{"id":233141,"date":"2026-07-31T05:55:05","date_gmt":"2026-07-31T12:55:05","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=233141"},"modified":"2026-07-31T08:08:30","modified_gmt":"2026-07-31T15:08:30","slug":"malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/","title":{"rendered":"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo “criptoclipper”"},"content":{"rendered":"

Autor: Neil Tyagi<\/em><\/p>\n

Resumen<\/span><\/b>\u00a0<\/span><\/h2>\n

McAfee Advanced Threat Research identific\u00f3 una campa\u00f1a activa que utiliza extensiones de navegador para robar criptomonedas al cambiar sigilosamente la direcci\u00f3n del wallet en el momento en que el usuario inicia una transacci\u00f3n<\/strong>. La campa\u00f1a se lleva a cabo mediante programas de instalaci\u00f3n no firmados, detectados tanto en versi\u00f3n .NET como Golang, cuya actividad consiste en desplegar una extensi\u00f3n maliciosa para Chromium que se hace pasar por una utilidad inofensiva llamada “Google Notes”.\u00a0<\/span>\u00a0<\/span><\/p>\n

Esta campa\u00f1a est\u00e1 relacionada con un blog publicado anteriormente por McAfee Labs<\/span> titulado “Sinkholing CountLoader: Insights into Its Recent Campaign<\/span><\/i>“,<\/span><\/a> ya que parece que el autor de <\/span>ambas <\/span>operaciones es el mismo<\/span>.<\/span>\u00a0En aquella investigaci\u00f3n, estudiamos la carga \u00fatil de un “criptoclipper” que se inyectaba directamente en la memoria. Aqu\u00ed analizamos una variante diferente de la carga \u00fatil de la fase final: una extensi\u00f3n maliciosa para navegador dise\u00f1ada para interceptar y manipular transacciones en criptomonedas.\u00a0<\/span>\u00a0<\/span><\/p>\n

En este reporte, explicamos c\u00f3mo funciona la extensi\u00f3n y brindamos un an\u00e1lisis t\u00e9cnico de los mecanismos que otorgan a esta amenaza un car\u00e1cter especialmente singular. La extensi\u00f3n funciona como un “criptoclipper” basado en el portapapeles: vigila las operaciones de copiar y pegar, identifica las direcciones de los wallets (o billeteras de criptomonedas) en m\u00faltiples cadenas de bloques, o blockchains, y las sustituye por direcciones que controla el atacante justo antes de que la v\u00edctima pegue el contenido. Como la mayor\u00eda de las transacciones en cadenas de bloques son irreversibles, basta con una sola ejecuci\u00f3n ininterrumpida para provocar una p\u00e9rdida econ\u00f3mica permanente.<\/span>\u00a0<\/span><\/p>\n

Hay dos caracter\u00edsticas que agravan esta campa\u00f1a frente a la amenaza del t\u00edpico “clipper”:<\/span>\u00a0<\/span><\/p>\n

    \n
  1. Uso indebido de la capa de confianza de Chromium.<\/span><\/b>\u00a0<\/span><\/b>El instalador ingresa inadvertidamente una extensi\u00f3n maliciosa en los navegadores basados en Chromium, como Google Chrome, Brave y Microsoft Edge, modificando los archivos de configuraci\u00f3n protegidos del navegador. Normalmente, estos navegadores guardan datos de verificaci\u00f3n de seguridad (valores hash\/HMAC) junto con los ajustes sensibles para detectar cambios no autorizados<\/span>.\u00a0<\/span><\/b>Tras manipular los archivos, el malware vuelve a calcular y actualiza estos valores de seguridad para inducir al navegador a creer que la extensi\u00f3n maliciosa se instal\u00f3 de forma leg\u00edtima. De este modo, la extensi\u00f3n elude el proceso habitual de instalaci\u00f3n a trav\u00e9s de la tienda web de extensiones y se carga en segundo plano sin que el usuario tenga que dar su consentimiento. Aunque en las versiones actualizadas de Chrome y Edge la v\u00edctima debe activar a mano el modo de desarrollador para que la extensi\u00f3n se cargue correctamente, quienes tienen versiones obsoletas de navegadores basados en Chromium siguen corriendo un alto riesgo. Adem\u00e1s, incluso en las versiones m\u00e1s recientes, los atacantes pueden recurrir a t\u00e1cticas de ingenier\u00eda social para activar el modo de desarrollador.<\/span><\/li>\n
  2. Sistema de mando y control basado en la cadena de bloques<\/strong>. La extensi\u00f3n no contiene un dominio C2 en el c\u00f3digo. Para contrarrestarlo, consulta un endpoint RPC de una cadena de bloques p\u00fablica, invoca un m\u00e9todo con contrato inteligente de solo lectura y descodifica la respuesta en tiempo de ejecuci\u00f3n para averiguar su servidor de mando y control (C2) activo, que durante el an\u00e1lisis identificamos como <\/span>Zebregts[.]com. <\/span><\/li>\n<\/ol>\n

    Esta t\u00e9cnica, a menudo denominada “EtherHiding”,\u00a0<\/strong>complica los esfuerzos de desactivaci\u00f3n, ya que el atacante puede modificar la infraestructura actualizando el valor de un contrato inteligente en lugar de volver a desplegar el malware.<\/span>\u00a0<\/span><\/p>\n

    Los datos de telemetr\u00eda de McAfee <\/span>indican que<\/span> esta infecci\u00f3n est\u00e1 extendida por todo el mundo y muestran una concentraci\u00f3n pronunciada en la India. La amplitud de la zona geogr\u00e1fica sugiere que se trata de <\/span>un ataque oportunista<\/span> dirigido a usuarios particulares de criptomonedas, m\u00e1s que de una operaci\u00f3n espec\u00edfica para una regi\u00f3n concreta.<\/span><\/span>\u00a0<\/span><\/p>\n

    Prevalencia geogr\u00e1fica<\/span><\/span>\u00a0\u00a0<\/span><\/h2>\n
    \"Mapa
    Nuestra investigaci\u00f3n muestra que estas son las regiones del mundo m\u00e1s afectadas.<\/figcaption><\/figure>\n

    El an\u00e1lisis de los datos de telemetr\u00eda\u00a0<\/span>indica<\/span>\u00a0que\u00a0<\/strong><\/span><\/span>la infecci\u00f3n est\u00e1 distribuida por todo el mundo<\/span><\/span><\/strong>, aunque en la India se observa una \u00a0<\/span><\/span>concentraci\u00f3n considerablemente mayor\u00a0<\/span><\/span>\u00a0en comparaci\u00f3n con las dem\u00e1s regiones.\u00a0<\/span><\/span>\u00a0<\/span><\/p>\n

