{"id":698,"date":"2026-04-28T20:36:05","date_gmt":"2026-04-28T20:36:05","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/28\/la-lofygang-brasilena-resurge-despues-de-tres-anos-con-la-campana-minecraft-lofystealer-cyberdefensa-mx\/"},"modified":"2026-04-28T20:36:05","modified_gmt":"2026-04-28T20:36:05","slug":"la-lofygang-brasilena-resurge-despues-de-tres-anos-con-la-campana-minecraft-lofystealer-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/28\/la-lofygang-brasilena-resurge-despues-de-tres-anos-con-la-campana-minecraft-lofystealer-cyberdefensa-mx\/","title":{"rendered":"La LofyGang brasile\u00f1a resurge despu\u00e9s de tres a\u00f1os con la campa\u00f1a Minecraft LofyStealer \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Un grupo de cibercrimen de origen brasile\u00f1o ha resurgido despu\u00e9s de m\u00e1s de tres a\u00f1os para orquestar una campa\u00f1a que apunta a los jugadores de Minecraft con un nuevo ladr\u00f3n llamado <strong>LofyStealer<\/strong> (tambi\u00e9n conocido como GrabBot).<\/p>\n<p>\u00abEl malware se disfraza como un hack de Minecraft llamado &#8216;Slinky&#8217;\u00bb, afirma la empresa de ciberseguridad ZenoX, con sede en Brasil. <a href=\"https:\/\/zenox.ai\/en\/lofystealer-malware-mirando-jogadores-de-minecraft\/\">dicho<\/a> en un informe t\u00e9cnico. \u00abUtiliza el \u00edcono oficial del juego para inducir la ejecuci\u00f3n voluntaria, explotando la confianza de los usuarios j\u00f3venes en la escena de los juegos\u00bb.<\/p>\n<p>La actividad se ha atribuido con gran confianza a un actor de amenazas conocido como LofyGang, al que se observ\u00f3 aprovechando paquetes con errores tipogr\u00e1ficos en el registro npm para impulsar malware ladr\u00f3n en 2022, espec\u00edficamente con la intenci\u00f3n de desviar datos de tarjetas de cr\u00e9dito y cuentas de usuario asociadas con Discord Nitro, juegos y servicios de transmisi\u00f3n.<\/p>\n<p>El grupo, que se cree que est\u00e1 activo desde finales de 2021, anuncia sus herramientas y servicios en plataformas como GitHub y YouTube, al tiempo que contribuye a una comunidad de hackers clandestina bajo el alias DyPolarLofy para filtrar miles de cuentas de Disney+ y Minecraft.<\/p>\n<p>\u00abMinecraft ha sido un objetivo de LofyGang desde 2022\u00bb, dijo a The Hacker News Acassio Silva, cofundador y jefe de inteligencia de amenazas de ZenoX. \u00abFiltraron miles de cuentas de Minecraft bajo el alias DyPolarLofy en Cracked.io. La campa\u00f1a actual persigue a los jugadores de Minecraft directamente a trav\u00e9s de un hack falso &#8216;Slinky&#8217;\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-security-guide-d-1\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjRxP56rpa2W0O_0yc0xgs5l2r4FRV4Wiuq3IqWuFdsd_4g1c3oRVXoHtW9gxo8ObuxmyjqkAf3cD6N1JbVDos7QX99ZHtmeVrg-FUzSnMZLTl1ZFyiSkpqQiw6BcHXz52jr3s42xWEDFOpwWK6HgXOqscGMNkhA5pZK7h6zVV4dpDaLfgy17TidZXVrtUB\/s728-e100\/nudge-d-1.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El ataque comienza con un hack de Minecraft que, cuando se inicia, activa la ejecuci\u00f3n de un cargador de JavaScript que es en \u00faltima instancia responsable de la implementaci\u00f3n de LofyStealer (\u00abchromelevator.exe\u00bb) en hosts comprometidos y lo ejecuta directamente en la memoria con el objetivo de recopilar una amplia gama de datos confidenciales que abarcan m\u00faltiples navegadores web, incluidos Google Chrome, Chrome Beta, Microsoft Edge, Brave, Opera, Opera GX, Mozilla Firefox y Avast Browser.<\/p>\n<p>Los datos capturados, que incluyen cookies, contrase\u00f1as, tokens, tarjetas y n\u00fameros de cuentas bancarias internacionales (IBAN), se extraen a un servidor de comando y control (C2) ubicado en 24.152.36.[.]241.<\/p>\n<p>\u00abHist\u00f3ricamente, el vector principal del grupo fue la cadena de suministro de JavaScript: typosquatting de paquetes NPM, starjacking (referencias fraudulentas a repositorios leg\u00edtimos de GitHub para inflar la credibilidad) y cargas \u00fatiles integradas en subdependencias para evadir la detecci\u00f3n\u00bb, dijo ZenoX.