Stargazers Ghost Network: campaña multietapa distribuye malware vía mods falsos de Minecraft

Una reciente campaña descubierta por Check Point Research revela cómo actores de amenaza están explotando la comunidad de Minecraft para distribuir malware avanzado, mediante la plataforma GitHub y un esquema Distribution-as-a-Service (DaaS) denominado Stargazers Ghost Network.

Vector de entrada: mods maliciosos en Java

Los atacantes subieron múltiples repositorios falsos a GitHub con supuestas herramientas de automatización y cheats para Minecraft como Oringo y Taunahi. Estos mods, desarrollados en Java, requieren que el entorno de Minecraft esté presente en la máquina víctima, lo que los vuelve altamente dirigidos y evita su ejecución en entornos de sandbox tradicionales (donde no se instalan estas dependencias).

Nombres detectados de archivos JAR maliciosos:

• Oringo-1.8.9.jar
• Taunahi-V3.jar
• PolarClient-v2.6.jar
• SkyblockExtras-1.8.9.jar
• Entre otros.

Estos archivos estaban completamente indetectados en motores antivirus (0/60 en VirusTotal), y al ser ejecutados como mods Forge, cargaban dinámicamente un stealer adicional desde una URL extraída desde Pastebin.

Cadena de infección en tres etapas

1. 1º etapa – Java Loader:
   Implementado como un mod Forge (sin Main-Class). Incluye evasión anti-VM y análisis estático/dinámico, verificando procesos como VBoxService.exe, Wireshark.exe o tcpview.exe. Al pasar estos chequeos, descarga un segundo JAR desde hxxp://147.45.79.104/download cuya URL se encuentra codificada en base64 en un paste controlado por el actor (JoeBidenMama).
2. 2º etapa – Java Stealer:
   Obtenido como MixinLoader-v2.4.jar, este módulo extrae múltiples credenciales:
   • Tokens de Minecraft, Discord y Telegram
   • Archivos accounts.json de clientes como Feather, Lunar y Essential
   • IP pública (checkip.amazonaws.com)
   • Todos los datos se exfiltran en JSON vía POST a hxxps://pastebin[.]com/raw/C9QvUqi3
3. 3º etapa – .NET Stealer:
   Descargar y ejecutar binario .NET llamado “44 CALIBER”, con múltiples capacidades:
   • Exfiltra datos desde navegadores (Chromium, Firefox, Edge)
   • Roba credenciales de wallets (Electrum, Exodus, Monero, Zcash, etc.)
   • Accede a VPNs (ProtonVPN, NordVPN)
   • Captura pantalla, portapapeles, inventario de procesos
   • Sube toda la información a un Discord webhook

Infraestructura y atribución

• Commits en GitHub tienen TZ +0300, compatible con zonas horarias rusas.
• Comentarios en ruso incrustados en el código ("пасcвордс", "спиздил", "нордвпн", etc.)
• Artefactos están empaquetados y ofuscados con herramientas como Skidfuscator (.jar) y ConfuserEX (.NET)
• Pastebin ha registrado más de 1.500 hits, lo que permite estimar el posible número de activaciones.

Tácticas, Técnicas y Procedimientos (TTPs)

Recomendaciones de mitigación

• Bloquear descargas desde dominios como pastebin.com y 147.45.79.104
• Implementar control de aplicaciones para prevenir ejecución de binarios no autorizados desde rutas de usuario
• Utilizar soluciones EDR capaces de detectar comportamiento anómalo de procesos Java y .NET
• Alertar a usuarios sobre los riesgos de descargar mods desde fuentes no verificadas, incluso en plataformas reputadas como GitHub
• Monitorizar tráfico saliente a dominios inusuales y uso de herramientas comunes en pentesting como tasklist.exe, vboxservice.exe o HTTPDebuggerSvc.exe

¿Cómo proteger a tu organización ante amenazas de este tipo?

Este caso demuestra cómo campañas altamente dirigidas pueden pasar desapercibidas por soluciones de seguridad tradicionales, explotando entornos como GitHub y lenguajes como Java, comúnmente desatendidos por las defensas automatizadas.

Desde CronUp, nuestro servicio ATRc está diseñado para ayudar a organizaciones a enfrentar este tipo de amenazas complejas mediante:

• Análisis de amenazas personalizado y proactivo, capaz de detectar artefactos inusuales como los usados en campañas multietapa.
• Evaluaciones de cumplimiento normativo frente a marcos como la nueva Ley de Delitos Económicos en Chile y estándares internacionales.
• Simulación de ataques y ejercicios de red team, que identifican vectores de ataque similares a los explotados en entornos de gaming o desarrollo.

Si tu empresa necesita fortalecer sus capacidades de detección y respuesta avanzada, contáctanos para una evaluación sin costo y conoce cómo ATRc puede ayudarte a anticipar y contener amenazas.

Referencias:

Check Point Research

BleepingComputing

Departamento De Comunicaciones

© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.