Una campaña que comenzó apuntando a jugadores de blockchain ahora se dirige a profesionales de ciberseguridad con proyectos falsos que prometen escaneo automatizado y análisis de logs
Investigadores de Doctor Web descubrieron una operación de distribución de malware que utiliza repositorios de GitHub disfrazados de herramientas legítimas de seguridad informática. La campaña lleva dos años activa y logró infectar más de 2.000 equipos, según el análisis publicado por la firma de ciberseguridad. Lo que comenzó como una operación dirigida a usuarios de juegos blockchain evolucionó hasta apuntar directamente a profesionales del sector de seguridad, utilizando proyectos que simulan ofrecer capacidades de escaneo automatizado, pruebas de penetración y análisis de registros.
De cheats de videojuegos a herramientas de pentesting falsas
La operación arrancó hace dos años con proyectos de Visual Studio relacionados con juegos blockchain, bots automatizados y cheats para videojuegos. Los atacantes ocultaban código malicioso en archivos de configuración del proyecto, incluyendo comandos que se ejecutaban antes de la compilación y scripts de PowerShell embebidos en archivos de configuración. La estrategia incluía instrucciones detalladas sobre cómo instalar Visual Studio y descargar los proyectos desde GitHub, lo que facilitaba el acceso incluso a usuarios con conocimientos técnicos limitados.
El cambio de objetivo hacia profesionales de ciberseguridad representa un giro táctico significativo. Doctor Web identificó un proyecto falso que pretende analizar y limpiar resultados del escáner de seguridad Fscan, una herramienta legítima de reconocimiento de red. Los atacantes también ocultan código malicioso en archivos de Python y Go, utilizando grandes bloques de espacios en blanco para dificultar la detección durante la revisión del código fuente.
Cómo el malware desactiva las defensas del sistema
Una vez que la víctima abre el proyecto comprometido, un script de PowerShell se ejecuta automáticamente y contacta servidores controlados por los atacantes, además de plataformas legítimas como YouTube, Telegram, Google Docs, GitCode y Pastebin. Una cadena encriptada recuperada de estos servicios contiene un enlace a un archivo comprimido que se desempaqueta en una carpeta disfrazada como un componente de la aplicación Fotos de Windows.
El programa principal se llama Microsoft.exe, una aplicación modular construida con el framework Electron. Este componente recopila información del sistema y la envía a un bot de Telegram, mantiene su ejecución persistente, eleva sus privilegios y desactiva Windows Defender, el Control de Cuentas de Usuario (UAC), la Restauración del Sistema y las copias shadow. El malware también elimina productos antivirus de McAfee, ESET y Malwarebytes.
El modo de evasión predeterminado, identificado como Mode3, combina múltiples técnicas: falsifica su proceso padre, desactiva Smart App Control, elimina hooks de software de seguridad de ntdll.dll, realiza llamadas directas al sistema y parchea el rastreo de eventos y el escaneo de scripts antivirus en memoria. Si este modo falla, el malware recurre a Mode2, que agrega exclusiones en Defender e inyecta código a través de PowerShell.
Tres cargas útiles para robo de datos y acceso remoto
El malware despliega tres componentes de ataque. AsyncRAT, un backdoor de acceso remoto, se ejecuta como dos copias idénticas en puertos diferentes, lo que probablemente permite que dos operadores controlen simultáneamente el mismo dispositivo. Un clipper intercepta direcciones de billeteras de criptomonedas en el portapapeles mientras captura pantallas del sistema. Un módulo de robo de información extrae datos de navegadores, configuraciones de FileZilla, MobaXterm y Total Commander, ajustes de VPN, archivos de aplicaciones de mensajería, cuentas de juegos y tokens de Discord.
Los datos robados se comprimen y se envían a través de Telegram. El malware también edita el archivo hosts del sistema para bloquear dominios de proveedores de antivirus, dificultando la actualización de definiciones de amenazas y la comunicación con servicios de protección en la nube.
Doctor Web identificó un componente incompleto llamado Lodge.7z que podría instalarse como servicio del sistema. Este módulo en desarrollo incluye rutinas para descargar Microsoft.exe nuevamente si alguien lo elimina, gestionar el inicio del sistema e instalar actualizaciones, lo que indica que los atacantes continúan expandiendo las capacidades del malware.
Exposición en América Latina por dependencia de GitHub y herramientas open source
La región latinoamericana enfrenta una exposición particular a este tipo de amenazas por la alta adopción de herramientas de código abierto y repositorios públicos en equipos de seguridad con presupuestos limitados. En países como Brasil, México y Argentina, donde el ecosistema de ciberseguridad depende significativamente de herramientas gratuitas y proyectos comunitarios de GitHub, la superficie de ataque se amplifica. La práctica común de descargar proyectos de seguridad sin revisión exhaustiva del código fuente, combinada con la confianza en la reputación aparente de un repositorio público, crea condiciones favorables para que campañas como esta logren tracción en la región.
La estrategia de los atacantes de incluir instrucciones detalladas de instalación apunta específicamente a usuarios con conocimientos técnicos intermedios, un perfil común en equipos de seguridad de pequeñas y medianas empresas latinoamericanas que buscan implementar capacidades de escaneo y análisis sin inversión en licencias comerciales.
Nuestro análisis
Esta campaña revela un patrón de evolución táctica que va más allá del oportunismo. El salto de objetivos desde usuarios de juegos blockchain hasta profesionales de ciberseguridad no es casual: los atacantes están siguiendo el valor de los datos. Un equipo de seguridad comprometido no solo expone credenciales y configuraciones de infraestructura crítica, sino que también puede servir como punto de entrada a redes corporativas completas, aprovechando la confianza inherente que estos profesionales tienen dentro de sus organizaciones.
La arquitectura modular del malware, con modos de evasión escalonados y componentes en desarrollo activo, indica una operación con recursos y planificación a largo plazo. La decisión de ejecutar AsyncRAT en dos puertos simultáneos sugiere un modelo de operación con múltiples actores, posiblemente separando funciones de reconocimiento y exfiltración entre diferentes operadores. El uso de plataformas legítimas como YouTube y Google Docs para alojar cadenas de comando y control demuestra una comprensión sofisticada de cómo evadir detección basada en reputación de dominios.
Lo que aún no se sabe es el alcance geográfico real de las infecciones más allá del número total de equipos comprometidos, ni si existe coordinación entre los operadores que controlan las instancias duales de AsyncRAT. ¿Qué pasaría si esta misma técnica de distribución se aplicara a herramientas de seguridad más especializadas, como frameworks de threat hunting o plataformas de análisis forense que solo utilizan equipos de respuesta a incidentes de alto nivel?
—
*Nota generada por IA y verificada por el equipo editorial de CiberseguridadLatam*