Hackeo como videojuego: puntos, misiones y clasificación. El gran premio: tus contraseñas — reportaje desde el interior del sindicato Operation STANDOFF

Un instalador malicioso resultó ser la entrada a todo un ecosistema delictivo que, al mismo tiempo, infectaba equipos, robaba datos, utilizaba a las víctimas como intermediarios para el tráfico de otros y gestionaba redes de cuentas falsas. Los especialistas de VMRay Labs denominaron la campaña Operation STANDOFF.

La infección comenzaba con un archivo de instalación para Windows, que descargaba varias piezas de malware a la vez. El conjunto incluía los infostealers Raccoon Stealer, RedLine y Socelars, los descargadores Amadey y SmokeLoader, el bot Glupteba y también el programa XMRig para la minería encubierta de criptomonedas. En una ejecución, el instalador creaba decenas de archivos y llegaba a iniciar hasta 152 procesos.

Los programas maliciosos robaban contraseñas, archivos de los navegadores, datos de billeteras de criptomonedas y realizaban capturas de pantalla. Al mismo tiempo desactivaban las funciones de protección de Microsoft Defender, detenían el servicio de actualizaciones de Windows, añadían sus carpetas a las exclusiones del antivirus y comprobaban la presencia de productos de seguridad. Para persistir en el sistema, el malware creaba tareas, servicios y un proceso falso csrss.exe.

Los equipos infectados no se usaban solo para robar datos. El malware conectaba los dispositivos a una red de intermediarios, a través de la cual los atacantes redirigían su propio tráfico. Este enfoque permitía ocultar la ubicación real de los operadores y realizar ataques posteriores desde direcciones de usuarios comunes.

Parte de la infraestructura de control se hacía pasar por GitHub. Los servidores respondían a consultas externas redirigiendo al sitio oficial del servicio, por lo que los escáneres automáticos podían tomar los nodos por inofensivos. GitHub en sí no fue comprometido y se utilizó únicamente como objetivo de confianza para las redirecciones.

Los especialistas localizaron al menos 44 servidores relacionados en el proveedor TimeWeb. Uno de los nodos alojaba el panel STANDOFF COORD, a través del cual los operadores gestionaban las intrusiones en redes corporativas. El panel almacenaba contraseñas, hashes NTLM, tickets Kerberos, cookies, claves privadas y tokens de interfaces de programación.

El sistema repartía los objetivos entre los participantes, mostraba los nodos infectados en las redes internas y en las zonas desmilitarizadas, y almacenaba capturas de pantalla, volcados de memoria y tráfico interceptado. Los operadores podían asignar tareas, mantener una base de conocimientos, intercambiar mensajes y obtener puntos por intrusiones confirmadas. Esta organización indica trabajo en equipo, no la acción de una sola persona.

En otro servidor funcionaba una granja de cuentas de Telegram. El panel conectaba automáticamente las cuentas, obtenía los códigos de acceso, asignaba a cada cuenta un proxy y aumentaba gradualmente la actividad para reducir el riesgo de bloqueo. Luego los bots se unían a canales, recopilaban nombres de usuario, publicaban comentarios y respondían mensajes.

Para comunicarse se empleaban modelos de lenguaje. Los operadores fijaban nombre, edad, tono de escritura y objetivo del personaje ficticio, tras lo cual el sistema sostenía conversaciones con usuarios reales. Una plataforma separada automatizaba envíos por correo electrónico, Telegram y WhatsApp, y también podía generar textos mediante Claude.

La parte pública del esquema era el portal «Mobile Arena» sobre Standoff 2, PUBG Mobile y otros juegos móviles. El sitio atraía audiencia con contenidos sobre objetos gratis, moneda del juego, códigos promocionales y sitios con cajas de botín. VMRay Labs supone que a los visitantes luego los dirigían a servicios fraudulentos, plataformas de juego de azar y descargas maliciosas.

El vínculo entre las distintas partes de la campaña lo confirman servidores comunes, componentes de software idénticos, paneles de control, coincidencia en los horarios y los nombres GG Influence y ggstandoff. Según VMRay Labs, un solo grupo combinó la infección masiva, intrusiones dirigidas en redes corporativas y la gestión de actividad artificial en plataformas sociales.

En el momento de preparar el informe, una parte significativa de la infraestructura seguía operativa, y algunas empresas de seguridad no identificaban ciertos dominios como maliciosos. Los especialistas también identificaron a uno de los presuntos organizadores, pero no revelaron su nombre en el material publicado.