OtterCookie v4: La Amenaza Avanzada que Roba Credenciales de Chrome y MetaMask con Detección de Máquinas Virtuales

Los avances en el ámbito del malware continúan evidenciando el elevado nivel de sofisticación que alcanzan los grupos de ciberamenazas, especialmente aquellos vinculados a estados-nación. Recientemente, los investigadores de seguridad de NTT Security Holdings revelaron actualizaciones críticas en el malware conocido como OtterCookie, específicamente su versión v4, que incorpora funciones avanzadas para detectar máquinas virtuales, así como nuevas capacidades para robar credenciales almacenadas en navegadores y extensiones relacionadas con criptomonedas como MetaMask. OtterCookie pertenece a una familia de malware multiplataforma vinculada con un grupo de actores norcoreanos conocido bajo múltiples denominaciones, incluyendo WaterPlum, CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima y Tenacious Pungsan. Estas organizaciones tienen un historial notorio de ataques cibernéticos con motivaciones financieras y de espionaje, aprovechando tanto vulnerabilidades técnicas como tácticas de ingeniería social altamente elaboradas. Desde su primera detección en septiembre de 2024, OtterCookie ha demostrado un desarrollo constante y agresivo.

La evolución que llevó a las versiones v3 y v4 a inicios de 2025 profundiza en la capacidad del malware para no solo sustraer información, sino también operar de forma sigilosa dentro de sistemas infectados, especialmente aquellos que emplean entornos virtualizados, comúnmente usados en análisis de seguridad. La versión v3 amplió la funcionalidad inicial mediante la adición de un módulo que permite la subida automática de archivos con extensiones específicas hacia servidores controlados por los atacantes. Entre estos archivos se encuentran datos altamente sensibles, como variables de entorno, documentos, hojas de cálculo e imágenes, además de información crítica vinculada a criptomonedas, incluyendo frases mnemónicas y de recuperación de monederos digitales. El salto tecnológico más reciente, OtterCookie v4, no solo mejora esta capacidad sino que añade módulos especializados para descifrar y recolectar credenciales almacenadas en Google Chrome y datos asociados con la extensión MetaMask en navegadores como Google Chrome y Brave, así como información del iCloud Keychain. Es importante destacar que el primer módulo dedicado a Chrome obtiene las contraseñas después de su descifrado, mientras que el segundo módulo recolecta datos cifrados relacionados, lo que sugiere desarrollos paralelos por diferentes equipos dentro del proyecto malicioso.

Otra innovación importante en esta iteración es la capacidad de detectar si el malware se está ejecutando dentro de un entorno de máquina virtual. Esto es crucial porque muchas herramientas de análisis y seguridad emplean entornos virtuales para evaluar el comportamiento de código sospechoso sin poner en riesgo sistemas reales. OtterCookie v4 puede identificar plataformas populares de virtualización como Broadcom VMware, Oracle VirtualBox, Microsoft Hyper-V y QEMU, permitiendo que el malware modifique su comportamiento para evitar la detección y análisis. El método de infección empleado por OtterCookie es multifacético y aprovecha vectores modernos de distribución de malware. Se ha observado la entrega del código malicioso mediante kits JavaScript alojados en paquetes malintencionados en npm (el repositorio de paquetes de Node.

js), repositorios clonados o troceados en GitHub y Bitbucket, e incluso a través de aplicaciones falsas de videoconferencia diseñadas para parecer legítimas y engañar a los usuarios. Dada la capacidad del malware para comunicarse con servidores externos y ejecutar comandos de forma remota, se vuelve una herramienta valiosa para los operadores detrás de WaterPlum para mantener persistencia, hacer reconocimiento del sistema infectado y exfiltrar información sensible que puede ser usada para múltiples propósitos criminales, desde el robo de activos digitales hasta actividades de espionaje. El contexto más amplio de estas operaciones incluye campañas conocidas como Contagious Interview, que emplean diversos tipos de malware para engañar a víctimas potenciales mediante procesos falsos de entrevista laboral. En este marco, se han detectado aplicaciones maliciosas camufladas de actualizaciones de drivers o herramientas relacionadas con la cámara web, que en realidad esconden funcionalidades para extraer contraseñas y otros datos del sistema operativo. Un aspecto destacado de estas campañas es la forma en que los atacantes aprovechan servicios legítimos y perfiles falsos para infiltrarse en organizaciones.

Con el uso intensivo de inteligencia artificial para crear perfiles, imágenes y currículums falsos, junto con técnicas como VPNs y dispositivos de acceso remoto, los actores maliciosos logran evadir mecanismos de autenticación y auditoría comunes. Las implicaciones para la seguridad empresarial y personal son profundas. La capacidad de OtterCookie v4 para robar credenciales de navegadores y extensiones de criptomonedas junto con su detección específica de entornos virtuales significa que muchas empresas que confían en herramientas de sandboxing podrían estar en riesgo si no cuentan con estrategias de defensa adecuadas y monitoreo avanzado. Expertos en ciberseguridad recomiendan fortalecer los controles de identidades y accesos, implementar autenticación multifactorial robusta, así como realizar vigilancia continua y análisis comportamental para detectar patrones anómalos que podrían indicar compromiso. La educación y sensibilización del personal sobre los riesgos de descargar software de fuentes no verificadas y la sospecha ante ofertas de empleo poco convencionales también son esenciales.

La lucha contra amenazas tan sofisticadas como OtterCookie y los grupos que lo respaldan requiere una colaboración estrecha entre equipos de respuesta a incidentes, desarrolladores de software, proveedores de servicios en la nube y organismos internacionales. El intercambio de inteligencia sobre tácticas, técnicas y procedimientos de estos actores permite a la comunidad de seguridad anticipar movimientos y prevenir ataques de forma proactiva. En conclusión, OtterCookie v4 simboliza cómo la cibercriminalidad y las operaciones patrocinadas por estados se entrelazan en un escenario complejo y dinámico. Los avances técnicos incorporados en esta versión del malware subrayan la importancia de mantenerse alerta y actualizado frente a las amenazas emergentes, reforzando las defensas tanto a nivel técnico como humano para proteger la integridad y confidencialidad de datos críticos en la era digital.