Ciberamenazas de la semana: gusano USB roba criptomonedas, Apple parchea una brecha en Beats y una nueva ola de troyanos Android
Resumen semanal de eventos clave en ciberseguridad: desde sofisticados esquemas de robo de activos hasta vulnerabilidades críticas en dispositivos populares.
Gusano USB: una nueva era de amenazas auto-replicantes
Expertos de Microsoft identificaron una peligrosa campaña dirigida a tenedores de criptomonedas. La base del ataque es un gusano USB auto-replicante que utiliza accesos directos ocultos de Windows (.LNK). La infección ocurre al abrir un archivo modificado en una memoria USB. Después, el gusano escanea el sistema, oculta los documentos originales del usuario y los reemplaza con accesos directos maliciosos. Cada vez que la víctima intenta abrir su archivo, se activa el malware.
Para comunicarse con el servidor de comando y control, ubicado en el dominio .onion, el gusano utiliza Tor integrado. Su objetivo principal es interceptar el portapapeles. El malware monitorea los datos copiados cada medio segundo, buscando frases semilla BIP39 (12 o 24 palabras) y direcciones de billeteras de Bitcoin, Ethereum, Tron y Monero. Al detectar una dirección, la reemplaza instantáneamente por la billetera del atacante, con un algoritmo que selecciona caracteres iniciales visualmente similares para engañar al usuario. Además, el programa toma capturas de pantalla cada diez segundos. La actividad del gusano se registra desde febrero, y su principal indicador es conductual, no de firma.
Apple cierra una brecha de espionaje en Beats Studio Buds
Apple lanzó una actualización urgente de firmware para los auriculares inalámbricos Beats Studio Buds, corrigiendo la vulnerabilidad crítica CVE-2025-20701. El problema, descubierto por especialistas de SentinelOne, permitía a atacantes dentro del alcance de Bluetooth conectarse sigilosamente a los auriculares y activar el micrófono integrado para escuchar. El exploit no requiere autenticación y otorga a los hackers un control casi total sobre el dispositivo, incluyendo la capacidad de leer y sobrescribir la memoria, así como interceptar conexiones de confianza con iPhones previamente emparejados. La vulnerabilidad se solucionó en la versión de firmware 1B211.
Nuevo troyano Android Rokarolla: control total del dispositivo
Investigadores de Zimperium descubrieron un troyano para Android llamado Rokarolla, cuyo arsenal incluye 137 comandos remotos. El malware se disfraza como instaladores de aplicaciones populares, como TikTok o Chrome. Tras la instalación, se hace pasar por un componente de Google Play Protect y, mediante ingeniería social, obliga al usuario a otorgar acceso a "Accesibilidad". Una vez obtenido el permiso, el troyano desactiva el Play Protect real y despliega todas sus funciones: intercepta códigos PIN, SMS, reemplaza el portapapeles para robar criptomonedas e incluso simula la pantalla de bloqueo de Android para tomar el control total del teléfono inteligente.
Opinión de expertos
La semana actual muestra una tendencia alarmante: los atacantes pasan de simples ataques de phishing a esquemas complejos y de múltiples etapas que utilizan medios físicos y explotan la confianza en las marcas. El gusano USB capaz de auto-replicarse es un retorno a tácticas clásicas, pero con un enfoque moderno en criptomonedas. Al mismo tiempo, la vulnerabilidad en los auriculares de Apple demuestra que incluso los dispositivos IoT aparentemente inofensivos pueden convertirse en un vector ideal para el espionaje. Recomiendo encarecidamente a los propietarios de criptoactivos aumentar la vigilancia: no conectar memorias USB sospechosas, actualizar el firmware de todos los dispositivos de manera oportuna y evaluar críticamente cualquier solicitud de permisos avanzados en Android.