    Esta amplia presencia geogr\u00e1fica pone de manifiesto el gran alcance de la campa\u00f1a, lo que hace suponer que se trata de una estrategia de objetivos oportunistas m\u00e1s que de un ataque dirigido a una regi\u00f3n concreta.<\/span><\/span>\u00a0<\/span><\/p>\n

    La extensi\u00f3n maliciosa: “Google Notes”<\/span><\/span>\u00a0<\/span><\/h2>\n

    Este malware se hace pasar por una extensi\u00f3n de Google Notes \u00a0<\/span>aparentemente inofensiva<\/span>.<\/span><\/span>\u00a0<\/span><\/p>\n

    \"Extensi\u00f3n
    Figura 1. Esta imagen muestra la extensi\u00f3n maliciosa en la que se basa esta campa\u00f1a.<\/em><\/figcaption><\/figure>\n

    La extensi\u00f3n instalada se presenta como una sencilla aplicaci\u00f3n de notas de apariencia leg\u00edtima denominada “Google Notes”, acompa\u00f1ada de un icono depurado y una interfaz de usuario funcional (y simple). <\/span>\u00a0<\/span><\/p>\n

    La tapadera est\u00e1 bien pensada: cuando un usuario abre la extensi\u00f3n manualmente, se encuentra con algo que funciona tal y como se anuncia, lo que disipa sus sospechas. La l\u00f3gica maliciosa de la extensi\u00f3n est\u00e1 implementada en scripts “service worker” y scripts de contenido que se ejecutan en segundo plano, totalmente fuera de la vista de la interfaz de usuario.<\/span>\u00a0<\/span><\/p>\n

    La primera se\u00f1al de alarma importante aparece al a\u00f1adir la extensi\u00f3n, que solicita <\/span><\/b>permisos <\/span><\/b>de seguridad<\/span><\/b> y acceso<\/span><\/b> desproporcionados para una <\/span><\/b>aplicaci\u00f3n<\/strong> de notas<\/span><\/b> convencional<\/span><\/b>: \u00a0<\/span><\/b><\/p>\n

      \n
    • Acceso a todas las URL, lo que permite la inyecci\u00f3n de scripts en el contenido de cualquier sitio web que visite el usuario.<\/span>\u00a0<\/span><\/li>\n
    • Acceso al historial de navegaci\u00f3n.<\/span>\u00a0<\/span><\/li>\n
    • Acceso de lectura y escritura al portapapeles.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

      Medidas de mitigaci\u00f3n y recomendaciones<\/span>\u00a0<\/span><\/h2>\n

      Para particulares<\/span>\u00a0<\/span><\/h3>\n
        \n
      1. Antes de confirmar cualquier transacci\u00f3n con criptomonedas, <\/span>comprueba visualmente si los seis primeros y los seis \u00faltimos caracteres de la direcci\u00f3n del destinatario<\/span><\/b> coinciden con el origen, preferentemente en otro dispositivo.\u00a0Este simple h\u00e1bito permite evitar la gran mayor\u00eda de los ataques con “clippers”.<\/span>\u00a0<\/span><\/li>\n
      2. Instala extensiones de navegador solo desde la Chrome Web Store oficial<\/span><\/b>, la tienda de complementos de Edge o cualquier otra tienda equivalente. Deben considerarse sospechosas las extensiones de tu lista de instaladas que no recuerdes claramente haber instalado.<\/span>\u00a0<\/span><\/li>\n
      3. Revisa los permisos concedidos a cada extensi\u00f3n instalada<\/span><\/b>. Las herramientas de notas no tienen ninguna necesidad leg\u00edtima de acceder a todos los sitios web, al historial de navegaci\u00f3n ni al portapapeles.<\/span>\u00a0<\/span><\/li>\n
      4. Evita ejecutar archivos ejecutables no firmados <\/span><\/b>obtenidos de fuentes poco confiables, sobre todo las que ofrecen versiones gratuitas o pirateadas de programas de pago, ya que suelen ser un vector de distribuci\u00f3n habitual de este tipo de programas de instalaci\u00f3n.<\/span>\u00a0<\/span><\/li>\n
      5. Mant\u00e9n actualizada y activada la protecci\u00f3n de los dispositivos<\/span><\/b>. Los clientes de McAfee est\u00e1n protegidos contra esta campa\u00f1a espec\u00edfica, tal como se describe a continuaci\u00f3n.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

        Las soluciones de seguridad de McAfee ayudan a proteger a los usuarios en m\u00faltiples niveles:<\/span>\u00a0<\/span><\/h3>\n

        1. McAfee detecta esta amenaza con el nombre de CryptoStealer.NE y garantiza la protecci\u00f3n de sus clientes<\/span><\/b>\u00a0<\/span><\/h4>\n
        \"Figura
        Figura 2. Esta imagen muestra c\u00f3mo bloquea McAfee Antivirus esta amenaza para particulares.<\/em><\/figcaption><\/figure>\n

        2. Protecci\u00f3n contra descargas maliciosas<\/span><\/b><\/h4>\n

        McAfee detecta y bloquea el comportamiento del instalador (descarga y ejecuci\u00f3n de cargas \u00fatiles remotas) antes de que tenga lugar la infecci\u00f3n.<\/span>\u00a0<\/span>En nuestras pruebas, McAfee bloque\u00f3 todos los dominios y URL maliciosos.<\/span>\u00a0<\/span><\/p>\n

        3. Protecci\u00f3n de la red<\/span><\/b><\/h4>\n

        McAfee bloquea las conexiones a infraestructuras maliciosas conocidas (servidores C2), lo que impide la obtenci\u00f3n de direcciones de wallets.<\/span>\u00a0<\/span><\/p>\n

        4. Informaci\u00f3n sobre amenazas en tiempo real<\/span><\/b><\/h4>\n

        Teniendo en cuenta que esta amenaza est\u00e1 identificada en los datos de telemetr\u00eda de McAfee, es posible activar r\u00e1pidamente medidas de protecci\u00f3n para:<\/span>\u00a0<\/span><\/p>\n

          \n
        • Bloquear variantes similares<\/span>\u00a0<\/span><\/li>\n
        • Detectar infraestructuras asociadas<\/span>\u00a0<\/span><\/li>\n
        • Proteger a los clientes en todo el mundo<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

          C\u00f3mo funciona esta campa\u00f1a de amenazas<\/span><\/span>\u00a0<\/span><\/h1>\n

