{"id":29333,"date":"2026-07-03T08:39:52","date_gmt":"2026-07-03T14:39:52","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=29333"},"modified":"2026-07-02T17:40:43","modified_gmt":"2026-07-02T23:40:43","slug":"hola-browser-supply-chain-attack-cryptominer","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/hola-browser-supply-chain-attack-cryptominer\/29333\/","title":{"rendered":"Hola Browser: c\u00f3mo los hackers le a\u00f1adieron un criptominero secreto"},"content":{"rendered":"

Hola\u00a0Browser es un navegador web desarrollado en Israel. A principios de junio, un grupo de investigadores en ciberseguridad detect\u00f3 que una versi\u00f3n modificada de esta aplicaci\u00f3n (la versi\u00f3n 1.251.91.0 para Windows) descargaba<\/a> en secreto un criptominero de Monero en los dispositivos de los usuarios. Poco despu\u00e9s de este hallazgo, la empresa Hola confirm\u00f3 que hab\u00eda sido v\u00edctima de un ataque a su cadena de suministro. En este art\u00edculo, explicamos c\u00f3mo ocurri\u00f3 el ataque, c\u00f3mo funciona el criptominero y qu\u00e9 consecuencias tiene el incidente para los usuarios afectados.<\/p>\n

\u00bfQu\u00e9 es Hola Browser y c\u00f3mo se descubri\u00f3 el malware?<\/h2>\n

La empresa israel\u00ed Hola es conocida principalmente por su servicio de VPN, que se usa, sobre todo, para evadir restricciones geogr\u00e1ficas y acceder a contenidos bloqueados por regi\u00f3n. Adem\u00e1s de la VPN, la empresa desarrolla Hola\u00a0Browser, un navegador basado en Chromium que viene con funciones de VPN y proxy integradas.<\/p>\n

Los investigadores notaron que algo andaba mal durante una revisi\u00f3n de cumplimiento est\u00e1ndar que realizaban para AppEsteem<\/a>, un programa de certificaci\u00f3n para aplicaciones para Windows. Como parte del proceso de certificaci\u00f3n, las aplicaciones se someten a un control por parte de empresas de ciberseguridad independientes. Estas empresas auditan el software para verificar que no tenga caracter\u00edsticas indeseadas o maliciosas, sino \u00fanicamente los componentes que diga tener. Una vez certificadas, las aplicaciones se reeval\u00faan peri\u00f3dicamente para garantizar que sigan cumpliendo con las estrictas pautas de AppEsteem.<\/p>\n

Durante una de estas reevaluaciones, los especialistas hallaron un archivo no autorizado en la versi\u00f3n 1.251.91.0<\/em><\/strong> de Hola\u00a0Browser para Windows. Este archivo quedaba almacenado en el disco duro, en C:\\Archivos de programa\\Hola\\me{.}exe<\/em><\/strong>, cuando conclu\u00eda la instalaci\u00f3n del navegador. El archivo llam\u00f3 la atenci\u00f3n de los especialistas de inmediato. Era sospechoso por donde se lo mirara: no estaba en la lista de archivos aprobados de la aplicaci\u00f3n, no ten\u00eda firma digital y no ten\u00eda siquiera marca de fecha y hora. Sumado a ello, el c\u00f3digo del archivo estaba altamente ofuscado y ten\u00eda la capacidad de inyectarse directamente en la memoria del sistema.<\/p>\n

Los investigadores se percataron de que, curiosamente, el archivo no era com\u00fan a todas las instalaciones. Como la infecci\u00f3n, por ende, no afectaba a la totalidad de los usuarios, los especialistas sospecharon desde un principio que alguien hab\u00eda vulnerado una etapa puntual del canal de distribuci\u00f3n de Hola\u00a0Browser. La empresa Hola luego confirm\u00f3 esta teor\u00eda y reconoci\u00f3 que hab\u00eda sido v\u00edctima de un ataque a su cadena de suministro.<\/p>\n

En cuanto al archivo sospechoso en s\u00ed, me{.}exe<\/em><\/strong>, un an\u00e1lisis m\u00e1s detallado revel\u00f3 que era un criptominero sigiloso, configurado para minar Monero. Veamos en detalle c\u00f3mo funciona.<\/p>\n

\u00bfC\u00f3mo hicieron los atacantes para minar Monero a trav\u00e9s de Hola\u00a0Browser?<\/h2>\n

Los criptomineros son programas que aprovechan el poder de procesamiento de una computadora para minar criptomonedas. Aunque algunas personas los instalan adrede con la esperanza de generar un ingreso extra, los mineros que se ejecutan en un equipo sin que lo sepa el propietario se clasifican normalmente como no deseados.<\/p>\n

Cuando hay un minero oculto en ejecuci\u00f3n, el dispositivo puede funcionar mucho m\u00e1s lento, la factura de electricidad puede aumentar y la vida \u00fatil del hardware puede acortarse. Aun as\u00ed, vale la pena se\u00f1alar que una infecci\u00f3n de criptominero no busca robar las criptomonedas del usuario: el da\u00f1o, en realidad, se limita a permitir que los hackers usen el hardware de la v\u00edctima para llenarse los bolsillos.<\/p>\n

