Socket, empresa especializada en seguridad de la cadena de suministro, descubrió un módulo malicioso de Go que se hacía pasar por un escáner DNS y subdominios, pero en realidad actuaba como un cargador inicial de malware para Windows. Este módulo se propagó a través de 222 repositorios de GitHub distribuidos en 190 cuentas, acumulando más de 700 versiones maliciosas desde su primera publicación el 24 de enero de 2026.
Por qué importa: Esta campaña, llamada “Operation Muck and Load”, demuestra cómo actores maliciosos pueden explotar plataformas legítimas como GitHub para distribuir malware de forma masiva y evadir detección.
Lo esencial
- El módulo falso de Go se presentó como una herramienta de escaneo DNS pero descargaba y ejecutaba malware oculto.
- Se identificaron 222 repositorios con actividad maliciosa vinculada a 190 cuentas, usando un patrón común en sus flujos de trabajo.
- Los atacantes usaron plataformas públicas como Pastebin, Telegram y YouTube para ocultar y actualizar las cargas útiles maliciosas.
Distribución masiva y técnica de ocultación
El módulo malicioso lanzaba un comando PowerShell oculto que descargaba contenido desde muckcoding.com, lo decodificaba con certutil y lo ejecutaba con políticas de ejecución deshabilitadas. El script decodificado funcionaba como un cargador en múltiples capas, usando codificación Base64 y cifrado XOR, con comentarios en turco que indicaban que no se requerían pasos adicionales para la ejecución.
En lugar de codificar directamente la URL del payload, el módulo buscaba un marcador específico "LastW" en textos alojados en servicios públicos como Pastebin, Rlim, YouTube, Instagram, Telegram, Google Docs y GitCode para obtener la ubicación real del malware. Esto permitía a los atacantes actualizar el contenido malicioso sin modificar el módulo inicial.
