Una investigación de Sophos X-Ops revela cómo cibercriminales usan repositorios falsos en GitHub para distribuir malware disfrazado de trucos para videojuegos. Los gamers y entusiastas de la tecnología son los principales afectados por esta campaña que ya infectó a cientos de usuarios.

Lo que comenzó como una simple búsqueda de trucos para videojuegos, terminó siendo una trampa bien orquestada. Sophos X-Ops, el equipo global de inteligencia en ciberseguridad de Sophos, descubrió una campaña que expuso a cientos de gamers, entusiastas de la tecnología y hackers novatos a infecciones de malware. Todo al descargar supuestos trucos o herramientas desde repositorios falsos en GitHub.

Repositorios maliciosos en GitHub

En total, se identificaron 133 repositorios maliciosos, la mayoría disfrazados como cheats o mods para videojuegos populares. En lugar de desbloquear habilidades o ventajas, estos archivos instalaban malware como AsyncRAT, un troyano de acceso remoto, y diversos infostealers diseñados para robar información confidencial de los usuarios.

Según el análisis, el 58% de estos repositorios se promocionaban como trucos para videojuegos, el 24% como herramientas de malware y el 5% como recursos relacionados con criptomonedas. Los cibercriminales incluso crearon cuatro versiones distintas de puertas traseras y automatizaron miles de actualizaciones de código para hacer pasar los repositorios como confiables.

El caso de Sakura RAT

Uno de los casos más curiosos fue el de “Sakura RAT”, un repositorio que fue compartido por medios y usuarios en redes sociales, quienes sin saberlo, estaban promoviendo una herramienta maliciosa. Este fenómeno ilustra cómo la desinformación y la confianza excesiva en proyectos open-source pueden tener consecuencias graves.

Guerra interna en el cibercrimen

La investigación también se suma a una tendencia detectada por Sophos en meses recientes: los propios ciberdelincuentes atacando a otros hackers. Desde disputas entre grupos como DragonForce y RansomHub, hasta estafadores engañando a otros estafadores, el cibercrimen está mostrando señales de guerra interna.

Recomendaciones de seguridad

Sophos ya actuó y reportó los repositorios maliciosos a GitHub y a las plataformas que alojaban las cargas útiles. La mayoría han sido eliminados, pero los riesgos persisten. Por eso, Sophos recomienda a la comunidad gamer y tech:

• Desconfía de cualquier herramienta o código no verificado, especialmente si está relacionado con cheats de videojuegos o herramientas de hacking.
• Inspecciona el código fuente cuando sea posible. Señales de alerta incluyen: fragmentos de código ofuscado, intentos de esconderse usando espacios en blanco, llamadas a dominios sospechosos o comportamientos inusuales.
• Investiga el nombre del repositorio en línea para ver si ya ha sido reportado como dudoso. También puedes enviar archivos o URLs sospechosas a herramientas como Intelix de Sophos o buscar los hashes en VirusTotal.
• Recuerda: compilar código de un repositorio desconocido es tan riesgoso como ejecutar un .exe descargado de una fuente no confiable de internet.
• Si decides ejecutar código, hazlo primero en un entorno aislado como una máquina virtual, contenedor o sandbox. Observa si ocurren comportamientos inusuales como conexiones salientes, archivos inesperados, cambios en el registro, tareas programadas, desactivación de antivirus o aumentos repentinos de uso de memoria.

Lee la investigación completa aquí: The strange tale of ischhfd83: When cybercriminals eat their own