Malware Sality: el ataque que cambia direcciones cripto al copiar y pegar sigue activo tras el golpe policial

Un ataque de malware que intercambia direcciones de criptomonedas cuando el usuario copia y pega sigue amenazando a quienes tienen equipos infectados, pese a la desarticulación internacional de la botnet Sality el pasado 31 de agosto. Según la firma de ciberseguridad CrowdStrike, la operación cortó la entrega de nuevas cargas maliciosas, pero el código ya instalado en miles de máquinas continúa funcionando y puede robar fondos en el momento de una transferencia.

El problema es tan simple como peligroso: cuando la víctima copia una dirección de billetera para pegarla en un envío, el malware la reemplaza silenciosamente por una dirección controlada por los atacantes. Como las direcciones cripto son largas y difíciles de verificar de memoria, la mayoría de los usuarios pega y confirma sin advertir el cambio. El dinero sale directo hacia los delincuentes.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Cómo funciona el malware Sality y el robo por copiar y pegar

Sality es una familia de software malicioso con más de una década de historia que infecta archivos ejecutables y forma redes de equipos comprometidos. En su reporte del 1 de septiembre, CrowdStrike detalló la disrupción de la botnet y advirtió que la acción coordinada bloqueó la comunicación con los servidores de mando, impidiendo que los operadores enviaran nuevas instrucciones o módulos a las máquinas ya infectadas.

Eso deja un matiz incómodo. La caña de pescar quedó cortada, pero el anzuelo sigue clavado. Los componentes que ya residen en un equipo comprometido —entre ellos el módulo que vigila el portapapeles y sustituye direcciones de billeteras— no desaparecen solos. Mientras la computadora no se limpie a fondo, el llamado «clipper» continúa al acecho de cualquier operación con criptomonedas.

La técnica no distingue entre redes: puede intercambiar direcciones de Bitcoin, Ethereum y otras cadenas, adaptando el formato para que el reemplazo parezca legítimo. Al no requerir que la víctima instale nada nuevo ni haga clic en un enlace en el momento del robo, resulta especialmente difícil de detectar para el usuario promedio.

Una operación internacional contra la botnet

El desmantelamiento formó parte de una acción multinacional. El Departamento de Justicia de Estados Unidos anunció la operación coordinada junto con socios internacionales, orientada a neutralizar la infraestructura que sostenía la red de equipos infectados. La coordinación permitió golpear los servidores desde los que se distribuían las cargas maliciosas.

La lección para el sector es conocida pero se repite: derribar la infraestructura de una botnet no equivale a desinfectar los dispositivos de las víctimas. Cada máquina comprometida es un frente que debe atenderse por separado, con herramientas de limpieza y, en muchos casos, con la reinstalación del sistema operativo.

Este tipo de amenazas se suma a una lista creciente de riesgos que golpean a los usuarios de criptoactivos por vías indirectas. En los últimos meses se han documentado desde fugas de fondos en plataformas de custodia hasta filtraciones de datos y dispositivos domésticos que espían la red del hogar, un recordatorio de que la superficie de ataque va mucho más allá de las propias billeteras.

Cómo protegerse del intercambio de direcciones

La defensa contra un ataque de copiar y pegar recae en gran medida en el comportamiento del usuario, porque el fraude ocurre en el propio equipo antes de que la transacción llegue a la blockchain. Algunas prácticas reducen el riesgo de forma notable:

• Verificar la dirección completa antes de confirmar cualquier envío, no solo los primeros y últimos caracteres, que es justo donde el malware más sofisticado imita el original.
• Realizar una transacción de prueba con un monto pequeño cuando se envían cantidades importantes a una dirección nueva.
• Usar las funciones de libreta de direcciones o listas blancas de los exchanges y billeteras, que fijan destinos previamente validados.
• Mantener el sistema operativo y el antivirus actualizados, y desconfiar de software pirata o descargado de fuentes no oficiales, la vía habitual de contagio de Sality.
• Ante la menor sospecha de infección, mover los fondos desde un dispositivo limpio y considerar el uso de billeteras de hardware.

Para quienes quieran profundizar en cómo el miedo y la euforia condicionan las decisiones apresuradas —terreno fértil para este tipo de estafas—, vale la pena entender los mecanismos del FOMO y el FUD en el mercado, ya que la prisa por completar un envío suele bajar la guardia del usuario.

El caso deja una advertencia clara: incluso una victoria policial de alto perfil contra una red criminal no cierra automáticamente el riesgo para el usuario final. Mientras existan equipos infectados sin limpiar, el ataque que roba fondos con un simple copiar y pegar seguirá cobrando víctimas silenciosas.