Se ha detectado un mod de optimización falso para Minecraft que instala el malware Myth Stealer. Este programa malicioso es capaz de robar contraseñas, cookies y datos del navegador. El archivo parece legítimo ya que las funciones prometidas funcionan correctamente, lo que engaña a los usuarios que buscan mejorar el rendimiento del juego mediante complementos no oficiales.

Un mod de optimización de Minecraft falsificado está instalando Myth Stealer, un malware que puede robar contraseñas del navegador, cookies y datos. Su archivo malicioso parece útil porque las funciones trabajan según lo anunciado, dando a los jugadores pocos motivos para sospechar de una amenaza oculta.

La campaña explota a los usuarios que buscan mejoras de rendimiento a través de complementos no oficiales. Una vez instalado, el mod falso inicia una cadena de infección de varias etapas que conduce a una herramienta remota que permite a su operador recopilar datos y controlar ampliamente un dispositivo Windows.

El analista devmihaylov identificó el malware mientras examinaba muestras obtenidas de un comprador del stealer comercial.

devmihaylov dijo en un informe que los archivos inicialmente recibieron cero detecciones de VirusTotal, demostrando cómo las amenazas distribuidas de forma limitada pueden evadir los controles basados en la reputación.

Los jugadores de Minecraft siguen siendo objetivos frecuentes para los distribuidores de malware. La cobertura de mods falsos de Minecraft Fabric mostró cómo una descarga de juego que parece inofensiva puede convertirse en el primer paso para el robo y el compromiso de cuentas. La amenaza combina un señuelo con un cargador diseñado para mezclarse en una configuración de juego.

Mod de Minecraft Falso

El archivo Java se presenta como un compañero de un proyecto de optimización legítimo e incluye 12 módulos funcionales que cambian la configuración de rendimiento del juego.

Un decimotercer componente oculto espera brevemente, recopila información del sistema y luego recupera e inicia la siguiente etapa en segundo plano. Este enfoque es importante porque las víctimas pueden ver el comportamiento de optimización esperado y concluir que la descarga es segura.

El cargador utiliza un ejecutable grande construido alrededor de un runtime estándar y trae un entorno Java privado, permitiendo que la carga útil se ejecute incluso donde Java no esté instalado.

Antes de lanzar la etapa final, el programa muestra una solicitud de derechos de administrador pulida que se asemeja a un aviso normal de Windows.

Aceptarlo puede darle al malware un mayor acceso y ayudar a su instalación. También contiene una lógica de reintento destinada a lidiar con el software de seguridad que interrumpa el proceso.

El componente final está fuertemente disfrazado para ralentizar la investigación. Su código utiliza nombres reservados al estilo de Windows, texto cifrado y obstáculos que pueden romper las herramientas de extracción básicas.

Este ocultamiento, combinado con un mod aparentemente genuino, hace que una verificación visual rápida de una descarga sea una salvaguarda poco fiable.

Robo de credenciales y control remoto

Myth Stealer apunta a los datos almacenados por los navegadores basados en Chromium y Firefox, incluyendo nombres de usuario guardados, contraseñas, registros de navegación y cookies de sesión activa.

Las cookies robadas pueden ser especialmente dañinas porque pueden permitir que un atacante reutilice una sesión web ya autenticada. Puedes ver por qué las contraseñas y cookies del navegador siguen siendo objetivos valiosos en operaciones similares de robo de datos.

El malware también recopila detalles del sistema, contenido de chats, datos del portapapeles y archivos, y puede capturar capturas de pantalla o material de la webcam.

Sus funciones de control remoto incluyen ejecutar comandos, descargar o eliminar archivos, gestionar procesos y configurarse para iniciarse nuevamente después de un reinicio.

Los investigadores también encontraron funciones que podrían perturbar a la víctima. Estas incluyen cambiar la configuración de pantalla, interferir con el ratón o el teclado, mostrar mensajes engañosos a pantalla completa e intentar restringir el acceso a las herramientas de seguridad.

Esto puede complicar la recuperación y presionar a los usuarios para que sigan las instrucciones de un atacante. La operación utilizó canales de reporte basados en la web para recibir la información robada, una técnica documentada en la cobertura del abuso de webhooks de Discord en otras campañas de malware.

Aunque la infraestructura de comandos analizada ya no respondía al momento del reporte, los servidores inactivos no borran el riesgo para los sistemas ya infectados.

Deberías obtener mods únicamente de páginas de proyectos confiables, confirmar el desarrollador y la integridad del archivo, y evitar descargas promovidas a través de enlaces de chat, videos o páginas no oficiales de intercambio de archivos.

Esto hace eco de las advertencias sobre descargas de mods de Minecraft troyanizados, donde la ingeniería social es central para llegar a los jugadores.

Cualquier persona que haya instalado un mod sospechoso debería eliminarlo, ejecutar un escaneo de seguridad completo y cambiar sus contraseñas desde un dispositivo limpio.

También deberías cerrar sesión en cuentas importantes para invalidar las sesiones, revisar las extensiones del navegador y buscar programas desconocidos que se inicien automáticamente. Un aviso de administrador inesperado durante la instalación de un mod es una señal de advertencia grave.