Investigadores de seguridad advierten sobre campañas de malware que utilizan YouTube, sitios de contenido pirata y mods de Minecraft para infectar sistemas. Entre las amenazas destacan Weedhack, que roba credenciales y permite el acceso remoto, y CountLoader, que distribuye clippers de criptomonedas. Estos ataques buscan controlar dispositivos, robar datos sensibles y realizar minería de criptomonedas sin consentimiento.

 Investigadores de ciberseguridad han alertado sobre una nueva campaña dirigida a jugadores de Minecraft a través de YouTube para propagar malware capaz de tomar el control de los sistemas de las víctimas.

La campaña de malware como servicio (MaaS) enfocada en Minecraft ha sido bautizada como Weedhack por McAfee Labs, afirmando que la actividad ha estado vigente desde enero de 2026 e impersona clientes y mods de Minecraft para infectar a los usuarios. En total, se han identificado 3820 archivos JAR maliciosos únicos y más de 240 URLs responsables de distribuir el malware.

"Esta campaña utiliza el envenenamiento de SEO y YouTube para generar tráfico hacia estas URLs maliciosas", dijo el investigador de seguridad Aayush Tyagi [enlace]. "También encontramos dos canales de YouTube y múltiples videos que muestran Mods y Clientes de Minecraft y redirigen a los espectadores a estas URLs".

El núcleo de la campaña es un panel de control de nivel empresarial ("weedhack[.]to") que permite a los clientes ver credenciales robadas e información del sistema, así como supervisar remotamente los sistemas comprometidos. Además, permite a los criminales crear cargas útiles personalizadas que pueden dirigirse a las versiones de Minecraft 1.21.0 a 1.21.11, sin mencionar la capacidad de inyectar el malware en mods legítimos de Minecraft.

El punto de partida del ataque es un archivo JAR malicioso ("DonutDupe.jar") descargado desde los sitios web maliciosos. El archivo luego recupera los detalles del dominio del servidor de comando y control (C2) utilizando una técnica conocida llamada EtherHiding, que emplea la blockchain de Ethereum como un resolvedor de entrega indirecta.

En la siguiente etapa, el malware contacta al servidor C2 para obtener otra carga útil JAR basada en Java ("Elevator.jar") que recopila información del sistema, configura exclusiones en Microsoft Defender y sirve como conducto para soltar dos cargas JAR adicionales. La tercera carga JAR ("SecurityManager.jar") establece la persistencia y actúa como un preparador para el componente final ("Component.jar") que despliega las funciones de acceso remoto.

Los actores de amenazas detrás de estas herramientas utilizan un canal de Telegram para anunciar sus productos, emitir actualizaciones y brindar soporte al cliente. El canal tiene más de 850 miembros. La herramienta, por su parte, viene en dos niveles:

* Gratuito, que incluye un infostealer exhaustivo que puede dirigirse a los IDs de sesión de Minecraft y cuatro lanzadores de Minecraft; capturar capturas de pantalla; y recolectar archivos, información del sistema, cookies y contraseñas de 36 navegadores web diferentes, datos de 56 billeteras de criptomonedas basadas en el navegador y 12 aplicaciones de billeteras de escritorio, así como credenciales de Discord, Steam y Telegram.
* Premium, que comienza en 4,99 $ al mes (o 24,99 $ por una licencia de por vida) y ofrece capacidades adicionales de acceso remoto, como acceso a la cámara web, keylogging, ejecución de reverse shell, pantalla compartida con acceso a teclado y ratón, y carga y descarga de archivos.

Las cadenas de ataque giran en torno al envenenamiento de SEO y videos de YouTube que contienen descripciones con enlaces a Clientes de Minecraft maliciosos para atacar a usuarios desprevenidos. La mayoría de las infecciones de Weedhack se han identificado en EE. UU., seguidas de Alemania, India, el Reino Unido, Italia, Vietnam, Canadá, Noruega, Suecia, Finlandia y España.

"Una de las características clave que hace que Weedhack sea único es que está alojado en la red abierta y proporciona acceso a malware sofisticado de forma gratuita", dijo Tyagi. "Esta diferencia en el costo y la facilidad de acceso, con tutoriales detallados sobre cómo usar el malware, reduce significativamente la barrera de entrada para los clientes potenciales. Además, su capacidad para robar cuentas de Minecraft atrae a un público más joven. Ambos factores se complementan y hacen que la campaña sea mucho más letal".