Como dijimos m\u00e1s arriba, el archivo malicioso que se descargaba junto con Hola\u00a0Browser infiltraba un criptominero de Monero<\/a> en los dispositivos de las v\u00edctimas. Monero se lanz\u00f3 en 2014, desarrollada sobre la base del protocolo CryptoNote. En la actualidad, cotiza a alrededor de USD\u00a0330 por moneda<\/a>.<\/p>\n

Si se la compara con los \u201cpesos pesados\u201d como Bitcoin o Ethereum, Monero es un poco ex\u00f3tica y menos conocida por el p\u00fablico en general. Por ser una moneda de nicho, ha mostrado un crecimiento de precios bastante modesto y tiene una capitalizaci\u00f3n de mercado mucho m\u00e1s peque\u00f1a que la de Bitcoin (aproximadamente un 200\u00a0% m\u00e1s baja). Pero Monero tiene algo que la distingue de las dem\u00e1s: la privacidad. Mientras que Bitcoin y Ethereum utilizan cadenas de bloques p\u00fablicas y transparentes, que permiten que cualquiera siga los pasos de una transacci\u00f3n, Monero ha sido llamada \u201cla moneda privada\u201d. En las transacciones con Monero, se utilizan mecanismos criptogr\u00e1ficos avanzados para ocultar el monto y la identidad del remitente y del destinatario. Es por este anonimato extremo que los hackers adoran los mineros ocultos de Monero<\/a>: hacen que seguir el rastro del dinero sea muy dif\u00edcil para las fuerzas del orden y los especialistas en ciberseguridad.<\/p>\n

Adem\u00e1s, el algoritmo subyacente de Monero se pens\u00f3 especialmente para que fuera eficiente minar monedas con procesadores de computadora (CPU) est\u00e1ndar. Con muchas otras criptomonedas populares, para sacar una rentabilidad, se necesita usar hardware ASIC especializado o tarjetas gr\u00e1ficas (GPU) de alta gama.<\/p>\n

Concentr\u00e9monos ahora en c\u00f3mo fue el incidente de Hola\u00a0Browser. Cuando los investigadores analizaron el c\u00f3digo malicioso de me{.}exe<\/em><\/strong>, descubrieron que agregaba autom\u00e1ticamente sus propios archivos a la lista de exclusi\u00f3n de Microsoft\u00a0Defender. Al marcarse a s\u00ed mismo como l\u00edcito, el malware logr\u00f3 eludir el antivirus integrado de Windows y, con ello, el criptominero pudo ejecutarse en segundo plano sin ning\u00fan obst\u00e1culo.<\/p>\n

Una vez en el sistema, el programa creaba una copia de s\u00ed con el nombre HolaMonitorService{.}exe<\/em><\/strong> y configuraba un servicio de Windows llamado hola_monitor_svc<\/em><\/strong>, que se ejecutaba de manera persistente en segundo plano. Esta maniobra permit\u00eda que el malware se atrincherara en el sistema y se ejecutara autom\u00e1ticamente cada vez que se reiniciaba el equipo. Para evitar mermas repentinas y pronunciadas en el rendimiento del dispositivo, las cuales podr\u00edan haber delatado que algo andaba mal, el minero se manten\u00eda en pausa hasta que la computadora dejaba de mostrar se\u00f1ales de actividad.<\/p>\n

C\u00f3mo proteger tu dispositivo del malware y los criptomineros<\/h2>\n

Se debe destacar que los desarrolladores de Hola fueron diligentes para atender a los reportes iniciales sobre el archivo sospechoso. Confirmaron que su cadena de suministro hab\u00eda sido atacada, pero dijeron que el incidente afectaba solo al 0.1\u00a0% de sus usuarios. Desde entonces, la compa\u00f1\u00eda ha reforzado la seguridad del canal por el que distribuyen sus actualizaciones para garantizar que los usuarios reciban \u00fanicamente componentes de software aprobados, certificados y con firma digital.<\/p>\n

A la luz de este incidente, recomendamos enf\u00e1ticamente que todos los usuarios de Hola\u00a0Browser actualicen la aplicaci\u00f3n a la \u00faltima versi\u00f3n de inmediato. Esto va en especial para quienes usen el navegador en Windows.<\/p>\n

En t\u00e9rminos m\u00e1s generales, esta situaci\u00f3n es prueba irrefutable de la importancia de mantener actualizadas todas las aplicaciones y de usar una soluci\u00f3n de ciberseguridad robusta<\/a> en todos los dispositivos. Kaspersky Premium<\/a>, por ejemplo, brinda alertas en tiempo real cuando una aplicaci\u00f3n se comporta de forma sospechosa y bloquea las amenazas al instante. Como si esto fuera poco, la suscripci\u00f3n a Kaspersky Premium<\/a> incluye acceso a una VPN segura y confiable<\/a>.<\/p>\n

No olvides que los criptomineros malintencionados no solo existen para la PC: tambi\u00e9n vienen para tel\u00e9fonos inteligentes, y a menudo simulan ser cosas como juegos m\u00f3viles populares o incluso aplicaciones oficiales del gobierno. Encontrar\u00e1s informaci\u00f3n adicional en estas publicaciones anteriores:<\/p>\n