede descargar los módulos de carga útil del programa de robo de datos «InvisibleFerret» escrito en Python.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Grupos de APT como Famous Chollima están adoptando actualmente los principios del desarrollo ágil en el diseño de malware. Esto les permite iterar, probar e implementar rápidamente nuevas funcionalidades sin tener que renovar por completo su infraestructura, lo que se ajusta a las prácticas modernas de ingeniería de software.
El hecho de que este actor siga recurriendo al spear phishing y a las páginas web de empleo falsas demuestra cómo los autores de las amenazas continúan aprovechándose de las vulnerabilidades humanas, lo que hace que la concienciación y la formación de los usuarios sean fundamentales.
COLDRIVER lanza tres nuevas familias de malware
El Grupo de Inteligencia sobre Amenazas de Google (GTIG) ha descubierto recientemente tres nuevas familias de malware vinculadas a COLDRIVER, un grupo patrocinado por el Estado ruso. Este nuevo malware se está utilizando en campañas de phishing dirigidas y pone de manifiesto un aumento en el ritmo de desarrollo y de actividad de este grupo de ciberdelincuentes.
Google descubrió que la reconversión de este actor comenzó con una nueva DLL maliciosa denominada NOROBOT. Se distribuyó a través de un enlace de ClickFix con temática de CAPTCHA de , de forma similar a los ataques anteriores de COLDRIVER. NOROBOT utilizó inicialmente una puerta trasera denominada YESROBOT, pero Google ha observado que el autor ha dejado de utilizarla para pasar a emplear otra puerta trasera, conocida como MAYBEROBOT.
La última cadena de infección incluye tres componentes distintos que se distribuyen a través de un señuelo denominado «COLDCOPY ClickFix». Mediante este señuelo, se engaña al usuario para que descargue y ejecute un archivo DLL a través de rundll32 , tras pedirle que confirme que no es un robot.
NOROBOT, YESROBOT y MAYBEROBOT
- NOROBOT (también conocido como BAITSWITCH) es un archivo DLL que lleva unos meses en fase de desarrollo. Su objetivo principal es pasar a la siguiente fase a partir de la C2. NOROBOT descargará y extraerá una instalación de Python 3.8 , que, según señala Google, es «un artefacto llamativo que probablemente despierte sospechas». NOROBOT también garantizará la continuidad mediante una tarea programada.
- YESROBOT es una puerta trasera de Python que recupera comandos de su servidor C2. Exige que todos los comandos estén escritos en código Python válido, lo que limita la funcionalidad y dificulta su manejo. GTIG solo ha detectado dos casos de YESROBOT y considera probable que se haya abandonado en favor de MAYBEROBOT.
- MAYBEROBOT (también conocido como SIMPLEFIX) no requiere Python para ejecutarse y utiliza un protocolo personalizado que admite tres comandos: descargar y ejecutar archivos, ejecutar comandos de
cmd.exey ejecutar bloques de PowerShell. Aunque supone una mejora, MAYBEROBOT sigue teniendo una «funcionalidad integrada mínima».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La rápida adaptación de COLDRIVER a nuevas familias de malware demuestra un alto nivel de agilidad y preparación, lo que apunta a un actor malicioso con amplios recursos y experiencia, capaz de mantener un acceso persistente.
La evolución posterior de YESROBOT a MAYBEROBOT pone de manifiesto un equilibrio deliberado entre la facilidad de implementación y la flexibilidad operativa, lo que destaca la comprensión matizada que tiene el grupo sobre la evasión de la detección y el acceso a largo plazo.
El Vidar Stealer 2.0 demuestra sus capacidades mejoradas
Según Trend Micro, la última versión de Vidar Stealer 2.0 supone una evolución significativa de este malware dedicado al robo de información. Esta versión incorpora cambios arquitectónicos y técnicas avanzadas diseñadas para mejorar el rendimiento, ampliar las capacidades de robo de datos y eludir la detección.
¿Qué es el programa de robo de información Vidar?
El programa de robo de información Vidar apareció por primera vez en 2018, basado inicialmente en el código fuente del programa de robo Arkei, y era conocido por sustraer credenciales de navegadores y carteras de criptomonedas.
Desde su creación, Vidar ha ampliado de forma constante sus capacidades. Y en « October 2025», su desarrollador anunció Vidar 2.0: una importante actualización destinada a mejorar el rendimiento y la capacidad de eludir las defensas modernas.
Actualizaciones de Vidar 2.0
Vidar 2.0 incluye varios cambios, entre ellos una reescritura completa de C++ a C. El desarrollador de Vidar afirma además que el malware cuenta ahora con un sistema multihilo para «permitir un uso extremadamente eficiente de los procesadores multinúcleo», al tiempo que agiliza el proceso general de recopilación de datos. Trend Micro ha descubierto que el avanzado sistema de multihilos puede ajustar automáticamente el rendimiento en función de las especificaciones del ordenador de cada víctima, adaptando dinámicamente el número de hilos.
Además, la nueva versión de Vidar 2.0 utiliza métodos exclusivos de elusión de AppBound, como las técnicas de inyección de memoria, para burlar el cifrado vinculado a la aplicación de Chrome. Estos métodos también son aplicables a Chrome, Firefox, Edge y otros navegadores basados en Chromium.
Otro cambio importante es la incorporación de un generador polimórfico automático (morpher), lo que significa que cada versión del malware es única y presenta firmas binarias diferentes.
Detalles técnicos y flujo de ejecución de Vidar 2.0
Según Trend Micro, «el flujo de ejecución de Vidar 2.0 revela una secuencia de operaciones cuidadosamente orquestada, diseñada para maximizar la recopilación de datos al tiempo que elude la detección mediante técnicas avanzadas de anti-análisis, procesamiento multihilo y mecanismos de evasión adaptativos».
- Inicialización y evasión: La fase de inicialización de Vidar establece una arquitectura multihilo y aplica ofuscación del flujo de control. En la fase de evasión, lleva a cabo comprobaciones contra el análisis, tales como la detección de depuradores, la verificación de tiempos, la validación del tiempo de actividad del sistema y la elaboración de perfiles de hardware, con el fin de evitar ejecutarse en entornos de sandbox.
- Recopilación de información y robo de datos: A continuación, el malware realiza un análisis del sistema antes de recopilar credenciales y otros datos confidenciales.
- Exfiltración y limpieza: Hacia el final del ataque, el malware captura capturas de pantalla antes de empaquetar y exfiltrar los datos recopilados a través de HTTP multipart para enviarlos a su servidor C2, utilizando bots de Telegram y perfiles de Steam como canales adicionales. El malware también elimina los rastros temporales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como explica Trend Micro, el lanzamiento de Vidar 2.0 coincide con el declive de Lumma Stealer. Esto podría indicar una estrategia deliberada para hacerse con cuota de mercado en el ecosistema de la ciberdelincuencia, lo que pone de manifiesto la dinámica competitiva entre los desarrolladores de malware.
La capacidad del malware para ajustar dinámicamente el uso de subprocesos en función de las especificaciones del sistema pone de manifiesto un nivel de gestión de recursos que suele observarse en el software legítimo, lo que difumina aún más los límites entre el comportamiento malicioso y el benigno en el análisis forense.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
