Trucos falsos para Roblox y Fortnite escondían Marsalek, un ladrón gratuito de contraseñas
Trucos y herramientas falsos para Roblox, Fortnite, Minecraft y Counter-Strike 2 escondían un ladrón de contraseñas llamado Marsalek, según un informe que McAfee Labs publicó el 4 de noviembre. El servicio funcionó desde mediados de diciembre de 2025 hasta alrededor de finales de mayo de 2026 y era gratuito: cualquiera podía registrarse en un sitio público, crear un archivo infectado y seguir a sus víctimas en un panel. McAfee contó más de 1.560 cuentas registradas, más de 400 archivos maliciosos y más de 29 direcciones web que los distribuían.
Qué se llevan los archivos falsos
Los archivos se hacían pasar por ejecutores de scripts de Roblox, clientes de Minecraft, ajustes para Fortnite y trucos para CS2, además de utilidades de Discord y aplicaciones de criptomonedas. Se difundían a través de webs falsas y Discord. Una variante ni siquiera necesitaba descarga: una página disfrazada de verificación CAPTCHA de Cloudflare ejecutaba un comando malicioso de PowerShell.
Al iniciarse, Marsalek obtiene permisos de administrador ocultando el aviso de Windows y pulsando Enter por su cuenta. Después añade exclusiones en Microsoft Defender para que los siguientes archivos no se analicen.
El robo abarca mucho:
- Navegadores: contraseñas y cookies de más de 32 navegadores basados en Chromium. En Chrome, Edge y Brave sortea el App-Bound Encryption de Chrome.
- Mensajería: tokens de Discord en 26 ubicaciones del disco y datos de sesión de Telegram.
- Criptomonedas: más de 56 extensiones de navegador y 12 aplicaciones de monedero, con puertas traseras en las aplicaciones de escritorio Exodus y Atomic Wallet.
- Otros datos: información de la cuenta de Mullvad VPN configurada en el equipo y archivos del escritorio y de Descargas cuyos nombres incluyan palabras como "wallet" o "paypal".
Esas sesiones fueron también el botín en el caso ucraniano de las 610.000 cuentas de Roblox. Una cookie de sesión abre una cuenta sin contraseña, y las descargas falsas de juegos son una vía conocida para conseguirla, como ocurrió con los sitios falsos de GTA 6 que repartían el ladrón Vidar.
El kit gratuito también robaba a sus usuarios
Los clientes de Marsalek también eran un objetivo. La última fase de la infección instala un segundo ladrón, PureLog, que envía sus datos a un servidor distinto. McAfee lo llama doble anzuelo: el cliente cree que las credenciales robadas son solo suyas, mientras el autor del kit guarda una copia y puede usar antes las cuentas de una víctima valiosa.
El plan de pago se quedó en "coming soon". Según McAfee, pagar no habría servido de nada, porque el dueño podía apagar los servidores en cualquier momento y marcharse con los datos y el dinero. Las preguntas frecuentes del panel enseñaban a usar cookies y tokens robados y a blanquear criptomonedas mediante Monero.
McAfee vincula Marsalek con WeedHack, un servicio parecido dirigido a jugadores de Minecraft, porque ambos enviaban a sus clientes al mismo canal de soporte en Telegram. Marsalek se detectó sobre todo en Estados Unidos, seguido de Alemania, Reino Unido, India y Brasil.
Qué revisar en casa
McAfee enumera las señales de alarma: un .exe compartido por otro usuario en Discord, una versión "crackeada" de un juego nuevo en una web cuidada y cualquier herramienta cuya página diga que el antivirus se equivoca y hay que desactivarlo. Si los niños juegan en el ordenador familiar, pregúnteles qué han instalado últimamente.
Si alguien ejecutó un archivo así, considere el equipo comprometido:
- Desde otro dispositivo limpio, cambie las contraseñas, empezando por la del correo.
- Cierre todas las sesiones en Discord, Telegram, Google y las cuentas de juegos, porque las cookies robadas pueden seguir funcionando después de cambiar la contraseña.
- Mueva las criptomonedas a un monedero nuevo creado en un dispositivo limpio.
- Reinstale Windows. El ladrón cambia ajustes de Defender y crea sus propias tareas programadas, así que borrar el archivo no basta.
McAfee advierte además de que los atacantes a veces contactan directamente con las víctimas y dicen tener su dirección IP o acceso a su webcam. Los niños que reciban un mensaje así deben contárselo a su padre, madre o tutor y no seguir las instrucciones.
