Una campaña de malware recientemente descubierta se ha estado propagando sigilosamente a través de repositorios falsos de GitHub, atacando simultáneamente a desarrolladores de software, gamers, jugadores de Roblox y usuarios de criptomonedas. Conocida internamente como TroyDen’s Lure Factory, la campaña despliega un troyano personalizado basado en LuaJIT, diseñado cuidadosamente para evadir herramientas de seguridad automatizadas.

Una campaña de malware recién descubierta se ha estado propagando sigilosamente a través de repositorios falsos de GitHub, atacando al mismo tiempo a desarrolladores de software, gamers, jugadores de Roblox y usuarios de criptomonedas.

Conocida internamente como TroyDen’s Lure Factory, la campaña despliega un troyano personalizado basado en LuaJIT, diseñado cuidadosamente para eludir herramientas de seguridad automatizadas —un nivel de precisión técnica que apunta a un actor de amenazas con amplios recursos.

El ataque se centra en un repositorio de GitHub convincente —AAAbiola/openclaw-docker— que se hace pasar por una herramienta de despliegue Docker para el proyecto legítimo OpenClaw AI.

 

El repositorio incluye un README pulido con instrucciones de instalación para Windows y Linux, una página complementaria en GitHub.io y colaboradores reales, entre ellos un desarrollador con un repositorio propio de 568 estrellas.

Para aumentar su credibilidad, el atacante infló el proyecto con cuentas desechables que añadieron estrellas y forks, mientras que etiquetas temáticas cuidadosamente seleccionadas —ai-agents, docker, openclaw y LLM— colocaron el repositorio en los primeros resultados de búsqueda para desarrolladores.

Investigadores de Netskope Threat Labs identificaron la campaña tras detectar un paquete troyanizado que utilizaba técnicas de evasión conductual diseñadas para burlar los sistemas automatizados de análisis.

 

Su investigación reveló que la misma cadena de herramientas maliciosas estaba activa en más de 300 paquetes de distribución confirmados —trucos para juegos, rastreadores de teléfonos, crackers de VPN y scripts de Roblox— todos alojados en múltiples repositorios de GitHub y conectados a la misma infraestructura del atacante.

Los nombres de los directorios señuelo, extraídos de taxonomía biológica oscura, latín arcaico y terminología médica, sugieren fuertemente que fueron generados por IA, lo que apunta a una producción de malware a gran escala asistida por inteligencia artificial.

El impacto de la campaña abarca una amplia gama de usuarios. Cada máquina infectada es geolocalizada en el momento en que comienza la ejecución, y se captura una captura de pantalla completa del escritorio que se envía a un servidor C2 en Fráncfort, Alemania.

Con ocho direcciones IP confirmadas detrás del mismo backend con balanceo de carga, la infraestructura está claramente diseñada para manejar un alto volumen.

Los investigadores también vincularon al operador con un canal de Telegram —@NumberLocationTrack— activo bajo el nombre TroyDen desde junio de 2025, lo que sugiere que esta campaña estuvo activa meses antes de que aparecieran los repositorios en GitHub.

Dos archivos, un arma

La parte más técnicamente distintiva de esta campaña es la forma en que su carga útil se divide para evitar la detección.

Cada paquete ZIP malicioso contiene tres elementos: un archivo por lotes llamado Launch.bat, un runtime de LuaJIT renombrado como unc.exe y un script Lua ofuscado oculto como license.txt. Cuando cualquiera de estos archivos se envía individualmente a un escáner automatizado, parece inofensivo.

La amenaza solo cobra vida cuando el archivo por lotes ejecuta ambos componentes en el orden correcto —un diseño que explota directamente la forma en que los sandboxes estándar analizan los archivos por separado.

Una vez que ambas piezas están activadas, la carga útil realiza cinco comprobaciones anti-análisis —buscando la presencia de un depurador, poca RAM, poco tiempo de actividad del sistema, acceso con privilegios elevados y nombres de computadora específicos.

Si algo parece un sandbox, la ejecución se detiene. Si no, se activa una llamada a Sleep() durante aproximadamente 29.000 años, tiempo suficiente para superar cualquier ventana de análisis temporizado. Para cuando una herramienta de seguridad reporta un veredicto limpio, la carga útil ya se ha ejecutado en una máquina real sin dejar rastro en los registros del sandbox.

El Prometheus Obfuscator reescribe el flujo de control del script Lua, haciendo que el análisis estático de código sea poco fiable. Cuatro escrituras en el registro desactivan la detección automática de proxy de Windows, forzando el tráfico saliente a eludir las capas de inspección corporativas.

La carga útil luego captura el escritorio completo y lo sube mediante una solicitud POST multiparte codificada a un servidor C2 en Fráncfort, que responde con blobs de tareas y cargadores cifrados guardados en la carpeta Documents de la víctima.

La cadena de límite C2 —un valor fijo de 38 caracteres repetido en cada solicitud observada— revela que el operador probablemente utilizó generación de código asistida por IA para construir el panel del lado del servidor.

Cualquiera que haya descargado paquetes de los tres repositorios afectados debe tratar su máquina como comprometida y buscar señales de acceso no autorizado.

Los equipos de seguridad deben tratar cualquier descarga de GitHub que combine un intérprete renombrado con un archivo de datos opaco como un caso de alta prioridad para triaje.

Fuentes:
https://cybersecuritynews.com/ai-assisted-openclaw-trap-campaign-uses-trojanized-github-repos/