Los hackers atacan bases de datos de proyectos de criptomonedas y blockchain usando IA

Las bases de datos de proyectos de criptomonedas y blockchain con credenciales débiles y generadas por IA están siendo hackeadas a través de patrones de implementación detectados por botnets, según una nueva investigación de Check Point.

Una botnet de malware llamada GoBruteforcer es capaz de comprometer servidores Linux y convertirlos en nodos automatizados de descifrado de contraseñas, dijo la empresa de ciberseguridad. El programa de hacking ha afectado a la infraestructura utilizada por proyectos cripto, incluidos servidores de bases de datos, servicios de transferencia de archivos y paneles de administración web. 

GoBrut puede escanear internet en busca de servicios mal asegurados e intentar iniciar sesión en servicios usando nombres de usuario populares y contraseñas débiles. Una vez que un sistema es comprometido, se añade a una red distribuida que puede ser accedida remotamente por una red de hackers.

La botnet GoBruteforcer puede hackear contraseñas vagamente pensadas

Según el informe de Check Point publicado el miércoles pasado, la botnet puede eludir las protecciones en servicios como FTP, MySQL, PostgreSQL y phpMyAdmin. Estos programas son utilizados por startups de blockchain y desarrolladores de aplicaciones descentralizadas para gestionar datos de usuarios, lógica de aplicaciones y paneles internos.

Los sistemas hackeados por GoBrute pueden aceptar comandos de un servidor de comando y control, dictando qué servicio atacar mientras proporcionan credenciales para intentos de fuerza bruta. Los detalles de inicio de sesión revelados se reutilizan para acceder a otros sistemas, robar datos privados, crear cuentas ocultas y ampliar el alcance de la botnet.

Check Point también mencionó que los hosts infectados también pueden ser reutilizados para alojar cargas maliciosas, distribuir malware a nuevas víctimas o convertirse en servidores de control de respaldo si el sistema principal experimenta tiempos de inactividad.

Muchos equipos de desarrollo ahora, incluidos los de grandes empresas tecnológicas como Microsoft y Amazon, utilizan fragmentos de código y guías de configuración generados por modelos de lenguaje grandes (LLM) o copiados de foros en línea. 

Check Point explicó que, dado que los modelos de IA no pueden crear nuevas contraseñas y suelen imitar lo que han aprendido, hacen que los nombres de usuario y las contraseñas predeterminadas sean muy predecibles, sin cambiarlas lo suficientemente rápido antes de que los sistemas queden expuestos a internet. 

El problema se vuelve aún más grave cuando se utilizan pilas web heredadas como XAMPP, que pueden exponer servicios administrativos de forma predeterminada y proporcionar un punto de entrada fácil para los hackers.

Las campañas de GoBruteforcer comenzaron en 2023, la investigación de Unit 42 encontró

GoBruteforcer fue documentado por primera vez en marzo de 2023 por Unit 42 de Palo Alto Networks, que detalló su capacidad para comprometer sistemas tipo Unix en arquitecturas x86, x64 y ARM. El malware despliega un bot de Internet Relay Chat y una shell web, que los atacantes utilizan para mantener su acceso remoto.

En septiembre de 2025, investigadores de Black Lotus Labs de Lumen Technologies descubrieron que una parte de las máquinas infectadas vinculadas a otra familia de malware, SystemBC, también eran nodos de GoBruteforcer. Los analistas de Check Point compararon las listas de contraseñas utilizadas en los ataques con una base de datos de aproximadamente 10 millones de credenciales filtradas y encontraron una superposición de aproximadamente el 2,44%.

Basándose en esa superposición, estimaron que decenas de miles de servidores de bases de datos podrían aceptar una de las contraseñas utilizadas por la botnet. El informe de Google sobre los Horizontes de Amenazas en la Nube de 2024 reveló que las credenciales débiles o ausentes fueron responsables del 47,2% de los vectores de acceso inicial en entornos de nube comprometidos.

El reconocimiento mediante blockchain e IA expone datos privados, según un estudio

En los casos en los que GoBrute fue rastreado en entornos de criptomonedas, los hackers de red utilizaron nombres de usuario y variantes de contraseñas con temática cripto que coincidían con las convenciones de nomenclatura de proyectos de blockchain. Otras campañas se dirigieron a paneles de phpMyAdmin vinculados a sitios de WordPress, un servicio para sitios web y paneles de proyectos. 

“Algunas tareas están claramente enfocadas por sectores. Por ejemplo, observamos un ataque que utilizó nombres de usuario con temática cripto como cryptouser, appcrypto, crypto_app y crypto. En estas ejecuciones, las contraseñas utilizadas combinaban la lista estándar de contraseñas débiles con conjeturas específicas de cripto, como cryptouser1 o crypto_user1234”, dijo Check Point, mencionando ejemplos de contraseñas.

Check Point identificó un servidor comprometido que se utilizaba para alojar un módulo que escaneaba direcciones de la blockchain TRON y consultaba saldos a través de una API de blockchain pública para identificar billeteras que contenían fondos.

“La combinación de infraestructura expuesta, credenciales débiles y herramientas cada vez más automatizadas. Aunque la botnet en sí es técnicamente sencilla, sus operadores se benefician de la cantidad de servicios mal configurados en línea”, escribió la empresa de seguridad.