En abril de 2026, durante un monitoreo de telemetría de rutina, el Equipo Global de Investigación y Análisis de Kaspersky (GReAT) descubrió una nueva campaña maliciosa con alcance global y presencia en América Latina, a partir de detecciones en Brasil. La amenaza, apodada Argamal, está dirigida a cientos de usuarios de juegos para adultos, comúnmente conocidos como “juegos hentai”, mediante versiones troyanizadas que despliegan un implante malicioso previamente desconocido. Tras permanecer inactivo durante varios días, este implante descarga y ejecuta un troyano adicional, diseñado para robar datos y credenciales, así como para otorgar a los atacantes control remoto total sobre los dispositivos infectados.
Los juegos maliciosos se distribuyeron a través de múltiples canales. Los investigadores identificaron varios sitios web que alojaban capturas de pantalla de juegos junto con enlaces de descarga que redirigían a los usuarios a PixelDrain, un servicio legítimo para compartir archivos frecuentemente abusado para la entrega de malware. En paralelo, los instaladores troyanizados también se difundieron a través de rastreadores de torrents, incluido AniRena. En todos los casos observados, las víctimas descargaron un archivo que contenía los archivos del juego infectados.
El archivo malicioso contenía archivos de juego legítimos junto con una biblioteca manipulada requerida para que el juego funcionara. Como resultado, el código malicioso se ejecutaba automáticamente cuando el usuario iniciaba el juego, sin afectar el desarrollo normal del juego y haciendo que la infección fuera menos notoria para las víctimas.
Durante la investigación, los analistas también identificaron métodos de entrega adicionales utilizados para distribuir el RAT. En algunos casos, la carga útil maliciosa se incrustó directamente dentro de los archivos del juego y se cargó a través de componentes modificados empaquetados con el juego. En otro caso, el actor de la amenaza distribuyó un archivo malicioso a través de un foro de juegos, disfrazándolo como un truco para el juego.
“Los ciberdelincuentes han abusado durante mucho tiempo del contenido relacionado con los juegos y de los instaladores de software no oficiales para distribuir malware, confiando en que los usuarios descargan archivos de fuentes no verificadas con poca sospecha. A lo largo de nuestro análisis, observamos que el malware se actualiza activamente con nuevas características y cambios de infraestructura, lo que sugiere que la campaña está en curso y es probable que evolucione aún más. La creciente disponibilidad de herramientas públicas y automatización ha hecho que el desarrollo de malware sea más fácil y rápido para los actores de amenazas. Como resultado, los usuarios deben evitar descargar software de sitios web y plataformas no oficiales”, dijo Leandro Cuozzo, investigador de seguridad en el Equipo Global de Investigación y Análisis para América Kaspersky.
Con base en información técnica y comentarios en el código, los investigadores asumen con un nivel de confianza medio que el desarrollador de la cadena de descarga podría ser un actor de amenazas de habla hispana.
Las soluciones de Kaspersky detectan esta amenaza como Trojan.Win32.Termixia.*, Trojan.Win32.Agent.*, HEUR:Trojan.Win32.Argamal.gen y HEUR:Trojan-Downloader.Win32.Argamal.gen.
Para mantenerse seguros, los expertos de Kaspersky recomiendan a los usuarios:
- Sé cuidadoso con las descargas. Es más seguro instalar juegos y mods solo de fuentes oficiales o sitios web de buena reputación. Las fuentes no oficiales pueden contener malware.
- Utiliza una solución de seguridad sólida en todas las computadoras y dispositivos móviles, como Kaspersky Premium. Te va a advertir y va a evitar cualquier infección.
- Habilita la opción «mostrar extensiones de archivo» en la configuración de Windows. Esto hará que sea mucho más fácil distinguir los archivos potencialmente maliciosos. Como los troyanos son programas, debe estar advertido para mantenerse alejado de extensiones de archivo como «exe», «vbs» y «scr». Los ciberdelincuentes podrían usar varias extensiones para disfrazar un archivo malicioso como un video, una foto o un documento.
Para obtener más detalles sobre el malware Argamal, visite securelist.com.
