Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza tres amenazas emergentes que están definiendo el panorama actual de amenazas. En primer lugar está Katz Stealer, una plataforma de «malware como servicio» (MaaS) que ha salido a la luz recientemente y que está ganando popularidad rápidamente entre los autores de amenazas. A continuación, cabe destacar el resurgimiento de Lumma Stealer, un conocido malware dedicado al robo de información. Por último, el equipo analiza NailaoLocker, una variante de ransomware dirigida a sistemas Windows.
Katz Stealer: un notorio programa de robo de información «llave en mano» que tiene como objetivo las credenciales y las criptomonedas
SentinelOne ha publicado en un aviso sobre «Katz Stealer», una plataforma MaaS de reciente aparición diseñada para sustraer credenciales, datos de carteras de criptomonedas y otros activos confidenciales.
Katz Stealer ofrece a los ciberdelincuentes una plataforma personalizable y fácil de usar para el robo de datos. El carácter «llave en mano» del malware, junto con sus capacidades de ocultación, ha contribuido a su rápida difusión.
Cargas útiles modulares y campañas impulsadas por afiliados
Los afiliados pagan por el acceso a un panel de gestión en línea que les permite generar versiones personalizadas de malware. Estas versiones se pueden personalizar activando o desactivando funciones como las comprobaciones contra máquinas virtuales, los módulos de robo de datos y los formatos de entrega. Esta flexibilidad, combinada con una interfaz de usuario muy intuitiva, permite a los autores de amenazas poner en marcha y gestionar campañas con un mínimo de dificultades.
Cadena de entrega y ejecución discreta
Katz Stealer suele llegar a través de correos electrónicos de phishing o de descargas infectadas con troyanos que contienen «droppers» de JavaScript ofuscados. Estos programas de instalación ejecutan comandos de PowerShell para recuperar archivos de imagen maliciosos que contienen cargas útiles esteganográficas.
Una vez instalado, el malware eleva sus privilegios eludiendo el Control de acceso de usuario (UAC), establece su persistencia mediante tareas programadas y evade la detección mediante comprobaciones anti-análisis y el vaciado de procesos.
Funciones completas para la protección contra el robo de datos
El malware afecta a una amplia variedad de aplicaciones y servicios. Extrae credenciales y tokens, y rellena automáticamente los datos de los navegadores; recopila información de aplicaciones de mensajería, videojuegos, correo electrónico, FTP y VPN; y captura capturas de pantalla, audio y vídeo. Sus capacidades para el robo de criptomonedas son especialmente agresivas, ya que busca más de 150 identificadores de extensiones de navegador y rastros de carteras de escritorio.
Soluciones alternativas para la inyección en el navegador y el cifrado
Al inyectarse en los procesos del navegador, Katz Stealer puede acceder a datos confidenciales a través de las API expuestas. El análisis técnico de SentinelOne también detalla cómo el malware elude los mecanismos de cifrado diseñados para proteger las credenciales almacenadas y los datos de los monederos.
Comunicación persistente de mando y control (C2) y exfiltración continua
Cada instancia de malware incluye una dirección C2 y un identificador de campaña codificados de forma fija. Una vez activado, mantiene una conexión permanente con el servidor C2 , filtrando continuamente los datos actualizados de las víctimas, lo que pone de manifiesto su función como herramienta de vigilancia y robo a largo plazo, más que como un ataque puntual.
«Katz Stealer no es un programa de robo de información de «un solo uso»; está diseñado para extraer continuamente los datos de la víctima.»SentinelOne
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Katz Stealer es el último ejemplo de cómo la ciberdelincuencia se está convirtiendo cada vez más en un producto de consumo, lo que reduce las barreras de acceso para los autores de amenazas.
El hecho de que Katz Stealer se centre en los monederos de criptomonedas y en las credenciales almacenadas en el navegador también sugiere que los autores de las amenazas se están adaptando a las pilas tecnológicas empresariales actuales para lograr el mayor impacto posible.
Katz Stealer está siendo cada vez más utilizado por los atacantes, lo que podría dar lugar a un aumento de los ataques basados en credenciales. Dicho esto, solo el tiempo dirá qué éxito tendrá este programa de robo de información en un panorama saturado de programas de este tipo.
El Lumma Stealer vuelve a la escena con una mayor discreción y una potencia modular
Tras una operación policial llevada a cabo en May 2025, Lumma Stealer ha regresado con técnicas de ocultación mejoradas y una arquitectura modular, lo que lo hace más difícil de detectar y más adaptable a diversos vectores de ataque.
Trend Micro advierte de que esta evolución exige una mayor vigilancia y estrategias de defensa en varias capas.
Intervención de las fuerzas del orden y recuperación alegada
La operación de desmantelamiento logró eliminar más de 2,300 dominios maliciosos, cortando así la comunicación entre los equipos infectados y la infraestructura de Lumma.
Sin embargo, el grupo responsable de Lumma afirmó posteriormente en foros clandestinos que no se había incautado el servidor principal, sino que se había accedido a él a través de una vulnerabilidad. Afirmaron que el acceso al servidor se restableció poco después de la interrupción.
Rápida reconstrucción de las infraestructuras y reactivación operativa
Los datos de telemetría de Trend Micro muestran que la infraestructura de Lumma Stealer se reactivó rápidamente, a las pocas semanas de su desmantelamiento. Aunque la actividad se redujo temporalmente, pronto volvió a los niveles previos a la interrupción, lo que pone de manifiesto que se trata de un actor malicioso resistente y decidido.
Cambio en las tácticas de ofuscación de redes
Anteriormente, Lumma dependía en gran medida de Cloudflare para ocultar sus dominios maliciosos. Tras el desmantelamiento, Trend Micro observó un cambio estratégico: ahora son menos los dominios que utilizan Cloudflare, y los operadores del malware han diversificado su infraestructura entre varios proveedores de servicios para reducir el riesgo de detección.