          Qu\u00e9 hace el malware<\/span>\u00a0\u00a0<\/span><\/h2>\n
            \n
          1. Instala inadvertidamente una <\/span>extensi\u00f3n de navegador (sideloading, o instalaci\u00f3n de extensiones web procedentes fuentes distintas a la tienda oficial)<\/span>\u00a0<\/span><\/li>\n
          2. Supervisa lo que copias y pegas (sobre todo criptodirecciones)<\/span>\u00a0<\/span><\/li>\n
          3. Se activa cuando haces una transacci\u00f3n con criptomonedas<\/span>\u00a0<\/span><\/li>\n
          4. Sustituye sigilosamente la direcci\u00f3n del wallet por la del atacante<\/span>\u00a0<\/span><\/li>\n
          5. Tu dinero se env\u00eda al atacante en lugar de transferirse al destino previsto<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

            Las transacciones con criptomonedas suelen ser <\/span>irreversibles<\/span><\/b>, por lo que las v\u00edctimas pueden perder sus fondos para siempre.<\/strong><\/span><\/p>\n

            \"Figura
            Figura 3. Esquema del funcionamiento de la extensi\u00f3n.<\/em><\/figcaption><\/figure>\n

            Principales funciones identificadas<\/span><\/span>\u00a0<\/span><\/h2>\n

            1. Instalaci\u00f3n inadvertida de una extensi\u00f3n<\/span><\/span>\u00a0<\/span><\/h3>\n

            Este malware no utiliza la tienda oficial del navegador, sino que modifica directamente los archivos del navegador para que parezca que la extensi\u00f3n est\u00e1 instalada (sideloading<\/em> de extensi\u00f3n de navegador). <\/span>Este m\u00e9todo elude las advertencias de seguridad habituales y escapa a la vigilancia del usuario.<\/span><\/p>\n

            \"Figura
            Figura\u00a04. Registros de Procmon que muestran a BaseZipInstaller (instalador web malicioso) escribiendo en los archivos Secure Preferences de Chrome y Edge.<\/em><\/figcaption><\/figure>\n

            2. Acceso completo al navegador<\/span><\/span>\u00a0<\/span><\/h3>\n
            \"Figura
            Figura\u00a05. Permisos solicitados para una extensi\u00f3n de Chrome.<\/em><\/figcaption><\/figure>\n
            \"Figura
            Figura\u00a06.\u00a0Archivo manifest de la extensi\u00f3n web.<\/em><\/figcaption><\/figure>\n

            La extensi\u00f3n maliciosa solicita permisos excesivos, como:<\/span>\u00a0<\/span><\/p>\n

              \n
            • Acceder a todos los sitios web<\/span>\u00a0<\/span><\/li>\n
            • Consultar el historial de navegaci\u00f3n<\/span>\u00a0<\/span><\/li>\n
            • Leer y modificar el contenido del portapapeles<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

              3. Interceptaci\u00f3n de criptodirecciones<\/span><\/b><\/h3>\n

              La extensi\u00f3n incluye una l\u00f3gica para detectar direcciones de wallets de m\u00faltiples criptomonedas, entre ellas:<\/span>\u00a0\"Figura<\/p>\n

              Figura 7. Expresiones regulares (Regex) de criptomonedas y direcci\u00f3n alternativa definidas en el c\u00f3digo.<\/em><\/p>\n

                \n
              • Las direcciones alternativas de wallets que aparecen en el c\u00f3digo no se utilizan en todas las transacciones, sino que sirven como mecanismo de respaldo cuando falla la recuperaci\u00f3n din\u00e1mica de la direcci\u00f3n desde el servidor que controla el atacante. <\/span>\u00a0<\/span><\/li>\n
              • En condiciones operativas normales, la extensi\u00f3n obtiene las direcciones alternativas de un servidor remoto, lo que permite una asignaci\u00f3n din\u00e1mica de wallets, posiblemente espec\u00edfica para cada v\u00edctima. <\/span>\u00a0<\/span><\/li>\n
              • Las direcciones de respaldo aseguran la funcionalidad del ataque incluso si la infraestructura de mando y control no est\u00e1 disponible temporalmente o est\u00e1 bloqueada.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                \"Figura
                Figura 8. Extensi\u00f3n maliciosa realizando una resoluci\u00f3n din\u00e1mica de criptodirecciones.<\/em><\/figcaption><\/figure>\n
                  \n
                • Esta funci\u00f3n se encarga de obtener la direcci\u00f3n alternativa del wallet que controla el atacante asignada a la direcci\u00f3n original de la v\u00edctima. <\/span>\u00a0<\/span><\/li>\n
                • La funci\u00f3n env\u00eda al servidor del atacante la direcci\u00f3n de wallet interceptada y utiliza la respuesta para sustituir din\u00e1micamente la direcci\u00f3n original.\u00a0<\/span>\u00a0<\/span><\/li>\n
                • Si falla la solicitud al servidor backend, la funci\u00f3n recurre a una direcci\u00f3n de wallet predefinida en el c\u00f3digo para asegurar que la actividad maliciosa no se vea interrumpida.<\/span>\u00a0<\/span><\/li>\n
                • 3J98t1Wxxxx es la direcci\u00f3n copiada en el portapapeles<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                  4<\/span>.\u00a0<\/span>Elusi\u00f3n de la detecci\u00f3n e invisibilidad<\/span><\/span>\u00a0<\/span><\/h3>\n
                  \"Figura
                  Figura 8. Archivo Settings.js que muestra la configuraci\u00f3n.<\/em><\/figcaption><\/figure>\n
                    \n
                  • La configuraci\u00f3n incluye en el c\u00f3digo una clave API que la extensi\u00f3n utiliza para autenticar la comunicaci\u00f3n con la infraestructura del hacker.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • El atacante se vale de una URL RPC que apunta a un nodo de una cadena de bloques p\u00fablica para obtener de forma din\u00e1mica la informaci\u00f3n del servidor backend, lo que le permite ocultar infraestructuras cr\u00edticas detr\u00e1s de sistemas descentralizados.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • La presencia de un m\u00e9todo y una direcci\u00f3n de contrato inteligente indica que el malware obtiene su dominio de mando y control (C2) de forma indirecta a trav\u00e9s de consultas en la cadena de bloques, lo que dificulta su neutralizaci\u00f3n y su seguimiento.<\/span>\u00a0<\/span><\/li>\n
                  • La lista de dominios bloqueados contiene una lista de sitios web relacionados con la inspecci\u00f3n de cadenas de bloques en los que la extensi\u00f3n no funciona. Esto se hace para no alertar a la v\u00edctima mientras intenta pegar su propia direcci\u00f3n y ver el saldo de su wallet o consultar sus transacciones<\/span>.\u00a0<\/span><\/li>\n<\/ul>\n
                    \"Figura
                    Figura 9. Identificaci\u00f3n del dominio C2 del atacante mediante un contrato inteligente de Ethereum (etherhiding).<\/em><\/figcaption><\/figure>\n
                    \"Figura
                    Figura 10. Carga \u00fatil de la solicitud con la direcci\u00f3n del contrato de Ethereum.<\/em><\/figcaption><\/figure>\n
                      \n
                    • El an\u00e1lisis din\u00e1mico revela que el malware obtiene su dominio de mando y control a trav\u00e9s de un contrato inteligente en una cadena de bloques que devuelve el dominio <\/span>devops-offensive[.]cc<\/span><\/i><\/b> en tiempo de ejecuci\u00f3n.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • La respuesta de la cadena de bloques se descodifica en tiempo de ejecuci\u00f3n y revela el dominio C2 activo (devops-offensive.cc).\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Este dominio no est\u00e1 definido en el c\u00f3digo, lo que permite al ciberdelincuente actualizar la infraestructura sin modificar el malware.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • El dominio obtenido se almacena en la cach\u00e9 local para mantener la persistencia y reducir las consultas repetidas a la red.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                      \"Figura
                      Figura 11. Esta imagen muestra la cadena codificada larga con el dominio malicioso.<\/em><\/figcaption><\/figure>\n

