Correos legítimos y blockchain sostienen nuevas cadenas de fraude de pagos

Una investigación de Gen Threat Labs siguió dos campañas distintas que compartían una misma lógica: el atacante no necesitaba romper el mecanismo de confianza que veía la víctima, sino manipular el proceso inmediatamente después. En la primera cadena, mensajes relacionados con envíos, facturas y documentos escaneados fueron enviados desde buzones corporativos previamente comprometidos, lo que permitía que controles como SPF y DKIM continuaran validando el correo.

El archivo adjunto ejecutaba un cargador JavaScript que daba paso a varias etapas de PowerShell, shellcode y funciones asociadas con malware bancario. Los indicadores analizados apuntaban a GepyS. La cadena terminaba modificando la configuración de proxy e instalando una extensión del navegador, acercando la operación maliciosa a la sesión bancaria del usuario.

La segunda campaña utilizó un malware compilado en Rust que vigilaba el portapapeles y reconocía direcciones pertenecientes a 21 tipos de blockchain, entre ellas Bitcoin, Ethereum y Litecoin. Cuando detectaba una dirección compatible, la reemplazaba por otra controlada por el atacante antes de que el usuario confirmara la transferencia.

La transacción seguía siendo criptográficamente válida porque ni la blockchain ni la cartera habían sido vulneradas. El engaño ocurría localmente: el destino ya había cambiado cuando la víctima firmaba. El diseño también utilizaba EtherHiding para consultar en Binance Smart Chain datos que apuntaban hacia infraestructura de mando y control, haciendo que una lista convencional de dominios o direcciones IP perdiera vigencia con rapidez.

Las campañas muestran que una señal auténtica no garantiza que el flujo completo sea seguro. Un correo puede provenir de infraestructura autorizada y una transferencia puede quedar correctamente registrada, mientras el proceso que conduce a ambas acciones ya fue manipulado.

Para los equipos de seguridad, el reto es correlacionar eventos que aislados parecen menores: un adjunto que inicia un intérprete de scripts, PowerShell descargando etapas adicionales, una modificación inesperada del proxy, la instalación de una extensión y consultas a contratos inteligentes desde procesos que normalmente no interactúan con una blockchain.

La respuesta debe combinar protección de identidad, control de ejecución y telemetría del endpoint. La autenticación del correo continúa siendo necesaria, pero no reemplaza la detección de cuentas comprometidas ni el análisis de lo que ocurre después de la entrega.