<\/p>\n<p>\u00abLa atenci\u00f3n se centr\u00f3 en el robo de tokens de Discord, la modificaci\u00f3n del cliente de Discord para la interceptaci\u00f3n de tarjetas de cr\u00e9dito y la exfiltraci\u00f3n a trav\u00e9s de webhooks que abusan de servicios leg\u00edtimos (Discord, Repl.it, Glitch, GitHub y Heroku) como C2\u00bb.<\/p>\n<p>El \u00faltimo desarrollo marca un alejamiento del oficio observado anteriormente y un cambio hacia un modelo de malware como servicio (MaaS) con niveles gratuitos y premium, junto con un constructor personalizado llamado Slinky Cracked que se utiliza como veh\u00edculo de entrega para el malware ladr\u00f3n.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhbAr1NKRR65f1kQCoig_Pv6wnWUX6226X-sXLNLhJf6IAtYg5lzVYkN9ghMzcI_lO9q0G8uGKVYNIVI1TWRk0B_6TNCAyzKuSDkM52lFRwg7TLA2fB6J4hX0mAIgEhJrbEZhk1Ifkl2tmTnUKPinoz_2eV934v7Vct_xc9cXlXLEn73tQZrcoqqqdGWmDk\/s1700-e365\/cc.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhbAr1NKRR65f1kQCoig_Pv6wnWUX6226X-sXLNLhJf6IAtYg5lzVYkN9ghMzcI_lO9q0G8uGKVYNIVI1TWRk0B_6TNCAyzKuSDkM52lFRwg7TLA2fB6J4hX0mAIgEhJrbEZhk1Ifkl2tmTnUKPinoz_2eV934v7Vct_xc9cXlXLEn73tQZrcoqqqdGWmDk\/s1700-e365\/cc.jpg\" alt=\"\" border=\"0\" data-original-height=\"800\" data-original-width=\"800\"\/><\/a><\/div>\n<p>La divulgaci\u00f3n se produce cuando los actores de amenazas abusan cada vez m\u00e1s de la confianza asociada con una plataforma como GitHub para <a href=\"https:\/\/hexastrike.com\/resources\/blog\/threat-intelligence\/cloned-loaded-and-stolen-how-109-fake-github-repositories-delivered-smartloader-and-stealc\/\">alojar repositorios falsos<\/a> que act\u00faan como se\u00f1uelos para <a href=\"https:\/\/blog.intellibron.io\/lua-jit-smartloader-analyzing-the-github-campaign-delivering-stealer\/\">familias de malware<\/a> como SmartLoader, StealC Stealer y Vidar Stealer. Los usuarios desprevenidos son dirigidos a estos repositorios mediante t\u00e9cnicas como el envenenamiento de SEO.<\/p>\n<p>En algunos casos, se ha descubierto que los atacantes propagan Vidar 2.0 a trav\u00e9s de publicaciones de Reddit que anuncian trucos falsos del juego Counter-Strike 2, redirigiendo a las v\u00edctimas a un sitio web malicioso que entrega un archivo ZIP que contiene el malware.<\/p>\n<p>\u00abEsta campa\u00f1a de robo de informaci\u00f3n destaca un desaf\u00edo de seguridad continuo en el que se abusa de plataformas ampliamente confiables para distribuir cargas \u00fatiles maliciosas\u00bb, Acronis <a href=\"https:\/\/www.acronis.com\/en\/tru\/posts\/vidar-stealer-20-distributed-via-fake-game-cheats-on-github-and-reddit\/\">dicho<\/a> en un an\u00e1lisis publicado el mes pasado. \u00abAl aprovechar la confianza social y los canales de descarga comunes, los actores de amenazas a menudo pueden eludir las soluciones de seguridad tradicionales\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los hallazgos se suman a una lista cada vez mayor de campa\u00f1as que han aprovechado GitHub en los \u00faltimos meses:<\/p>\n<ul>\n<li>Dirigirse a los desarrolladores directamente dentro de GitHub, utilizando alertas de seguridad falsas de Microsoft Visual Studio Code (VS Code) publicadas a trav\u00e9s de Discusiones para enga\u00f1ar a los usuarios para que instalen malware haciendo clic en un enlace. \u00abDebido a que las Discusiones de GitHub activan notificaciones por correo electr\u00f3nico para los participantes y observadores, estas publicaciones tambi\u00e9n se env\u00edan directamente a las bandejas de entrada de los desarrolladores\u00bb, Socket <a href=\"https:\/\/socket.dev\/blog\/widespread-github-campaign-uses-fake-vs-code-security-alerts-to-deliver-malware\">dicho<\/a>. \u00abEsto extiende el alcance de la campa\u00f1a m\u00e1s all\u00e1 del propio GitHub y hace que las alertas parezcan m\u00e1s leg\u00edtimas\u00bb.