                      Esta cadena codificada<\/span><\/span> larga se descodifica utilizando esta\u00a0<\/span>funci\u00f3n<\/span> para obtener el dominio final del ciberatacante.<\/span><\/span><\/p>\n

                      \"Figura
                      Figura 12. Esta imagen muestra el dominio final del ciberdelincuente.<\/em><\/figcaption><\/figure>\n

                      T\u00e9cnicas de persistencia y evasi\u00f3n<\/span><\/span>\u00a0<\/span><\/h2>\n

                      La estrategia de persistencia y <\/span>evasi\u00f3n<\/span> de la campa\u00f1a es deliberada y tiene varias capas. Est\u00e1 claro que el hacker ha <\/span>optimizado<\/span> el sistema en dos aspectos: baja visibilidad ante el usuario final y alta resistencia a la neutralizaci\u00f3n y el an\u00e1lisis est\u00e1tico.<\/span><\/span>\u00a0<\/span><\/p>\n

                      Persistencia<\/span>\u00a0<\/span><\/h3>\n
                        \n
                      • El registro de la extensi\u00f3n mediante la manipulaci\u00f3n de los archivos Secure Preferences asegura la carga de la extensi\u00f3n cada vez que se inicia el navegador sin necesidad de ning\u00fan mecanismo auxiliar de persistencia de Windows,<\/span> ni claves Run del Registro, ni tareas programadas, ni servicios que suelen inspeccionar los cazadores de amenazas en los endpoints.<\/span><\/i><\/b>\u00a0<\/span><\/li>\n
                      • El modo de desarrollador se activa cuando es necesario mediante c\u00f3digo, lo que permite que las extensiones descomprimidas persistan sin que se active el flujo peri\u00f3dico de “advertencia de extensiones descomprimidas” que muestra Chromium para disuadir el sideloading.<\/span>\u00a0<\/span><\/li>\n
                      • El dominio C2 almacenado en cach\u00e9 permite que la extensi\u00f3n siga funcionando con un servidor backend leg\u00edtimo conocido aun cuando el endpoint RPC de la cadena de bloques no est\u00e1 disponible durante un breve periodo de tiempo.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                        Evasi\u00f3n<\/span>\u00a0<\/span><\/h3>\n
                          \n
                        • La identidad visible de la extensi\u00f3n, una sencilla aplicaci\u00f3n de notas llamada “Google Notes”, constituye una tapadera bastante convincente ante una inspecci\u00f3n superficial de la lista de extensiones instaladas.<\/span>\u00a0<\/span><\/li>\n
                        • Los valores HMAC recalculados <\/span> satisfacen la verificaci\u00f3n de integridad de Chromium, lo que impide que aparezca la advertencia de “extensi\u00f3n instalada de una fuente desconocida” que, de otro modo, alertar\u00eda al usuario.<\/span>\u00a0<\/span><\/li>\n
                        • El instalador se borra autom\u00e1ticamente tras ejecutarse, lo que elimina el indicio inicial m\u00e1s evidente en el disco de que<\/span> el sistema ha sido comprometido.<\/span>\u00a0<\/span><\/li>\n
                        • La obtenci\u00f3n del C2<\/span> a trav\u00e9s de una cadena de bloques p\u00fablica implica que no hay ning\u00fan dominio C2 persistente observable en el propio paquete de malware; las detecciones basadas en red y dise\u00f1adas a partir de indicadores de c\u00f3digo no se activan hasta que se obtiene el dominio y se establece contacto con \u00e9l.<\/span>\u00a0<\/span><\/li>\n
                        • Las variantes multiling\u00fces del instalador (.NET y Golang) reducen la eficacia de las firmas de los artefactos de compilaci\u00f3n y las caracter\u00edsticas binarias.<\/span>\u00a0<\/span><\/li>\n
                        • La sustituci\u00f3n din\u00e1mica de wallets por una direcci\u00f3n significa que las direcciones publicadas por los atacantes caducan r\u00e1pidamente y no se convierten en entradas permanentes de las listas de bloqueo; el equipo de seguridad debe bloquear el servicio backend mismo, no las direcciones que este genera.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                          L\u00f3gica de sustituci\u00f3n de wallets <\/span><\/span><\/span><\/span><\/h2>\n

                          La l\u00f3gica del clipper se divide en dos capas: una capa de script de contenido que supervisa la actividad del portapapeles y los campos de entrada del DOM en todos los sitios visitados, y una capa en segundo plano que se comunica con el backend del atacante para obtener las direcciones alternativas.<\/span>\u00a0<\/span><\/p>\n

                          Cuando la extensi\u00f3n observa un evento de copia, aplica a la carga \u00fatil del portapapeles un conjunto de expresiones regulares espec\u00edficas de la criptomoneda. Si se encuentra una coincidencia, la direcci\u00f3n interceptada se transmite al backend <\/span> mediante una solicitud autenticada (con la clave API integrada en la configuraci\u00f3n). El backend responde con una direcci\u00f3n alternativa espec\u00edfica para la original enviada, direcci\u00f3n que se vuelve a copiar en el portapapeles sobrescribiendo la direcci\u00f3n leg\u00edtima antes de que la v\u00edctima pueda pegarla.<\/span>\u00a0<\/span><\/p>\n

