Casi 300 repositorios falsos en GitHub distribuyen malware infostealer
Un actor malicioso creó 292 repositorios falsos en GitHub para distribuir malware que roba datos de navegadores, criptomonedas y aplicaciones de mensajería.
Un grupo de ciberdelincuentes ha publicado cerca de 300 repositorios falsos en GitHub que imitan software legítimo para propagar un malware infostealer. Esta campaña afecta a usuarios que buscan productos de seguridad, criptomonedas y utilidades para desarrolladores, exponiendo datos sensibles a robo.
Por qué importa: La suplantación de repositorios confiables en GitHub facilita la distribución de malware sofisticado que roba información crítica de múltiples aplicaciones y navegadores.
Lo esencial
Se detectaron 292 repositorios falsos con enlaces a páginas maliciosas que descargan malware.
El malware roba datos de 19 navegadores, 32 billeteras de criptomonedas y apps de mensajería como Telegram y Discord.
El código malicioso evade protecciones de Chrome y envía la información a servidores de comando y control en Rusia.
Imagen de referencia: BleepingComputer.
Repositorios falsos y páginas de descarga engañosas
Los repositorios falsos incluyen archivos README con enlaces a páginas que simulan ser confiables mediante textos como "Download Secure Content" y distintivos falsos de confianza. Estas páginas reutilizan un código HTML y JavaScript que adapta la apariencia según el repositorio referidor, aumentando la credibilidad ante el usuario.
El archivo descargado es un ZIP que cambia su nombre y contenido cada minuto, conteniendo un ejecutable firmado legítimamente y una biblioteca DLL trojanizada que ejecuta el malware en memoria sin dejar rastros evidentes.
Funcionamiento y capacidades del malware BoryptGrab
El malware pertenece a la familia BoryptGrab y roba contraseñas, cookies, información de pago y datos de 19 navegadores web. También extrae información de 32 marcas de billeteras de criptomonedas, sesiones de Telegram, Discord, Steam y credenciales de la aplicación Max de Meta.
Además, accede a archivos sensibles en el escritorio y documentos, toma capturas de pantalla y recopila detalles del sistema y software instalado. Destaca su capacidad inédita para evadir la encriptación App-Bound de Chrome mediante inyección directa de código.
Infraestructura y destino de los datos robados
La información recopilada se comprime y envía a un servidor de comando y control ubicado en Rusia. El malware no establece persistencia en el sistema, lo que dificulta su detección y análisis posterior.
Detección y respuesta de Arctic Wolf
La empresa de ciberseguridad Arctic Wolf identificó la campaña tras detectar que uno de sus productos era suplantado en GitHub desde el 26 de junio de 2026. Su investigación reveló la magnitud de la operación y permitió alertar a la comunidad sobre esta amenaza.
Preguntas frecuentes sobre malware en repositorios GitHub
¿Cómo identifican los repositorios falsos?
Los repositorios falsos incluyen archivos README con enlaces a páginas que imitan la marca y usan scripts para personalizar la apariencia según el repositorio referidor.
¿Qué tipo de información roba el malware?
Roban datos de navegadores, billeteras de criptomonedas, sesiones de mensajería, credenciales de Windows y archivos sensibles relacionados con contraseñas y recuperaciones.
