Ciberdelincuentes están distribuyendo ladrones de información sofisticados para computadoras Windows mediante descargas falsas de juegos, mods y cracks. Estas campañas engañan a los usuarios con software gratuito o difícil de encontrar; aunque el archivo parezca inofensivo o muestre una pantalla de instalación, en segundo plano el malware actúa para robar contraseñas y monederos de criptomonedas.

Los criminales están utilizando descargas de juegos falsas para introducir un sofisticado ladrón de información en ordenadores con Windows.

La campaña se oculta tras supuestos juegos, mods, cracks y otro software, explotando la confianza y la urgencia que generan las descargas gratuitas o difíciles de encontrar.

Un archivo descargado puede parecer inofensivo e incluso mostrar una pantalla de carga o de instalación.

Detrás de esa pantalla, una cadena oculta de programas prepara Amatera Stealer, un malware diseñado para recolectar contraseñas, datos del navegador, información de carteras de criptomonedas, datos de aplicaciones de mensajería y archivos locales.

Malwarebytes señaló en un informe que la actividad utiliza RenPy Loader, un marco de trabajo multietapa que convierte un motor de desarrollo de juegos legítimo en un vehículo de entrega.

Los investigadores encontraron la campaña en sitios de descargas maliciosos, portales de juegos y servicios de intercambio de archivos, donde las redirecciones pueden llevar a las víctimas a través de varias páginas similares.

El riesgo va más allá de perder una cuenta de juego. Las credenciales del navegador robadas y los datos de sesión pueden abrir una ruta hacia el correo electrónico, redes sociales, servicios financieros y sistemas empresariales, mientras que el robo de la cartera puede resultar en pérdidas inmediatas e irreversibles.

Los hackers convierten juegos falsos en ladrones de información multietapa

La infección comienza cuando abres el archivo Setup.exe desde un archivo descargado.

RenPy Loader abusa de RenPy, un motor de código abierto comúnmente utilizado para novelas visuales y ficción interactiva, para ocultar contenido malicioso habilitado para Python dentro de un paquete que parece relacionado con los videojuegos.

La primera etapa verifica si existen entornos de análisis, descifra un archivo ZIP y escribe su contenido en una carpeta temporal aleatoria.

Luego, elimina la protección "Mark of the Web" de Windows del contenido extraído y utiliza forfiles.exe para lanzar un archivo por lotes (batch), convirtiendo un instalador de apariencia rutinaria en el punto de entrada para una operación mucho más grande.

Ese archivo por lotes invoca a MSBuild, un componente de compilación legítimo de Windows, para cargar una librería .NET manipulada llamada Nancy. La librería descifra datos, altera la configuración de red, realiza actividades antiforense y lanza otro componente oculto.

Este enfoque se asemeja al abuso de MsBuild en el malware, donde las utilidades confiables de Windows pueden ser reutilizadas para enmascarar la ejecución maliciosa.

El siguiente descargador, gollopDevest.dll, utiliza EtherHiding para recuperar su servidor de comandos a partir de datos de blockchain en lugar de almacenar la dirección directamente en el malware.

Esto complica la detección y la eliminación, una táctica también vista en la técnica de malware EtherHiding basada en blockchain. Luego descarga componentes adicionales que finalmente descifran y ejecutan Amatera Stealer.

Credenciales y carteras en riesgo

Amatera se enfoca en información que puede convertirse rápidamente en acceso o dinero. Las contraseñas del navegador, las cookies y otros datos de sesión pueden permitir que un atacante entre en servicios sin solicitar credenciales repetidamente, mientras que las carteras de criptomonedas, extensiones, aplicaciones de mensajería y archivos expanden el daño posible para individuos y organizaciones.

La carga útil no es fija en cada operación de RenPy Loader. Los investigadores han observado previamente que el cargador distribuye HijackLoader y Lumma Stealer, lo que sugiere que los operadores pueden cambiar el malware final para adaptarlo a una campaña.

Si estás siguiendo la actividad anterior de Amatera Stealer o una campaña de paquetes de trucos de juegos maliciosos, debes tratar las descargas de juegos no solicitadas como un riesgo más amplio de entrega de malware. Los trucos falsos, cracks y mods no oficiales pueden ser señuelos efectivos para los operadores de malware.

La defensa práctica es sencilla: descarga juegos y software solo desde sitios oficiales, tiendas confiables o plataformas establecidas.

Evita los lanzamientos crackeados y los mods no oficiales, inspecciona los archivos antes de abrir archivos ejecutables y abandona cualquier ruta de descarga que pase por sitios desconocidos o páginas de intercambio de archivos.

También debes mantener actualizados Windows, los navegadores y el software de seguridad, porque un instalador pulido o un servicio de alojamiento familiar no son prueba de que una descarga sea segura.

Las organizaciones pueden reducir la exposición restringiendo el software no aprobado, monitoreando la actividad inusual de MSBuild y restableciendo rápidamente las contraseñas expuestas.

Los equipos de seguridad deben revisar las alertas de actividad inesperada de Setup.exe, MSBuild y forfiles.exe después de las instalaciones de juegos, y luego conservar los archivos sospechosos para su análisis.

La investigación puede identificar cuentas, aislar dispositivos y evitar que las sesiones robadas se reutilicen contra los servicios.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.