                          Las pruebas realizadas con un cliente backend reconstruido, creado al reimplementar en Python el formato de solicitud y la l\u00f3gica de descodificaci\u00f3n de respuestas de la extensi\u00f3n, generaron un perfil de comportamiento muy revelador:<\/span>\u00a0<\/span><\/p>\n

                            \n
                          • Bitcoin<\/span><\/b>(BTC), Ethereum, Bitcoin Cash, Ripple y Dash: <\/span><\/b>cada direcci\u00f3n enviada se asigna a una direcci\u00f3n \u00fanica controlada por el atacante. Cada vez que se reenv\u00eda la misma direcci\u00f3n original, se devuelve la misma direcci\u00f3n alternativa, lo que indica que el servidor mantiene una correspondencia determinista entre pares \u00fanicos.<\/span>\u00a0<\/span><\/li>\n
                          • Solana: <\/span><\/b>todas las direcciones enviadas se resumen en una \u00fanica direcci\u00f3n del atacante, lo que sugiere que la funci\u00f3n de asignaci\u00f3n por v\u00edctima se implementa de forma selectiva seg\u00fan la cadena.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                            An\u00e1lisis<\/span> de los wallets de criptomoneda del atacante<\/span><\/span>\u00a0<\/span><\/h2>\n

                            A partir de fragmentos del c\u00f3digo de la extensi\u00f3n web encargada de obtener las direcciones alternativas, se cre\u00f3 un script en Python para extraer program\u00e1ticamente las direcciones de los wallets del hacker. La carga \u00fatil se elabor\u00f3 utilizando el propio c\u00f3digo del atacante y el fragmento de c\u00f3digo “get replacement address” se extrajo de \u00e9l directamente. En el script tambi\u00e9n se volvi\u00f3 a implementar fielmente la l\u00f3gica que utilizaba el ciberdelincuente para descodificar los datos recibidos del servidor C2.<\/span>\u00a0<\/span><\/p>\n

                            A continuaci\u00f3n, se ejecut\u00f3 el script utilizando las direcciones de varios wallets Bitcoin (BTC) de prueba. Los resultados demostraron que, por cada direcci\u00f3n Bitcoin introducida, se obten\u00eda como respuesta una direcci\u00f3n Bitcoin \u00fanica, y que todas esas direcciones obtenidas eran wallets BTC v\u00e1lidos. Esto significa que, por cada direcci\u00f3n BTC facilitada, el atacante genera din\u00e1micamente un nuevo wallet vinculado a esa direcci\u00f3n concreta. Adem\u00e1s, cuando se volvi\u00f3 a introducir la misma direcci\u00f3n, se obtuvo la misma direcci\u00f3n BTC, lo que confirma que <\/span>cada direcci\u00f3n BTC de una v\u00edctima est\u00e1 vinculada de forma determinista a una \u00fanica direcci\u00f3n espec\u00edfica controlada por el delincuente<\/span><\/b>. Aunque algunos de estos wallets pertenecientes al hacker conten\u00edan fondos y otros estaban vac\u00edos, el hecho de que se desconozca el n\u00famero total de wallets del atacante dificulta un c\u00e1lculo confiable de la cantidad total de criptomonedas robadas.<\/span>\u00a0<\/span><\/p>\n

                            Con Ethereum se observ\u00f3 el mismo comportamiento: para cada entrada se devolv\u00edan direcciones de wallets diferentes. Curiosamente, cuando se prob\u00f3 el script con direcciones Solana, solo se obtuvo una \u00fanica direcci\u00f3n, independientemente del n\u00famero de entradas distintas introducidas. Esto parece indicar que el hacker solo ha implementado la funci\u00f3n de asignaci\u00f3n por direcci\u00f3n con determinadas criptomonedas, mientras que con otras recurre a un \u00fanico wallet est\u00e1tico para la recolecci\u00f3n. Como la direcci\u00f3n Solana es com\u00fan a todas las v\u00edctimas, en su saldo se observa un aumento considerable. Adem\u00e1s, se descubri\u00f3 que una de las direcciones identificadas de Ethereum conten\u00eda fondos por valor de unos 1,902 USD.<\/span>\u00a0<\/span><\/p>\n

                            En resumen, las criptomonedas<\/strong> para las que se generan direcciones de wallet \u00fanicas por cada v\u00edctima son Bitcoin, Ethereum, Bitcoin Cash, Ripple y Dash.<\/strong><\/span>\"Fig.<\/p>\n

                            Figura 13. La carga \u00fatil se dise\u00f1\u00f3 como c\u00f3digo malicioso.<\/em><\/p>\n

                            \"Fig.
                            Figura 14. Fragmento de c\u00f3digo para obtener la direcci\u00f3n alternativa extra\u00eddo del c\u00f3digo malicioso.<\/em><\/figcaption><\/figure>\n
                            \"Fig.
                            Figura <\/em>15. Tambi\u00e9n se implement\u00f3 la l\u00f3gica del atacante para descodificar los datos recibidos del servidor C2.<\/figcaption><\/figure>\n

                            Ejecuci\u00f3n<\/span> del script con algunas direcciones de wallets <\/span>Bitcoin de prueba<\/span><\/span> \"Fig.<\/p>\n

                            Figura 16. Por cada direcci\u00f3n Bitcoin se devolvi\u00f3 una direcci\u00f3n Bitcoin \u00fanica, y todas las direcciones son direcciones de wallets <\/span>BTC v\u00e1lidos.<\/em><\/p>\n

                            \"Fig.
                            Figura 17. Del mismo modo, Ethereum utilizaba direcciones \u00fanicas.<\/em><\/figcaption><\/figure>\n
                            \"Figura
                            Figura 18. Ejecuci\u00f3n del script con direcciones Solana de prueba<\/figcaption><\/figure>\n

                            Afortunadamente, con Solana solo obtenemos una direcci\u00f3n <\/span>cuando <\/span>suministramos varias<\/span>. <\/span>Esto<\/span> demuestra <\/span>que el ciberdelincuente solo ha implementado esta funci\u00f3n de asignaci\u00f3n de direcciones<\/span> con determinadas criptomonedas.<\/span><\/span><\/p>\n

                            \"Fig.
                            Figura 19. Aqu\u00ed es posible ver el incremento de saldo.<\/em><\/figcaption><\/figure>\n
                            \"Fig.
                            Figura 20. La direcci\u00f3n ETH registraba un saldo de 1,902 USD.<\/em><\/figcaption><\/figure>\n

