Herramientas falsas de GitHub con AsyncRAT: 2.000 PC caen

Herramientas falsas de GitHub con AsyncRAT ya infectaron más de 2.000 computadoras con Windows, y la campaña cambió de presa: empezó con jugadores de cadena de bloques y ya apunta a profesionales de seguridad. Doctor Web publicó la investigación el 5 de noviembre y contó esa cifra de equipos infectados al momento de cerrar el estudio.

El anzuelo funciona por confianza. Un repositorio que promete automatizar escaneos o limpiar registros parece material de trabajo, no una trampa. Quien lo clona y lo abre hace el resto: el código dañino viaja dentro del proyecto y se ejecuta con los permisos del usuario que lo compiló.

La primera etapa, hace dos años, usaba proyectos de Visual Studio ligados a juegos de cadena de bloques y billeteras de criptomonedas, con instrucciones pensadas para víctimas con poca experiencia. La versión nueva imita utilidades de seguridad: Doctor Web encontró una que finge analizar y limpiar la salida de Fscan, un escáner legítimo.

El proyecto trae la trampa en los archivos de trabajo

En los proyectos de Visual Studio, el código dañino se esconde en dos sitios que casi nadie revisa a mano. Una parte va en el archivo .csproj, como un evento previo a la compilación que dispara PowerShell al construir. Otra queda en el archivo .suo, con las opciones de la solución. Abrir y compilar basta.

Python y Go usan otro escondite en esta campaña. El código malicioso aparece tras bloques enormes de espacios en blanco, tan largos que el editor lo deja fuera de la pantalla. Security Affairs, al resumir el informe de Doctor Web, subraya ese detalle: la trampa no está a la vista de quien revisa el archivo por encima.

Ese primer comando de PowerShell, detectado como PowerShell.Packed.270, busca una cadena cifrada en servidores de los atacantes o en servicios legítimos: YouTube, Telegram, Google Docs, GitCode y Pastebin aparecen en la lista que documentó Cyber Press sobre el mismo informe. La cadena lleva a un archivo llamado Quixo.7z, que se descomprime en una carpeta disfrazada de componente de Fotos de Windows, dentro de ProgramData.

Microsoft.exe es el programa principal de esa carpeta. Es una aplicación construida con Electron, el entorno que usan muchas aplicaciones de escritorio, y Doctor Web la detecta como Trojan.Loader.3261, en la versión 1.4.5 como la más reciente observada. Ese cargador descarga otro archivo, Nexara.7z, con los módulos cifrados y la configuración, y manda los datos del sistema a un bot de Telegram de los atacantes.

Daños concretos, uno tras otro. El cargador deja tareas programadas y claves de arranque para seguir activo tras un reinicio, sube sus privilegios y apaga Windows Defender, el control de cuentas, la restauración del sistema y las copias ocultas para recuperar archivos. También agrega exclusiones propias en Defender, bloquea los dominios de los fabricantes de antivirus editando el archivo hosts y desinstala productos de McAfee, ESET y Malwarebytes.

Mode3, su modo por defecto, apila trucos de evasión: falsifica el proceso padre, desactiva Smart App Control, quita los ganchos de seguridad de la biblioteca ntdll.dll, ejecuta llamadas directas al sistema y parchea en memoria el rastreo de eventos y el escaneo de scripts. Si Mode3 falla, un segundo modo toma el turno. Los módulos descifrados, boot_f, kernel_f y thread_f, terminan inyectados en procesos legítimos: RegAsm.exe, dwwin.exe o dwm.exe.

Dos copias de AsyncRAT para un solo equipo

Dos copias idénticas de BackDoor.AsyncRAT.115 quedan instaladas, cada una escuchando en un puerto distinto. La lectura de los investigadores es directa: dos operadores podrían controlar la misma computadora a la vez, cada uno por su puerto, sin pisarse el trabajo.

Robar dinero en silencio es el trabajo del segundo componente. Trojan.Clipper.688 vigila el portapapeles y, cuando la víctima copia una dirección de billetera de criptomonedas, la cambia por una de los atacantes. En ese momento captura la pantalla y manda al bot de Telegram el título de la ventana activa, el nombre de usuario y la dirección IP, para que el operador sepa qué víctima pagó.

JS.Stealer.191, el tercer componente, revisa primero si corre dentro de una máquina virtual o un entorno de análisis. Si el terreno parece real, vacía contraseñas, cookies y datos de autocompletado de los navegadores, tokens de Discord, configuraciones de redes privadas virtuales y archivos de mensajería. La búsqueda incluye los archivos de FileZilla, MobaXterm.ini y el wcx_ftp.ini de Total Commander, donde muchos administradores guardan credenciales de servidores. Todo se comprime y sale por Telegram.

El momento agrava el riesgo, con el robo de secretos en GitHub que dejó 4.837 cuentas afectadas en otra campaña reciente: un profesional infectado por estas herramientas falsas de GitHub no pierde solo su equipo, pierde las claves de los sistemas que defiende desde esa máquina.

La operación sigue en construcción. Doctor Web encontró rutinas sin usar que descargan otro archivo, Lodge.7z, con un proyecto de Electron sin terminar cuyo ejecutable se llama WUDFHost.exe. Ese componente apunta a instalarse como servicio, volver a descargar Microsoft.exe si alguien lo borra y actualizar el propio troyano.

Doctor Web lo resume en una línea: antivirus al día y escanear cada archivo descargado. El alcance real de la cifra pide una salvedad corta: los más de 2.000 equipos son el conteo de la propia firma al cerrar su investigación, sin detalle público del método, y cubren la campaña completa de dos años, no solo a los profesionales de seguridad de la etapa reciente.

Fuente: Security Affairs