Ocultando un ladrón de información gratuito llamado Marsalek dentro de trampas y herramientas falsas para juegos como Roblox, Fortnite y Counter-Strike 2.

Los archivos parecen complementos útiles para el juego. En segundo plano, roban contraseñas guardadas, cookies del navegador, tokens de Discord y datos de carteras de criptomonedas de PCs con Windows.

Marsalek operó aproximadamente desde diciembre de 2025 hasta mayo de 2026 como malware como servicio, por lo que cualquier persona podía registrarse en un sitio público, crear un archivo malicioso y vigilar a sus víctimas desde un panel de control.

El nivel gratuito ni siquiera pedía una cuenta de Discord o de correo electrónico. Campañas similares de trampas falsas para juegos han impulsado otros ladrones de datos a través de GitHub y Reddit, lo que demuestra lo popular que se ha vuelto este truco.

Los analistas de McAfee Labs identificaron el malware y contabilizaron más de 1,560 cuentas registradas, más de 400 archivos maliciosos y más de 29 URLs de distribución.

También vincularon Marsalek con WeedHack, un servicio centrado en Minecraft, porque ambos dirigen a los clientes al mismo canal de soporte de Telegram, @MetaMaskenMann.

Ocultan el malware Marsalek en trampas falsas de Roblox y Fortnite

La mayoría de los señuelos copian herramientas que los jugadores ya buscan. McAfee vio versiones falsas de ejecutores de scripts de Roblox como Swift, Solara, MatrixHub External y Matcha External.

También aparecieron clientes falsos de Minecraft como Shadow Client y Boss Client, y una muestra llamada Fortnite_tweaks.exe se encuentra en la lista de indicadores.

Los archivos se propagan a través de sitios web similares, Discord y GitHub. Puedes iniciar una infección con un script de PowerShell, una página de ClickFix, un archivo de Python o un archivo EXE. Bitdefender informó de un caso relacionado con trampas falsas de Roblox Xeno que también tenían como objetivo a jugadores más jóvenes.

Después del primer paso, la cadena es casi siempre la misma. El script inicial descarga un paquete de Python portable y un segundo archivo llamado python_setup.py.

Ese archivo intenta obtener derechos de administrador con una herramienta de Windows llamada CMSTP, luego oculta el aviso de permisos y presiona Enter por ti. Después, añade 8 rutas y 15 procesos a la lista de exclusiones de Microsoft Defender, para que los archivos posteriores no sean analizados.

La página de ClickFix es una comprobación falsa de Cloudflare, un truco también visto en la campaña del malware Warden Stealer que indica a las víctimas que peguen comandos en Windows.

El tercer archivo, svc.py, realiza el robo principal en más de 1,400 líneas de código. Ataca a 32 navegadores basados en Chromium y a Firefox.

También evade el cifrado App-Bound de Chrome inyectando una DLL en un proceso suspendido de Chrome, Edge o Brave, para que el propio navegador desbloquee la clave.

El malware revisa 26 rutas de Discord, copia datos de sesión de Telegram y lee detalles de cuentas de Mullvad VPN. Escanea 56 extensiones de navegador y 12 aplicaciones de carteras, y busca archivos con palabras como “seed”, “passphrase” y “wallet”. En Exodus y Atomic Wallet, sustituye dos archivos .asar para dejar una puerta trasera.

El diseño de doble gancho convierte a los clientes en víctimas

La última etapa es PureLog, un ladrón de bajo costo vendido por tan solo 59 dólares al mes. Está oculto con .NET Reactor, se descifra con Triple DES y se ejecuta solo en la memoria.

Ataca 35 navegadores, 48 extensiones y 12 aplicaciones de escritorio, toma una captura de pantalla y configura una tarea programada que ejecuta RunetimeBroker.exe cada cinco minutos. Envía los datos a un servidor independiente, telemetrydata.to.

Esta configuración se llama doble gancho. Los clientes creen que son dueños de los registros robados, pero el autor de Marsalek también recibe una copia y puede usar primero las cuentas de víctimas de alto valor.

La sección de preguntas frecuentes incluida incluso enseña a los compradores cómo usar cookies y tokens robados y cómo blanquear monedas a través de Monero. McAfee observó la mayor actividad en Estados Unidos, seguido de Alemania, el Reino Unido, la India y Brasil.

Los perfiles de juegos tienen valor económico, y es fácil ver cómo los atacantes roban cuentas de juegos y luego venden los objetos o reutilizan los mismos inicios de sesión en otros lugares.

La mejor defensa es sencilla. Descarga juegos y herramientas solo de fuentes oficiales, nunca desactives el antivirus porque un sitio diga que es una falsa alarma y nunca pegues comandos de una página web.

Si has ejecutado una trampa sospechosa, deberías cambiar tus contraseñas desde un dispositivo limpio, cerrar todas las sesiones, mover tus criptomonedas a una nueva cartera y reinstalar Windows. Puedes encontrar todos los detalles técnicos en el informe de Marsalek de McAfee Labs.