                            An\u00e1lisis\u00a0<\/span>t\u00e9cnico de un archivo \u00a0<\/span>.net<\/span>\u00a0 (instalador de extensi\u00f3n)<\/span><\/span>\u00a0<\/span><\/h3>\n
                            \"Fig.
                            Figura 21. BaseZipInstaller es un instalador .NET no firmado.<\/em><\/figcaption><\/figure>\n
                            \"Fig.
                            Figura 22. Configuraci\u00f3n almacenada tal como aparece en Dnspy.<\/em><\/figcaption><\/figure>\n
                              \n
                            • El malware incluye un archivo JSON de configuraci\u00f3n completo directamente en el archivo binario, lo que elimina la necesidad de obtener los datos de configuraci\u00f3n iniciales de fuentes externas.\u00a0<\/span>\u00a0<\/span><\/li>\n
                            • Esta configuraci\u00f3n integrada incluye datos indispensables, como las claves API, la URL del servidor backend, las extensiones del wallet seleccionado y el archivo manifest completo de la extensi\u00f3n con todos los permisos. <\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                              \"Fig.
                              Figura 23. Funci\u00f3n principal desde la que se inicia la ejecuci\u00f3n.<\/em><\/figcaption><\/figure>\n
                                \n
                              • El instalador obtiene y <\/span>valida<\/span> un archivo ZIP remoto<\/span> (google-services<\/span>[<\/span>.<\/span>]<\/span>cc\/base<\/span>[<\/span>.<\/span>]<\/span>zip)<\/span> que sirve como carga \u00fatil principal para desplegar la extensi\u00f3n de navegador maliciosa y marca la transici\u00f3n de <\/span> la infecci\u00f3n inicial<\/span> a la vulneraci\u00f3n del navegador.<\/span><\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                \"Fig.
                                Figura 24. La extensi\u00f3n se crea en la siguiente ubicaci\u00f3n del sistema con los archivos descargados en base.zip.<\/em><\/figcaption><\/figure>\n
                                \"Fig.
                                Figura 25. Dnspy mostrando la lista de navegadores afectados.<\/em><\/figcaption><\/figure>\n
                                  \n
                                • El instalador eval\u00faa varios navegadores basados en Chromium, como Chrome, Edge, Opera y Brave, para identificar los perfiles de usuario disponibles en el sistema.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                • Por cada perfil detectado, el malware fuerza el cierre del proceso del navegador para modificar de forma segura los archivos de configuraci\u00f3n sin interferencias.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                • A continuaci\u00f3n, inyecta la extensi\u00f3n maliciosa modificando directamente los archivos Secure Preferences y Preferences, lo que permite cargar la extensi\u00f3n sin interaccionar con el usuario.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                  \"m\u00e1s<\/div>\n
                                    \n
                                  • El malware identifica las rutas de instalaci\u00f3n del navegador consultando los directorios est\u00e1ndar del sistema, lo que le permite localizar las carpetas de datos del usuario de Chrome, Edge, Opera y Brave.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                  • Enumera sistem\u00e1ticamente los perfiles del navegador y busca espec\u00edficamente si hay un archivo Secure Preferences, que guarda datos cr\u00edticos de la configuraci\u00f3n del navegador y sus extensiones.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                  • Al centrarse en los perfiles que tienen Secure Preferences, el malware se asegura de modificar \u00fanicamente entornos de navegador v\u00e1lidos, lo que aumenta la confiabilidad de la inyecci\u00f3n de la extensi\u00f3n.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                    \"Podemos
                                    Podemos ver el evento WriteFile en los archivos Secure Preferences de Chrome y MS Edge cuando se registran en estos archivos de configuraci\u00f3n los detalles de la extensi\u00f3n descargada.<\/em><\/figcaption><\/figure>\n
                                    \"Fig.
                                    Figura 27. L\u00f3gica del atacante para volver a firmar los archivos Secure Preferences.<\/em><\/figcaption><\/figure>\n
                                      \n
                                    • El malware lee y modifica el archivo Secure Preferences del navegador, que controla las extensiones instaladas y su nivel de confianza.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • Inyecta la extensi\u00f3n maliciosa en la configuraci\u00f3n e intenta volver a firmar los datos modificados para que los cambios parezcan leg\u00edtimos ante las comprobaciones de integridad del navegador.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • A continuaci\u00f3n, la configuraci\u00f3n actualizada se guarda de nuevo en el disco, lo que asegura la carga autom\u00e1tica de la extensi\u00f3n y su persistencia incluso tras reiniciar el navegador.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                      \"Fig.
                                      Figura 27B. Se a\u00f1ade la ruta de la extensi\u00f3n al archivo Secure Preferences de Chrome.<\/em><\/figcaption><\/figure>\n
                                      \"Fig.
                                      Figura 28. L\u00f3gica para manipular las defensas del navegador Brave.<\/em><\/figcaption><\/figure>\n
                                        \n
                                      • En navegadores como Brave y Opera, el malware inyecta la extensi\u00f3n maliciosa directamente en la configuraci\u00f3n del navegador a\u00f1adiendo entradas en la secci\u00f3n extensions.settings (o extensions.opsettings).\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • Tambi\u00e9n actualiza los campos relacionados con la integridad (protection.macs) para que el navegador considere que la extensi\u00f3n inyectada es de confianza.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • Adem\u00e1s, el malware intenta activar el modo de desarrollador mediante c\u00f3digo, lo que permite ejecutar extensiones descomprimidas con menos restricciones.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                        \"Fig.
                                        Figura 29. L\u00f3gica del atacante para obtener el ID de dispositivo que se utiliza para calcular posteriormente los valores de integridad.<\/em><\/figcaption><\/figure>\n
                                          \n
                                        • El malware intenta volver a calcular las firmas de integridad del navegador generando nuevos valores MAC (c\u00f3digo de autenticaci\u00f3n de mensajes) para el archivo Secure Preferences modificado.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                        • Utiliza identificadores espec\u00edficos del sistema, como el SID del equipo, combinados con un valor generador para imitar el mecanismo de verificaci\u00f3n interno de Chrome.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                        • Al volver a calcular estas comprobaciones de integridad (macs y super_mac), el malware intenta que sus modificaciones no autorizadas le parezcan leg\u00edtimas al navegador.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                          \"Figura
                                          Figura 30. L\u00f3gica de autoeliminaci\u00f3n.<\/em><\/figcaption><\/figure>\n
                                            \n
                                          • El malware incluye un mecanismo de autoeliminaci\u00f3n dise\u00f1ado para borrar el archivo ejecutable del instalador una vez ejecutado correctamente.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                          • Inicia un proceso oculto en la l\u00ednea de comandos que retrasa un poco la ejecuci\u00f3n antes de borrar el archivo original del disco.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                            Conclusi\u00f3n<\/span>\u00a0<\/span><\/h2>\n