<\/li>\n<li>Apuntando a los sistemas judiciales de Argentina <a href=\"https:\/\/www.pointwild.com\/threat-intelligence\/covert-rat-phishing-campaign\/\">usar correos electr\u00f3nicos de phishing<\/a> para distribuir un archivo ZIP comprimido que utiliza un script por lotes intermedio para recuperar un troyano de acceso remoto (RAT) alojado en GitHub.<\/li>\n<li>Creando <a href=\"https:\/\/blog.atsika.ninja\/posts\/the-phishy-github-issue-case\/\">Cuentas GitHub y aplicaciones OAuth<\/a>seguido de abrir un problema que menciona a un desarrollador objetivo, lo que activa una notificaci\u00f3n por correo electr\u00f3nico que, a su vez, lo enga\u00f1a para que autorice la aplicaci\u00f3n OAuth, lo que permite efectivamente al atacante obtener sus tokens de acceso. Los problemas tienen como objetivo inducir una falsa sensaci\u00f3n de urgencia, advirtiendo a los usuarios sobre intentos de acceso inusuales.<\/li>\n<li>Usar repositorios fraudulentos de GitHub para distribuir instaladores de scripts por lotes maliciosos que se hacen pasar por software de seguridad y TI leg\u00edtimo, lo que lleva a la implementaci\u00f3n del descargador TookPS, que luego inicia una cadena de infecci\u00f3n de varias etapas para establecer un acceso remoto persistente utilizando t\u00faneles inversos SSH y RAT como MineBridge RAT (tambi\u00e9n conocido como TeviRAT). La actividad ha sido atribuida a <a href=\"https:\/\/www.bluevoyant.com\/blog\/rift-brigantines-github-lures-deploy-malware\">Bergant\u00edn de la grieta<\/a> (tambi\u00e9n conocido como FIN11, Graceful Spider y TA505).<\/li>\n<li>Usar repositorios de GitHub falsificados que se hacen pasar por herramientas de inteligencia artificial, trucos de juegos, scripts de Roblox, rastreadores de ubicaci\u00f3n de n\u00fameros de tel\u00e9fono y crackers de VPN para distribuir <a href=\"https:\/\/www.netskope.com\/blog\/openclaw-trap-ai-assisted-lure-factory-targets-developers-gamers\">Cargas \u00fatiles de LuaJIT<\/a> que funciona como un troyano gen\u00e9rico como parte de una campa\u00f1a denominada TroyDen&#8217;s Lure Factory.<\/li>\n<\/ul>\n<p>\u00abLa amplitud de la f\u00e1brica de se\u00f1uelos (trucos de juegos, herramientas de desarrollo, rastreadores de tel\u00e9fonos, scripts de Roblox, crackers de VPN) sugiere un actor que optimiza el volumen entre audiencias en lugar de apuntar con precisi\u00f3n\u00bb, dijo Netskope.<\/p>\n<p>\u00abLos defensores deben tratar cualquier descarga alojada en GitHub que combine un int\u00e9rprete renombrado con un archivo de datos opaco como un candidato de clasificaci\u00f3n de alta prioridad, independientemente de cu\u00e1n leg\u00edtimo parezca el repositorio circundante\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Un grupo de cibercrimen de origen brasile\u00f1o ha resurgido despu\u00e9s de m\u00e1s de tres a\u00f1os para orquestar una campa\u00f1a que apunta a los jugadores de Minecraft con un nuevo ladr\u00f3n llamado LofyStealer (tambi\u00e9n conocido como GrabBot). \u00abEl malware se disfraza como un hack de Minecraft llamado &#8216;Slinky&#8217;\u00bb, afirma la empresa de ciberseguridad ZenoX, con sede [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":585,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[514,2169,133,31,24,261,2168,2172,2171,2170,1389],"class_list":["post-698","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-anos","tag-brasilena","tag-campana","tag-con","tag-cyberdefensa-mx","tag-despues","tag-lofygang","tag-lofystealer","tag-minecraft","tag-resurge","tag-tres"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/698","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=698"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/698\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/585"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=698"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=698"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=698"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}