Los atacantes que persiguen criptomonedas y datos sensibles usan proyectos de GitHub para distribuir malware que desactiva las defensas de Windows e instala herramientas de acceso remoto y robo. En un informe del 9 de noviembre de 2026, Security Affairs describió la investigación de Doctor Web, que halló más de 2.000 PC infectados en el momento de su análisis.
Los profesionales de la seguridad de la información son los objetivos más recientes de la campaña. Los repositorios prometen ayuda con escaneo automatizado, pruebas de seguridad y análisis de registros, incluida una supuesta utilidad para analizar y limpiar la salida del escáner de seguridad Fscan. Anteriormente, la campaña se centraba en aficionados a los juegos blockchain que usaban carteras de criptomonedas.
La descarga de un proyecto se convierte en infección
La operación comenzó hace dos años con proyectos de Visual Studio anunciados en torno a juegos blockchain, bots y trampas. Las instrucciones guiaban a los posibles usuarios para instalar Visual Studio y descargar los proyectos de GitHub, lo que ampliaba su alcance a personas con conocimientos técnicos limitados.
Las instrucciones maliciosas estaban incrustadas en el propio material de desarrollo: los archivos de proyecto contenían comandos programados para ejecutarse antes de una compilación, mientras que los archivos de configuración incluían comandos de PowerShell. Los archivos de Python y Go también contenían código malicioso, ocultado con largos espacios en blanco.
Al abrir un proyecto se inicia un script de PowerShell. Este se conecta tanto a servidores controlados por los atacantes como a servicios legítimos (YouTube, Telegram, Google Docs, GitCode y Pastebin) para obtener una cadena cifrada que contiene un enlace a un archivo. Tras la extracción, el contenido del archivo queda en un directorio diseñado para parecerse a un componente de Windows Photos.
El ejecutable central es Microsoft.exe, una aplicación Electron modular. Envía información del sistema a un bot de Telegram, mantiene su ejecución y eleva privilegios. A partir de ahí, debilita las opciones de protección y recuperación del equipo: se desactivan Windows Defender, el Control de cuentas de usuario, la Restauración del sistema y las copias de sombra. El cargador también crea exclusiones de Defender, inyecta código en procesos legítimos y elimina los antivirus McAfee, ESET y Malwarebytes.
Su ruta de ejecución normal, Mode3, oculta la identidad del proceso padre y desactiva Control de aplicaciones inteligente. También elimina los ganchos de software de seguridad de ntdll.dll, usa llamadas directas al sistema y parchea en memoria el rastreo de eventos y el escaneo de scripts antivirus. Si falla esa ruta, se activa Mode2, que aplica exclusiones de Defender y realiza la inyección mediante PowerShell.
Control remoto y robo, después
Tres cargas útiles ofrecen a los atacantes distintas formas de usar un PC infectado. Para el acceso remoto, el malware lanza dos instancias idénticas de la puerta trasera AsyncRAT en puertos separados. Los hallazgos de Doctor Web sugieren que esto probablemente permite a dos operadores controlar el mismo equipo.
Un clipper ataca las transacciones de criptomonedas sustituyendo las direcciones de cartera en el portapapeles; también realiza capturas de pantalla. Un stealer independiente recopila datos del navegador, archivos de configuración de FileZilla, MobaXterm y Total Commander, ajustes de VPN, archivos de mensajería, cuentas de juegos y tokens de Discord. El material robado se empaqueta en archivos ZIP y se transfiere a través de Telegram.
Además, el malware interfiere con el software de seguridad al modificar el archivo hosts para bloquear los dominios de los proveedores de antivirus.
Doctor Web también encontró indicios de desarrollo continuo. Rutinas inactivas podrían descargar y extraer Lodge.7z, un archivo que contiene un proyecto Electron sin terminar cuyo ejecutable se llama WUDFHost.exe. El código apunta a funciones previstas para instalarse como servicio del sistema, restaurar Microsoft.exe tras su eliminación, controlar el inicio e instalar actualizaciones.
Para los aficionados a los juegos blockchain y los profesionales de la seguridad que descarguen estos proyectos, Doctor Web recomienda mantener el antivirus actualizado y analizar cada archivo descargado.
