COLDRIVER Utiliza el Malware LOSTKEYS para Robar Datos Sensibles en Occidente: Lo Que Debes Saber
Introducción
El panorama de la ciberseguridad enfrenta una nueva amenaza con el malware LOSTKEYS, una herramienta sofisticada empleada por el grupo de hackers COLDRIVER —vinculado a Rusia— para atacar objetivos occidentales de alto perfil. Desde diplomáticos hasta periodistas, este malware está diseñado para robar información crítica mediante técnicas de ingeniería social y evasión de detección.
Según informes recientes de Google Threat Intelligence, COLDRIVER ha evolucionado desde simples ataques de phishing hasta el uso de malware avanzado, como Spica a principios de 2024 y ahora LOSTKEYS. Este último representa un salto en su capacidad para comprometer sistemas y extraer datos sensibles sin dejar rastro.
¿Qué es LOSTKEYS y Cómo Funciona?
LOSTKEYS es un malware que opera en cuatro etapas clave, según el análisis de Google:
- Sitio web señuelo: Los atacantes crean páginas falsas con un CAPTCHA manipulado que, al ser completado, activa el proceso de infección.
- Descarga del script malicioso: Se copia automáticamente un código de PowerShell en el portapapeles del usuario, listo para ser ejecutado.
- Evasión de detección: El malware utiliza técnicas para evitar ser identificado por antivirus y herramientas de seguridad.
- Instalación del payload: Finalmente, se despliega LOSTKEYS, que busca archivos con extensiones específicas (como documentos y credenciales) y los envía a un servidor controlado por los atacantes (IP maliciosa: 165.227.148[.]68).
COLDRIVER: Un Grupo de Amenaza en Evolución
COLDRIVER, también conocido como Callisto Group o BlueCharlie, ha sido vinculado por expertos en seguridad a operaciones respaldadas por el gobierno ruso. Su enfoque principal son entidades occidentales, aprovechando conflictos geopolíticos para robar información estratégica.
En enero de 2024, el grupo ya había sorprendido con el malware Spica, pero LOSTKEYS demuestra un mayor nivel de sofisticación. Su transición desde el phishing tradicional hacia herramientas más avanzadas refleja una adaptación preocupante a las medidas de defensa actuales.
Medidas de Mitigación de Google
Google ha tomado acciones para contener esta amenaza, incluyendo los dominios asociados a LOSTKEYS en su sistema Safe Browsing, que alerta a los usuarios al intentar acceder a sitios maliciosos. Además, recomienda:
- No copiar y pegar scripts desconocidos, especialmente desde páginas con CAPTCHAs sospechosos.
- Verificar la autenticidad de los sitios web antes de introducir credenciales.
- Monitorear procesos inusuales en los dispositivos.
El Aumento de Ciberataques en 2025: Contexto Alarmante
Los ciberataques están alcanzando niveles sin precedentes. Solo en el primer trimestre de 2025, las pérdidas globales superaron los $2 mil millones, superando las cifras de todo 2024. Entre los incidentes más graves destaca el robo de $1.5 mil millones a la plataforma de criptomonedas Bybit, atribuido al grupo norcoreano Lazarus.
Las principales vulnerabilidades explotadas incluyen:
- Fallos operativos en sistemas sin actualizar.
- Controles de acceso débiles en empresas y organismos gubernamentales.
- Ingeniería social, como la empleada por COLDRIVER con LOSTKEYS.
Consejos de Seguridad para Usuarios y Empresas
Para evitar ser víctima de esta y otras amenazas, se recomienda:
- Usar herramientas de ciberseguridad actualizadas, como firewalls y antivirus de confianza.
- Capacitar a empleados en identificación de phishing y sitios fraudulentos.
- Habilitar autenticación multifactor (MFA) en cuentas críticas.
Conclusión
La aparición de LOSTKEYS subraya un hecho innegable: los ciberdelincuentes, especialmente aquellos con respaldo estatal, están perfeccionando sus métodos. COLDRIVER ya no es solo un grupo de phishing, sino un actor capaz de desplegar malware avanzado contra blancos estratégicos.
La prevención y la concienciación son las mejores defensas. Mantenerse informado sobre estas amenazas y aplicar medidas proactivas puede marcar la diferencia entre un sistema seguro y una brecha devastadora.
¿Quieres más información? Consulta los informes completos de Google Threat Intelligence y suscríbete a alertas de ciberseguridad.
Imagen sugerida: Diagrama del proceso de infección de LOSTKEYS (Fuente: Google Threat Intelligence).
Lectura relacionada: «Spica: El Malware que Precedió a LOSTKEYS en la Estrategia de COLDRIVER».
Publicaciones relacionadas:
Salida del presidente de la CFTC, secuestro de Bitcoin en Rusia y advertencia del FMI a Kenia: Ley Decodificada 
Cuidado con las versiones ‘crackeadas’ de TradingView: Un troyano que roba criptomonedas 
El Mayor Hackeo de Criptomonedas de la Historia: Cómo el Lazarus Group Robó $1.400M a Bybit 
Crypto Drainers: El Malware que se Vende como SaaS en Ferias de TI
