Investigadores en ciberseguridad han detectado una campaña maliciosa que utiliza repositorios falsos en GitHub para distribuir un troyano de acceso remoto (RAT) conocido como PyStoreRAT. Estos repositorios se hacen pasar por herramientas útiles, como utilidades para investigadores de OSINT (inteligencia de fuentes abiertas), bots de DeFi o envoltorios para GPT, con el fin de atraer a desarrolladores y analistas a descargar código aparentemente legítimo.
Aunque muchos de los proyectos parecen simples y poco funcionales, contienen pequeños fragmentos de código en Python o JavaScript que descargan y ejecutan de manera silenciosa un archivo remoto HTA que sirve de puerta de entrada para el malware. Una vez ejecutado, PyStoreRAT despliega un conjunto modular de capacidades maliciosas que incluyen la ejecución de archivos EXE, DLL o scripts de PowerShell, la instalación de carga útil adicional y el uso de técnicas que evitan la detección por parte de algunos productos de seguridad, como comprobar la presencia de soluciones como Falcon o Cybereason.
La campaña se remonta a mediados de 2025, con miles de repositorios creados a partir de cuentas nuevas o inactivas que fueron reactivadas, y muchas de estas páginas llegaron a figurar en listas de tendencias de GitHub tras acumular stars y forks artificialmente. Los actores detrás de la operación están combinando tácticas de ingeniería social, abuso de la confianza de la comunidad de código abierto y automatización con IA para lograr que los desarrolladores ejecuten cargas útiles sin sospechar.
Además de tomar control básico del sistema afectado, PyStoreRAT también incluye la capacidad de buscar y extraer datos sensibles como archivos de billeteras de criptomonedas asociadas a aplicaciones populares, lo que puede generar un mayor impacto económico y de privacidad para las víctimas.
