Riesgo de malware en descargas de juegos falsos con RenPy Loader
Publicado el
Introducción
Recientes investigaciones han revelado múltiples campañas que propagan RenPy Loader a través de descargas fraudulentas de juegos, mods y software. Una vez instalado, este cargador inicia una compleja cadena de infección que explota MSBuild y la técnica de EtherHiding, culminando en la entrega de Amatera Stealer, un infostealer diseñado para robar información sensible.
Funcionamiento del ataque
El malware puede acceder a contraseñas y datos almacenados en navegadores, carteras de criptomonedas, extensiones de navegador, aplicaciones de mensajería y archivos locales. Los atacantes se aprovechan de la legitimidad de Ren’Py, un motor utilizado para crear novelas visuales y juegos interactivos, para disfrazar su código malicioso. Esto hace que las descargas parezcan más creíbles para los usuarios que buscan contenido de juego.
Cadena de infección
La cadena de infección comienza cuando un usuario descarga un juego o software aparentemente legítimo. Se han identificado archivos maliciosos distribuidos a través de: - Páginas de descarga falsas - Servicios de intercambio de archivos como Wormhole, GoFile, Google Drive y MEGA
En algunos casos, un enlace de descarga redirige al usuario a otro sitio falso, complicando la detección de la infraestructura maliciosa. El archivo descargado, normalmente un archivo comprimido que contiene un Setup.exe, inicia la infección al ser ejecutado. A pesar de que el usuario puede ver una pantalla de carga normal, el código malicioso opera en segundo plano.
Técnicas de ocultación
El RenPy Loader utiliza técnicas avanzadas para ocultar su actividad. Por ejemplo, abusa de MSBuild para cargar un componente .NET trojanizado que decodifica otro componente malicioso. Este último emplea EtherHiding para localizar su servidor de comando y control (C2), ocultando la dirección del C2 en datos almacenados en una blockchain pública, lo que dificulta la identificación de la infraestructura del atacante.
Cómo protegerse
Para mitigar el riesgo de infectarse con juegos o software maliciosos, se recomienda: - Descargar juegos y software solo desde sitios web oficiales o plataformas de distribución reconocidas. - Ser cauteloso con software crackeado o mods no oficiales. - Estar alerta si un enlace de descarga redirige a varios sitios desconocidos. - Revisar el contenido de los archivos comprimidos antes de ejecutar archivos ejecutables como Setup.exe. - Utilizar software antivirus en tiempo real y mantener el sistema operativo y el software de seguridad actualizados.
Conclusión
Las campañas que utilizan RenPy Loader evidencian cómo los atacantes se adaptan y emplean tecnologías legítimas para llevar a cabo actividades maliciosas. La continua creación de nuevos sitios web y la modificación de páginas de descarga hacen que la detección sea un desafío constante para los usuarios. Mantenerse informado y seguir prácticas de seguridad es esencial para prevenir infecciones.