McAfee Labs señaló que también ha observado que el malware actúa como un detonante para el ciberacoso, donde los clientes, que parecen ser adolescentes y adultos jóvenes, están utilizando sus capacidades de acceso remoto para amenazar, acosar y monitorear a sus víctimas. Han encontrado la manera de grabar a las víctimas a través de sus cámaras web y han compartido los videos en el canal de Telegram como "trofeos".

countloader entrega un crypto clipper

La revelación llega mientras la empresa de ciberseguridad arroja luz sobre una campaña de CountLoader a gran escala que se estima ha comprometido 86.000 máquinas únicas. CountLoader es un cargador de JavaScript que normalmente se distribuye a través de sitios de distribución de software crackeado. Se sabe que despliega varias cargas útiles como Cobalt Strike, AdaptixC2, PureHVNC RAT, Amatera Stealer y PureMiner.

De estos compromisos, se dice que aproximadamente 9.000 infecciones resultaron de la propagación del malware a través de unidades USB y medios extraíbles. McAfee Labs afirmó que el mayor número de infecciones se observó en India, seguido de Indonesia, EE. UU. y varios países del sudeste asiático, añadiendo que logró bloquear con éxito la infraestructura de comunicación del malware registrando un dominio C2 falso.

"La infección comienza cuando se ejecuta un archivo EXE", dijo la empresa [enlace]. "Este archivo lanza un comando de PowerShell, que descarga y ejecuta un cargador de JavaScript ofuscado conocido como CountLoader. El cargador se ejecuta utilizando 'mshta.exe'".

Una vez ejecutado, CountLoader establece persistencia, se comunica con el servidor C2, intenta propagarse a través de unidades USB y espera más instrucciones del servidor C2 para descargar y ejecutar cargas útiles. La carga final desplegada en la última serie de ataques es un malware cryptocurrency clipper que secuestra el contenido del portapapeles para redirigir las transacciones de criptomonedas.

el contenido pirateado conduce a mineros de criptomonedas

Los hallazgos también siguen al descubrimiento de una campaña de varios años [enlace] que ha utilizado sitios de streaming ilegales de películas y series de televisión para distribuir un minero de criptomonedas bajo la apariencia de una actualización falsa para un plugin de reproductor de video. La actualización falsa descarga un archivo ZIP, que luego utiliza la carga lateral de DLL para soltar una bifurcación de SilentCryptoMiner.

El malware está equipado con una amplia gama de capacidades:

* Configurar exclusiones de Defender, terminar la Herramienta de eliminación de software malintencionado de Microsoft y desactivar la hibernación automática y el modo de suspensión para maximizar el tiempo de ejecución potencial del minero en el dispositivo.
* Activar repetidamente los avisos de Control de Cuentas de Usuario (UAC) hasta que el proceso se ejecute correctamente con privilegios elevados.
* Iniciar un componente de vigilancia que asegura el funcionamiento ininterrumpido del minero.
* Ejecutar un agente RAT que proporciona capacidades de control remoto, incluyendo la ejecución de comandos arbitrarios, el lanzamiento de archivos EXE utilizando "explorer.exe" y la ejecución de shellcode.
* Lanzar un minero de CPU y GPU basado en XMRig.

"El archivo contenía un ejecutable legítimo, HLS Installer.874.exe, junto con una DLL maliciosa. El lanzamiento del EXE activó un mecanismo de carga lateral de DLL, inyectando el módulo malicioso en el proceso de un programa legítimo y ejecutando código dentro de su contexto", dijo Kaspersky [enlace]. "La biblioteca contenía la lógica para desplegar el minero y establecer la persistencia en el dispositivo".

Se estima que la actividad es una continuación de una campaña documentada [enlace] por NTT Security en abril de 2023, que utilizaba advertencias falsas de cierre del navegador para soltar el minero.

"Los actores de amenazas aprovechan una variedad de sitios, que van desde bibliotecas en línea hasta plataformas de streaming de películas y series", dijo Kaspersky. "No se sabe qué canales utilizarán para distribuir el archivo malicioso en el futuro. Sin embargo, el caso actual muestra que los usuarios que visitan sitios web pirateados siguen corriendo un riesgo serio".

Fuente:
THN