                                            Esta campa\u00f1a es un claro ejemplo de la direcci\u00f3n que ha tomado el robo de criptomonedas dise\u00f1ado para particulares. El operador usa la categor\u00eda m\u00e1s antigua y simple de criptomalware (el clipper) y mejora discretamente tres de sus eslabones m\u00e1s d\u00e9biles. Las direcciones est\u00e1ticas del atacante se han sustituido por una asignaci\u00f3n espec\u00edfica para cada v\u00edctima en el lado del servidor. Los dominios de mando y control, que eran fr\u00e1giles y estaban definidos en el c\u00f3digo, se han sustituido por una b\u00fasqueda en cadena de bloques que el operador puede modificar con una sola transacci\u00f3n. Adem\u00e1s, se ha reemplazado un dropper inestable por una extensi\u00f3n de Chromium integrada en la aplicaci\u00f3n en la que m\u00e1s conf\u00eda el usuario y que se carga con la firma de integridad propia del navegador.<\/span>\u00a0<\/span><\/p>\n

                                            McAfee seguir\u00e1 vigilando esta campa\u00f1a y la infraestructura correspondiente<\/strong>. Nuestros clientes est\u00e1n protegidos por los sistemas de detecci\u00f3n actuales y recibir\u00e1n actualizaciones basadas en datos de telemetr\u00eda a medida que se identifiquen nuevas variantes e infraestructuras modificadas.<\/span>\u00a0<\/span><\/p>\n

                                            Indicadores de compromiso<\/span><\/span> (IOC)<\/span><\/h2>\n\n\n\n\n\n\n\n\n\n\n
                                            Tipo<\/span><\/b>\u00a0<\/span><\/td>\nCategor\u00eda<\/span><\/b>\u00a0<\/span><\/td>\nValor<\/span><\/b>\u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nInstalador .NET (BaseZipInstaller)<\/span>\u00a0<\/span><\/td>\n2735e12030c195fb5454e4736c51b55b59664b93cae9f4bd5317afcd9c2af0bf<\/span> 053620962047f50a91c6e8d1a6519eccc41fab51473f033086b4d816abe8bcb0<\/span> \u00a0 \u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nVariante del instalador compilada en Golang<\/span>\u00a0<\/span><\/td>\n11be4c47ff049322de41743f62544cafd32d67e24ad653b7ebedf8ebd63e0962\u2003\u2003<\/span>\u00a0<\/span> 1432393691b415d0cd4680d9cee73e60896fbe63300d9f0355c96e91817e4b1d\u2003\u2003<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            URL<\/span>\u00a0<\/span><\/td>\nDistribuci\u00f3n de la carga \u00fatil<\/span>\u00a0<\/span><\/td>\nhxxps:\/\/google-ser vices[.]cc\/base[.]zip<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Dominio<\/span>\u00a0<\/span><\/td>\nMando y control (obtenido mediante contrato inteligente)<\/span>\u00a0<\/span><\/td>\ndevops-offensive[.]cc<\/span>\u00a0<\/span> Zebregts[.]com<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Wallet BTC<\/span>\u00a0<\/span><\/td>\nWallet de criptomoneda<\/td>\n3JvDBvKbS6YYMKjV3R9e9Zfd67f467fNLy<\/span>\u00a0<\/span> 1BbhVBxpniuZuAL1gGZnEMdQhmz9JGWpyT<\/span>\u00a0<\/span> 3AcPNVh7NyESwX3ECymy3rkdH4Ke2c26Tj<\/span>\u00a0<\/span> 1BVTrB47erypG3tevi1U9Fv6BbNUBEiuiX<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Artefacto<\/span>\u00a0<\/span><\/td>\nDestino de sideloading<\/span>\u00a0<\/span><\/td>\nArchivo Secure Preferences de Chromium (perfiles de Chrome, Edge, Brave y Opera)<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Archivos de extensi\u00f3n<\/span>\u00a0<\/span><\/td>\nmanifest.json<\/span> \u00a0<\/span> crypto-patterns.js<\/span>\u00a0<\/span> \u00a0<\/span> Interceptor.js<\/span>\u00a0<\/span> \u00a0<\/span> content-script.j<\/span> \u00a0<\/span> \u00a0<\/span> cache.js<\/span> \u00a0<\/span> \u00a0<\/span> domain-resolver.js<\/span>\u00a0<\/span> \u00a0<\/span> service-worker.js<\/span>\u00a0<\/span> \u00a0<\/span> api-client.js<\/span>\u00a0<\/span><\/td>\ned2599d6a8f30d5eaf14ad7f855aece0acdf7efa4a148eb18e4d9f0d8e2cd90c<\/span> \u00a0<\/span> daf82c67e8e5df6bbd5370172ac9374aa7dce48af05496e8ec3dba7b602c619b<\/span> \u00a0<\/span> 6eb2f07265dd95cacd39dfcf0705786b97f3e173cf4e9b3dfe7bad141c9a9dd5<\/span>\u00a0<\/span> \u00a0<\/span> a2ffdbedc5c9f5400a2b1cf5d35f5ec1df06a74d0345f1035bcf75d36ed73e01<\/span> \u00a0<\/span> \u00a0<\/span> eb84ba4a0cd95655a021865d4fec93ae3393f86cc9848810ed0b49035b1c5e2c<\/span> \u00a0<\/span> 6aaba685669d779ef8be8f7f4231096cfafd0ef386f3897c5e2106c177724fc8<\/span> \u00a0<\/span> \u00a0<\/span> 2599064901308a97540af29197ed0b38702bbee38d6dbbfa61cf9eb5878353f3<\/span> \u00a0<\/span> ab450927b37e1b68e2be68832c354ac600e86e2545a904d4ca0ea283f2600cc2<\/span> \u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n","protected":false},"excerpt":{"rendered":"

