Investigadores en ciberseguridad han descubierto una campaña maliciosa que utiliza paquetes NuGet disfrazados de trampas para juegos, con el fin de instalar spyware y herramientas de acceso remoto (RAT) en sistemas Windows. Esta amenaza, que afecta principalmente a usuarios en Estados Unidos y Europa, permite a los atacantes controlar remotamente los dispositivos y robar información sensible.
Por qué importa: Esta campaña aprovecha la popularidad de utilidades para juegos para distribuir malware sofisticado que puede comprometer credenciales, activos de criptomonedas y datos corporativos.
Lo esencial
11 paquetes NuGet maliciosos se presentan como herramientas para juegos y bots, descargando un payload en Python llamado "pepesoft.exe".
Un grupo ruso identificado como UAT-11795 usa instaladores falsos para distribuir Starland RAT y un implante de memoria llamado WLDR agent.
El malware roba credenciales, información de Active Directory y busca mantener acceso persistente para futuras cargas maliciosas.
Imagen de referencia: The Hacker News.
Paquetes NuGet disfrazados de trampas para juegos
Los paquetes maliciosos se hacen pasar por utilidades legítimas para juegos, como bots y paneles de control, y actúan como descargadores de una segunda etapa. Esta segunda etapa es un payload en Python que se obtiene desde repositorios en GitHub y Hugging Face bajo el usuario "pepegit666". Además, incluyen un mecanismo de respaldo basado en BitTorrent para asegurar la persistencia.
El malware utiliza claves similares a las de AWS para obtener configuraciones remotas, autenticar accesos a Google Sheets y gestionar activaciones vinculadas al hardware, incluyendo listas negras de dispositivos. También puede enviar capturas de pantalla a través de comandos de un bot de Telegram, facilitando el espionaje remoto.
Campaña de UAT-11795 con RATs avanzados
El actor de amenazas UAT-11795, que habla ruso y tiene motivaciones financieras, ha estado activo desde junio de 2025. Usa instaladores trojanizados para software popular como MobaXterm, WebEx, Zoom, DBeaver y FaceIT, con el fin de desplegar Starland RAT y el implante WLDR agent.
WLDR agent es un implante sofisticado basado en PowerShell que permite comunicación cifrada con el servidor de comando y control (C2), ejecución de tareas y carga de payloads adicionales. Este malware está diseñado para robar credenciales, información de Active Directory y activos de criptomonedas, manteniendo acceso persistente a los sistemas comprometidos.
Métodos de infección y alcance geográfico
La infección comienza con señuelos denominados ClickFix que distribuyen scripts HTA. Estos scripts descargan e instalan los instaladores trojanizados que entregan el malware. Aunque la mayoría de las infecciones se han detectado en Estados Unidos, también hay reportes en Alemania, Rumania y Venezuela.
Además, ClickFix ha sido usado para propagar otros malwares como TELEPUZ y ClickLock Stealer, ampliando la amenaza a diferentes plataformas y objetivos.
Preguntas frecuentes sobre UAT-11795 y malware en juegos
¿Qué es Starland RAT?
Starland RAT es una herramienta de acceso remoto basada en Python que permite a los atacantes controlar dispositivos comprometidos, robar datos y ejecutar comandos de forma remota.
¿Cómo se propaga el malware a través de paquetes NuGet?
Los atacantes publican paquetes maliciosos en NuGet que aparentan ser utilidades para juegos. Al instalarse, descargan y ejecutan payloads adicionales que instalan spyware y RATs en el sistema.