Campañas posteriores a la retirada e innovaciones en la entrega
Las campañas recientes han recurrido a métodos de distribución engañosos, entre los que se incluyen herramientas falsas y la técnica «ClickFix».
ClickFix en el punto de mira: seguimiento de la evolución de esta
táctica de ingeniería socialClickFix sigue ganando terreno como método preferido para la distribución de malware, utilizado tanto por ciberdelincuentes como por actores patrocinados por el Estado. El equipo de CTI de Tanium ha estado siguiendo de cerca su evolución a lo largo de múltiples campañas. A continuación se presentan algunas de las últimas conclusiones
:• Rogue Tools, ClickFix y BlueNoroff (Publicado June 25en , 2025): CTI analiza el aumento de las campañas de ClickFix relacionadas con el malware GHOSTPULSE y señala cómo esta técnica está siendo adoptada por actores estatales de Corea del Norte, Irán y Rusia.
• Deepfakes, ToyMaker IAB y ClickFix (Publicado April 30en , 2025): CTI detalla cómo los atacantes están utilizando ClickFix para distribuir un agente Havoc Demon modificado, haciendo hincapié en que esta técnica depende de la interacción del usuario y en su creciente popularidad.
• Silk Typhoon, notas de rescate falsas y ClickFix (Publicado March 12en , 2025): Este resumen destaca una campaña de phishing al estilo ClickFix que aprovecha SharePoint y la API de Microsoft Graph para desplegar de forma encubierta un agente Havoc Demon modificado.
Lumma Stealer también se ha distribuido a través de repositorios de GitHub y plataformas de redes sociales, lo que pone de manifiesto la agilidad de sus operadores a la hora de aprovechar canales de confianza para la propagación de malware.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El regreso de Lumma Stealer pone de manifiesto la determinación de los autores de las amenazas y su capacidad para adaptar continuamente sus tácticas con el fin de eludir las defensas modernas.
Lumma Stealer no es el único grupo que ha reaparecido tras haber sido desarticulado. Esto nos sirve para recordar que, si bien las medidas de las fuerzas del orden pueden perturbar considerablemente las operaciones, no siempre eliminan la amenaza.
Tal y como señala Trend Micro, los responsables de este malware «suponen un riesgo constante para las organizaciones y los particulares de todo el mundo». La formación en materia de concienciación sobre seguridad es fundamental como complemento de las medidas de protección técnicas.
NailoLocker Cheese: una sofisticada amenaza para los sistemas Windows con función de descifrado integrada
Los investigadores de Fortinet han identificado NailaoLocker, una variante de ransomware dirigida a Windows y conocida como «Cheese». Lo que lo distingue es el uso de SM2 claves criptográficas codificadas de forma fija y una función de descifrado integrada, una combinación poco habitual que suscita dudas sobre su verdadera finalidad. ¿Podría tratarse de una oportunidad única para la recuperación, o de una trampa diseñada para engañar a las víctimas y a los investigadores?
Instalación encubierta mediante la carga lateral de DLL
NailaoLocker se presenta en forma de tres archivos:
- Un ejecutable legítimo (
usysdiag.exe) utilizado para la carga lateral de DLL - Un archivo DLL de carga malicioso (
sensapi.dll) - La carga útil ofuscada del ransomware (
usysdiag.exe.dat)
La ejecución comienza cuando el atacante ejecuta el archivo ejecutable legítimo, el cual carga la DLL maliciosa y descifra la carga útil directamente en la memoria. Para minimizar los rastros forenses, el cargador libera su propia memoria y elimina el archivo DLL una vez finalizada la ejecución.
Cambio de modo y comportamiento de inicialización
El ransomware determina si debe ejecutarse en modo de cifrado o de descifrado comparando un valor predefinido con una cadena específica («XXXX»). Este parámetro parece ser interno, ya que NailaoLocker no admite argumentos de línea de comandos para la selección del modo.
Durante la inicialización, abre una ventana de consola para mostrar actualizaciones de estado en tiempo real y crea un archivo de registro (lock.log) para realizar un seguimiento del progreso, lo que indica que no tiene intención alguna de ocultar su actividad.
Cifrado multihilo con SM2 pares de claves
NailaoLocker utiliza una arquitectura multihilo para maximizar el rendimiento en todos los núcleos del procesador. Cifra los archivos utilizando el AES-256-CBC y añade la extensión «.locked» a los archivos afectados, además de marcarlos como ocultos. El uso por parte del ransomware de SM2 pares de claves codificados de forma fija —integrados en formato ASN.1 DER— constituye una característica distintiva que permite llevar a cabo tanto las rutinas de cifrado como las de descifrado.
Modo de descifrado: ¿una ruta de recuperación integrada?
En el modo de descifrado, NailaoLocker analiza los directorios en busca de archivos cifrados e intenta restaurarlos utilizando la clave privada SM2 integrada. Si bien esta funcionalidad podría ofrecer una vía de recuperación, Fortinet advierte de que también podría servir como señuelo o como función de pruebas internas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La función de descifrado de NailaoLocker es muy inusual y podría indicar, bien, la existencia de una puerta trasera creada por el desarrollador, bien, simplemente una táctica para despistar tanto a los analistas como a las víctimas.
Si los investigadores de seguridad logran descubrir cómo activar de forma fiable el modo de descifrado, este ransomware podría convertirse, irónicamente, en un caso de estudio sobre cómo los errores de los atacantes pueden traducirse en victorias para los defensores.
Esta variante de ransomware también destaca por el uso de un par de claves SM2 integrado, que, según Fortinet, podría encontrarse aún en fase de desarrollo.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