                                            Autor: Neil Tyagi Resumen\u00a0 McAfee Advanced Threat Research identific\u00f3 una campa\u00f1a activa que utiliza extensiones de navegador para robar criptomonedas…<\/p>\n","protected":false},"author":695,"featured_media":209111,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[14152],"tags":[],"coauthors":[4136],"class_list":["post-233141","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internet-security"],"acf":[],"yoast_head":"\nSilent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo "criptoclipper" | Blog de McAfee<\/title>\n<meta name=\"description\" content=\"McAfee descubre una campa\u00f1a que instala extensiones de navegador para robar criptomonedas.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<meta property=\"og:locale\" content=\"es_MX\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo "criptoclipper" | Blog de McAfee\" \/>\n<meta property=\"og:description\" content=\"McAfee descubre una campa\u00f1a que instala extensiones de navegador para robar criptomonedas.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/\" \/>\n<meta property=\"og:site_name\" content=\"Blog de McAfee\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-07-31T12:55:05+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-07-31T15:08:30+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"600\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"McAfee Labs\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@McAfee_Labs\" \/>\n<meta name=\"twitter:site\" content=\"@McAfee\" \/>\n<meta name=\"twitter:label1\" content=\"Escrito por\" \/>\n\t<meta name=\"twitter:data1\" content=\"McAfee Labs\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tiempo de lectura\" \/>\n\t<meta name=\"twitter:data2\" content=\"24 minutes\" \/>\n\t<meta name=\"twitter:label3\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data3\" content=\"McAfee Labs\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/\"},\"author\":{\"name\":\"McAfee Labs\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\"},\"headline\":\"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo “criptoclipper”\",\"datePublished\":\"2026-07-31T12:55:05+00:00\",\"dateModified\":\"2026-07-31T15:08:30+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/\"},\"wordCount\":4854,\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"articleSection\":[\"Seguridad en Internet\"],\"inLanguage\":\"es-MX\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/\",\"name\":\"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo \\\"criptoclipper\\\" | Blog de McAfee\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"datePublished\":\"2026-07-31T12:55:05+00:00\",\"dateModified\":\"2026-07-31T15:08:30+00:00\",\"description\":\"McAfee descubre una campa\u00f1a que instala extensiones de navegador para robar criptomonedas.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#breadcrumb\"},\"inLanguage\":\"es-MX\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"es-MX\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"width\":600,\"height\":400},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Blog\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Otros blogs\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/other-blogs\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"McAfee Labs\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/other-blogs\/mcafee-lab\/\"},{\"@type\":\"ListItem\",\"position\":4,\"name\":\"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo “criptoclipper”\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#website\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/\",\"name\":\"McAfee Blog\",\"description\":\"Noticias sobre seguridad en Internet\",\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"es-MX\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#organization\",\"name\":\"McAfee\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"es-MX\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"width\":1286,\"height\":336,\"caption\":\"McAfee\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee\",\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.youtube.com\/McAfee\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\",\"name\":\"McAfee Labs\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"es-MX\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"caption\":\"McAfee Labs\"},\"description\":\"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.\",\"sameAs\":[\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee_Labs\"],\"url\":\"https:\/\/www.mcafee.com\/blogs\/es-mx\/author\/mcafee-labs\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo \"criptoclipper\" | Blog de McAfee","description":"McAfee descubre una campa\u00f1a que instala extensiones de navegador para robar criptomonedas.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"og_locale":"es_MX","og_type":"article","og_title":"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo \"criptoclipper\" | Blog de McAfee","og_description":"McAfee descubre una campa\u00f1a que instala extensiones de navegador para robar criptomonedas.","og_url":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/","og_site_name":"Blog de McAfee","article_publisher":"https:\/\/www.facebook.com\/McAfee\/","article_author":"https:\/\/www.facebook.com\/McAfee\/","article_published_time":"2026-07-31T12:55:05+00:00","article_modified_time":"2026-07-31T15:08:30+00:00","og_image":[{"width":600,"height":400,"url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","type":"image\/jpeg"}],"author":"McAfee Labs","twitter_card":"summary_large_image","twitter_creator":"@McAfee_Labs","twitter_site":"@McAfee","twitter_misc":{"Escrito por":"McAfee Labs","Tiempo de lectura":"24 minutes","Written by":"McAfee Labs"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#article","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/"},"author":{"name":"McAfee Labs","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad"},"headline":"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo “criptoclipper”","datePublished":"2026-07-31T12:55:05+00:00","dateModified":"2026-07-31T15:08:30+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/"},"wordCount":4854,"publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#organization"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","articleSection":["Seguridad en Internet"],"inLanguage":"es-MX"},{"@type":"WebPage","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/","url":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/","name":"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo \"criptoclipper\" | Blog de McAfee","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","datePublished":"2026-07-31T12:55:05+00:00","dateModified":"2026-07-31T15:08:30+00:00","description":"McAfee descubre una campa\u00f1a que instala extensiones de navegador para robar criptomonedas.","breadcrumb":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#breadcrumb"},"inLanguage":"es-MX","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/"]}]},{"@type":"ImageObject","inLanguage":"es-MX","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#primaryimage","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","width":600,"height":400},{"@type":"BreadcrumbList","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/internet-security\/malware-clipper-de-extension-de-navegador-cambia-wallets-de-criptomoneda\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Blog","item":"https:\/\/www.mcafee.com\/blogs\/es-mx\/"},{"@type":"ListItem","position":2,"name":"Otros blogs","item":"https:\/\/www.mcafee.com\/blogs\/es-mx\/other-blogs\/"},{"@type":"ListItem","position":3,"name":"McAfee Labs","item":"https:\/\/www.mcafee.com\/blogs\/es-mx\/other-blogs\/mcafee-lab\/"},{"@type":"ListItem","position":4,"name":"Silent Swap: una campa\u00f1a basada en la instalaci\u00f3n de extensiones de tipo “criptoclipper”"}]},{"@type":"WebSite","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#website","url":"https:\/\/www.mcafee.com\/blogs\/es-mx\/","name":"McAfee Blog","description":"Noticias sobre seguridad en Internet","publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mcafee.com\/blogs\/es-mx\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"es-MX"},{"@type":"Organization","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#organization","name":"McAfee","url":"https:\/\/www.mcafee.com\/blogs\/es-mx\/","logo":{"@type":"ImageObject","inLanguage":"es-MX","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/logo\/image\/","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","width":1286,"height":336,"caption":"McAfee"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee","https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.youtube.com\/McAfee"]},{"@type":"Person","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad","name":"McAfee Labs","image":{"@type":"ImageObject","inLanguage":"es-MX","@id":"https:\/\/www.mcafee.com\/blogs\/es-mx\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","caption":"McAfee Labs"},"description":"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.","sameAs":["https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee_Labs"],"url":"https:\/\/www.mcafee.com\/blogs\/es-mx\/author\/mcafee-labs\/"}]}},"_links":{"self":[{"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/posts\/233141","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/users\/695"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/comments?post=233141"}],"version-history":[{"count":8,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/posts\/233141\/revisions"}],"predecessor-version":[{"id":233168,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/posts\/233141\/revisions\/233168"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/media\/209111"}],"wp:attachment":[{"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/media?parent=233141"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/categories?post=233141"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/tags?post=233141"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/es-mx\/wp-json\/wp\/v2\/coauthors?post=233141"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}