La distribución de software malicioso a través de juegos pirateados y aplicaciones crackeadas sigue siendo una estrategia altamente efectiva para los ciberdelincuentes. Al explotar el deseo generalizado de acceder gratuitamente a contenido premium, los atacantes pueden eludir fácilmente las sospechas iniciales de los usuarios y entregar amenazas complejas directamente a sus dispositivos personales. 

La distribución de software malicioso a través de juegos pirateados y aplicaciones crackeadas sigue siendo una estrategia altamente efectiva para los ciberdelincuentes.

Al explotar el deseo generalizado de acceder gratis a contenido premium, los atacantes pueden eludir fácilmente las sospechas iniciales de los usuarios y entregar amenazas complejas directamente a sus dispositivos personales.

Una campaña recientemente identificada ejemplifica esta tendencia persistente, utilizando un loader sofisticado que se oculta dentro de lanzadores de juegos modificados para ejecutar un proceso de infección en múltiples etapas sin alertar a la víctima desprevenida.

Esta amenaza emergente aprovecha la estructura del motor de novelas visuales Ren’Py, haciendo que los archivos maliciosos parezcan componentes legítimos del juego.

Las víctimas que intentan descargar estos paquetes comprometidos suelen ser redirigidas a través de múltiples sitios web antes de llegar finalmente a un servicio de alojamiento de archivos.

Una vez que el usuario ejecuta el archivo descargado, el malware inicia su operación bajo la apariencia de una pantalla de carga estándar, enmascarando eficazmente la actividad maliciosa que ocurre en segundo plano.

Analistas de Securelist identificaron el malware como RenEngine, una familia de loaders distinta que ha estado circulando desde marzo de 2025.

Aunque las primeras versiones se usaban principalmente para distribuir el Lumma stealer, incidentes recientes revelan que los atacantes han actualizado su kit de herramientas para entregar el ACR Stealer.

Esta evolución demuestra la adaptabilidad de los actores de amenazas, que también han ampliado sus objetivos para incluir a usuarios que buscan software gráfico pirateado y otras herramientas de productividad.

Estos stealers están diseñados para extraer contraseñas, billeteras de criptomonedas y cookies de sesión de la máquina de la víctima.

El impacto de esta campaña es significativo, con incidentes activos registrados en múltiples países, incluyendo Rusia, Brasil y España.

El uso de un loader modular permite a los atacantes personalizar la cadena de infección, dificultando que las soluciones de seguridad estándar detecten y bloqueen el compromiso inicial antes de que ocurra el daño. Esto representa un gran desafío para la seguridad personal.

Mecanismo de infección y tácticas de evasión

La sofisticación técnica de RenEngine radica en su capacidad para evitar la detección durante la fase inicial de ejecución.

El ataque comienza con scripts de Python que simulan un proceso de carga del juego mientras realizan comprobaciones críticas del entorno.

Estos scripts utilizan una función específica llamada is_sandboxed para determinar si el código está siendo analizado por investigadores de seguridad.

Si el sistema se considera seguro, el malware procede a usar xor_decrypt_file para desempaquetar la siguiente etapa de la carga útil desde un archivo cifrado.

Tras la descifración inicial, el malware emplea una técnica conocida como secuestro de DLL para cargar el módulo HijackLoader.

Al sobrescribir la memoria de una biblioteca legítima del sistema, específicamente dbghelp.dll, los atacantes pueden inyectar código malicioso en un proceso confiable.

Este método permite al loader descifrar y lanzar la carga útil final, como Lumma o ACR Stealer, dentro del espacio de memoria de un proceso del sistema como explorer.exe.

Esta inyección fluida garantiza que el malware pueda operar de manera persistente en el dispositivo infectado, recolectando datos altamente sensibles del usuario mientras permanece oculto.