Obsidian: tu herramienta de productividad también puede ser un caballo de Troya
Un ataque real usó el plugin Shell Commands de Obsidian y una bóveda compartida en la nube para instalar el troyano PHANTOMPULSE RAT en equipos de víctimas. La puerta de entrada no fue un error técnico, sino la confianza que depositamos en las aplicaciones que consideramos “inocentes”.
Por qué importa
Obsidian se ha convertido en el refugio de quienes buscan orden mental y digital. Su ecosistema de plugins comunitarios promete personalización sin límites. Pero esa misma apertura es ahora un vector de ataque: los plugins pueden acceder a archivos, red y ejecutar programas. El ataque explotó exactamente eso: un plugin legítimo (Shell Commands) para ejecutar comandos maliciosos, y otro (Hider) para ocultar la evidencia.
Para el usuario de a pie, esto significa que la línea entre “app de notas” y “software con permisos de sistema” es más difusa de lo que creemos. Si sincronizas bóvedas en la nube o instalas plugins sin revisar, estás cediendo control a terceros.
Qué dice el contexto
- El ataque usó Obsidian Sync para distribuir archivos de configuración maliciosos. Las bóvedas compartidas pueden incluir plugins sin que el usuario lo note si la opción “Active community plugin list” está activada.
- El malware PHANTOMPULSE es un backdoor generado con IA que usa la blockchain de Ethereum para encontrar su servidor de comando y control, dificultando su bloqueo.
- La cadena de infección comenzó con un archivo PowerShell que descargaba un loader (
syncobs.exe) desde una IP externa, el cual cargaba el payload cifrado en memoria.
- Los investigadores de Elastic reprodujeron el ataque y confirmaron que cualquier usuario que abra una bóveda maliciosa con los plugins adecuados puede ser infectado sin interacción adicional.
- Obsidian advierte en su documentación oficial que los plugins comunitarios pueden acceder a archivos, red y ejecutar programas. El riesgo no es nuevo, pero ahora tiene un ejemplo concreto.
Lo que puedes hacer
- Revisa los plugins que tienes instalados. Desactiva aquellos que no uses o que tengan permisos excesivos (como ejecución de comandos o acceso a red). En Obsidian, ve a Configuración > Plugins de la comunidad y audita cada uno.
- No sincronices bóvedas compartidas automáticamente. Si usas Obsidian Sync, desactiva la sincronización de plugins y de la lista de plugins comunitarios. Activa solo lo que necesites y verifica manualmente los archivos sincronizados.
- Mantén el software actualizado. Tanto Obsidian como sus plugins reciben parches de seguridad. Activa las actualizaciones automáticas o revisa periódicamente.
En una frase
“
La productividad no debería exigirte que entregues las llaves de tu sistema a cambio de un poco de orden mental.
