Se lleva tus contraseñas guardadas, la clave del Wi-Fi y la sesión de Roblox de tu hijo

Dos cosas de la lista de la compra de este ladrón llaman la atención, porque la mayoría no se molesta ni con una ni con otra: la contraseña del Wi-Fi de casa y las cookies de sesión de Roblox.

K7 Security Labs desarmó un archivo anidado encontrado dentro de un fichero con el nombre casi entrañable de "my new program called 2.rar", y lo que había dentro no es exactamente malware. Es una fábrica. TokenGrabberBuilder permite escribir una dirección de Discord o de Telegram donde uno quiere que le entreguen los datos robados, pulsar un botón y recibir un programa de Windows propio, compilado con Nuitka o PyInstaller para que se presente como un .exe cualquiera.

El programa resultante recorre 17 navegadores basados en Chromium, Chrome, Edge, Brave y el resto, más Firefox, y recurre a las propias funciones de protección de datos de Windows para desprecintar las contraseñas guardadas, los datos de tarjeta, el historial y las cookies de sesión que contienen. Después recoge tokens de Discord, cookies de Roblox, los perfiles de Wi-Fi almacenados con sus claves y un retrato de la máquina hasta su zona horaria y su ubicación aproximada. Se asegura de arrancar por partida doble: una entrada de registro bajo Run llamada WindowsUpdate y una tarea programada que salta al iniciar sesión.

Como cada operador construye el suyo, no hay dos copias iguales, que es justo la idea y explica por qué comparar archivos con una lista de amenazas conocidas funciona aquí tan mal. Todo sigue dependiendo de que alguien abra un archivo comprimido y ejecute lo que hay dentro, y esos comprimidos circulan como trucos para videojuegos, software pirateado y, en fin, el programa nuevo de alguien. Si sospechas que eso pasó en tu PC, cambia también la contraseña del Wi-Fi además de todo lo demás, y el escaneo de red de Tendvane te mostrará luego qué hay conectado de verdad a esa red.