Cómo funciona la campaña de juegos falsos: explicación de RenPy Loader, MSBuild y EtherHiding

Investigadores de seguridad de Malwarebytes han descubierto una campaña de malware que se esconde detrás de algo en lo que muchos jugadores confían sin pensarlo dos veces: un juego indie creado con el motor Ren'Py. Ren'Py es una herramienta legítima y ampliamente utilizada para crear juegos de estilo novela visual, precisamente por lo que resulta una tapadera tan convincente. Los atacantes incluyen un cargador, denominado RenPy Loader, dentro de archivos de juego que se ven y se comportan como un título descargable normal.

Una vez que la víctima ejecuta el juego falso, el cargador utiliza de forma silenciosa MSBuild, una herramienta de desarrollo legítima de Microsoft que ya está instalada en muchos equipos con Windows para compilar código. Dado que MSBuild es un componente de Windows firmado y de confianza, es menos probable que las herramientas de seguridad marquen la actividad que se ejecuta a través de él, lo que permite que la carga maliciosa se ejecute con menos escrutinio del que generaría un ejecutable independiente.

La campaña también se apoya en una técnica llamada EtherHiding, donde el código malicioso o los datos de configuración se ocultan dentro de transacciones de blockchain o contratos inteligentes. En lugar de alojar instrucciones en un servidor que puede ser derribado o incluido en listas negras, los atacantes pueden obtener comandos de una infraestructura descentralizada mucho más difícil de interrumpir para los defensores. Encadenar un motor de juego de confianza, una herramienta de compilación de confianza y el ocultamiento basado en blockchain es lo que hace que esta campaña sea notable: cada pieza por sí sola parece anodina, pero juntas forman una cadena de distribución para Amatera Stealer.

Qué roba realmente Amatera Stealer de los dispositivos infectados

Amatera Stealer es la carga final de esta cadena, y su función es simple: recolectar cualquier cosa de valor de la máquina infectada. Este tipo de malware de robo de información suele estar diseñado para extraer contraseñas guardadas en el navegador, datos de autocompletado, archivos de billeteras de criptomonedas, cookies de sesión y credenciales de cuentas de juegos, correo electrónico o redes sociales. Una vez recopilada, esa información se envía al atacante, quien puede venderla, usarla para apropiarse de cuentas o integrarla en campañas posteriores.

Lo que hace peligrosos a ladrones como Amatera no es la disrupción llamativa al estilo ransomware, sino el robo silencioso. La víctima puede seguir jugando al juego falso durante días sin ninguna señal visible de que algo anda mal, mientras las credenciales de inicio de sesión y los datos de la billetera ya están en manos ajenas. Para cuando aparecen inicios de sesión no autorizados o cuentas vaciadas, el malware a menudo ya ha cumplido su cometido y ha pasado a otro objetivo.

Por qué una VPN no te protege una vez que el malware se ha ejecutado

Conviene dejar claro algo que muchos jugadores malinterpretan: una VPN no es un antivirus y no puede detener este tipo de infección. Una VPN cifra tu tráfico de internet y oculta tu dirección IP, lo cual es realmente útil para la privacidad, evitar bloqueos regionales y reducir la exposición en redes wifi públicas. Pero nada de eso importa una vez que has descargado y ejecutado voluntariamente un archivo malicioso. El malware se ejecuta localmente en tu dispositivo, lee tus contraseñas y archivos guardados localmente, y solo toca la red cuando está listo para extraer lo que robó; en ese momento, la VPN simplemente cifra el robo en tránsito en lugar de prevenirlo.

Esta distinción es relevante incluso para los jugadores que ya usan una VPN por razones legítimas, como reducir la latencia o acceder a contenido bloqueado por región. Si estás investigando opciones para un juego específico, recursos como una guía sobre la mejor VPN para Roblox pueden ayudarte con la calidad de la conexión y el desbloqueo, pero eso es una decisión independiente de protegerte contra malware que roba credenciales. Ambos problemas requieren herramientas diferentes: una VPN para la privacidad a nivel de red, y hábitos de descarga segura junto con seguridad en el endpoint para el malware.

Prácticas de descarga segura para que los jugadores eviten el malware que roba credenciales

Dado que esta campaña se basa en engañar a los jugadores para que ejecuten un archivo, la defensa más sólida es conductual, no técnica. Algunos hábitos son de gran ayuda:

  • Descarga juegos solo de tiendas oficiales o del sitio web verificado del desarrollador, y desconfía de los enlaces compartidos en servidores de Discord, publicaciones en foros o mensajes directos no solicitados que te pidan "probar un juego".
  • Revisa las propiedades del archivo y las firmas digitales antes de ejecutar ejecutables desconocidos, especialmente aquellos que vienen con un motor de juego como Ren'Py del que normalmente no esperarías necesitar herramientas de compilación independientes.
  • Mantén activo y actualizado un antivirus y la protección del endpoint, ya que puede detectar firmas conocidas de ladrones incluso cuando el método de distribución es novedoso.
  • Desconfía de los juegos que soliciten permisos inusuales o activen procesos en segundo plano inesperados, incluyendo cualquier cosa que invoque MSBuild o herramientas de desarrollo similares que no hayas instalado tú mismo.
  • Utiliza contraseñas únicas y robustas almacenadas en un gestor de contraseñas de confianza en lugar de guardarlas en el navegador, para que una sola infección de un ladrón no pueda desbloquear todas tus cuentas.

Qué significa esto para ti

La campaña de malware de juegos falsos descrita aquí es un recordatorio de que la confianza en una herramienta familiar —ya sea un motor de juego, una utilidad de compilación o una blockchain— puede ser utilizada como arma por atacantes que entienden cómo los defensores buscan amenazas. Los jugadores no deben entrar en pánico, pero sí deben tratar las descargas no oficiales con la misma precaución que aplicarían a los archivos adjuntos de correo electrónico de desconocidos.

Conclusiones finales

Limítate a fuentes verificadas para las descargas de juegos, mantén el software de seguridad actualizado y recuerda que una VPN protege tu conexión, no tu dispositivo. Si algo te pide que ejecutes un instalador desde un enlace desconocido, haz una pausa y verifica antes de hacer clic. Ese único hábito es más eficaz contra campañas como esta que cualquier pieza individual de software de seguridad.