Campaña de malware WeedHack
Investigadores de ciberseguridad han descubierto una sofisticada campaña de malware dirigida a jugadores de Minecraft, que utiliza YouTube y la manipulación de motores de búsqueda para infectar a los usuarios con malware capaz de tomar el control de sus sistemas.
La operación, conocida como Weedhack, está activa desde enero de 2026. Los ciberdelincuentes disfrazan el software malicioso como clientes y mods de Minecraft, engañando a los usuarios para que descarguen archivos infectados. Los investigadores han identificado 3820 archivos JAR maliciosos únicos y más de 240 URL involucradas en la distribución del malware.
Para maximizar su alcance, la campaña recurre a técnicas de manipulación de SEO y contenido de YouTube que promociona modificaciones supuestamente legítimas de Minecraft. Los investigadores ya han identificado varios vídeos y al menos dos canales de YouTube que redirigen a los usuarios a sitios de descarga maliciosos.
Tabla de contenido
Una plataforma criminal profesional detrás de la campaña
La operación se basa en un panel de control avanzado alojado en weedhack.to, que proporciona a los ciberdelincuentes acceso a credenciales robadas, información del sistema y capacidades de monitorización de los dispositivos comprometidos. La plataforma también permite a los usuarios generar malware personalizado dirigido a las versiones de Minecraft desde la 1.21.0 hasta la 1.21.11, e incluso inyectar código malicioso en modificaciones legítimas de Minecraft.
El ecosistema de malware se comercializa a través de un canal de Telegram con más de 850 miembros. El canal sirve como centro para publicitar el servicio, distribuir actualizaciones y ofrecer soporte al cliente a los usuarios de la plataforma.
Cómo funciona la cadena de infección
El ataque comienza cuando la víctima descarga un archivo JAR malicioso llamado DonutDupe.jar desde uno de los sitios web fraudulentos. Una vez ejecutado, el archivo obtiene información del servidor de comando y control (C2) mediante EtherHiding, una técnica que utiliza la cadena de bloques Ethereum como servidor de resolución de paquetes.
El malware se comunica entonces con la infraestructura C2 y descarga una segunda carga útil basada en Java, conocida como Elevator.jar. Este componente recopila información del sistema, crea exclusiones en Microsoft Defender y prepara el sistema para la implementación de malware adicional.
Un tercer archivo malicioso, SecurityManager.jar, establece persistencia en el dispositivo infectado y actúa como componente de preparación. Finalmente, se entrega Component.jar, que habilita la funcionalidad de acceso remoto, lo que otorga a los atacantes un control exhaustivo sobre los sistemas comprometidos.
Ofertas de malware gratuitas y premium
La plataforma Weedhack se ofrece a través de dos niveles de suscripción:
Nivel gratuito : Incluye un potente programa para robar información capaz de recopilar identificadores de sesión de Minecraft, datos de cuatro lanzadores de Minecraft, capturas de pantalla, archivos, información del sistema, cookies del navegador, contraseñas de 36 navegadores web, información de 56 monederos de criptomonedas basados en navegador y 12 aplicaciones de monedero de escritorio, así como credenciales asociadas con Discord, Steam y Telegram.
Nivel Premium : Disponible desde 4,99 $ al mes o 24,99 $ por una licencia de por vida, esta versión añade funciones avanzadas de acceso remoto, como vigilancia por webcam, registro de pulsaciones de teclas, ejecución de shell inverso, uso compartido de pantalla con control de teclado y ratón, y capacidades de transferencia de archivos.
Alcance global y menor barrera de entrada al cibercrimen.
La mayoría de los contagios se han registrado en Estados Unidos, seguido de Alemania, India, Reino Unido, Italia, Vietnam, Canadá, Noruega, Suecia, Finlandia y España.
Una característica distintiva de Weedhack es su disponibilidad en la web abierta, en lugar de en mercados clandestinos. Al proporcionar acceso gratuito a malware sofisticado junto con tutoriales detallados, la plataforma reduce significativamente las barreras de entrada para los aspirantes a ciberdelincuentes. La capacidad adicional de robar cuentas de Minecraft aumenta aún más su atractivo entre los usuarios más jóvenes, lo que hace que la campaña sea particularmente peligrosa y efectiva.
Del cibercrimen al ciberacoso
Los investigadores también han observado una alarmante dimensión social en la campaña. Muchos de los usuarios parecen ser adolescentes y adultos jóvenes que están aprovechando las funciones de acceso remoto del malware para intimidar, acosar y vigilar a las víctimas.
Los investigadores documentaron casos en los que los atacantes grabaron en secreto a las víctimas a través de cámaras web comprometidas y posteriormente compartieron las grabaciones en el canal de Telegram como si fueran "trofeos". Este comportamiento pone de manifiesto cómo las plataformas de malware como Weedhack no solo facilitan el cibercrimen tradicional, sino que también permiten el ciberacoso dirigido y el hostigamiento digital.
