Un grupo de investigadores taiwaneses descubrió la distribución de malware a través de instaladores y actualizaciones oficiales de los videojuegos League of Legends y Path of Exile.

A finales del año pasado se identificó un ataque dirigido a Garena, el proveedor de entretenimiento digital más grande del sureste asiático, quien tiene convenios con varios desarrolladores de videojuegos de alto perfil. Estas asociaciones hacen posible que Garena ofrezca lanzamientos exclusivos de algunos videojuegos a su base de consumidores.

De acuerdo a la investigación, el ataque tuvo como objetivo los servidores que contienen los archivos instaladores y actualizaciones de los juegos League of Legends y Path of Exile. Como resultado Garena distribuyó versiones que incluían malware a jugadores de Taiwan, Singapur, Tailandia, Malasia y Hongkong. Estas versiones modificadas descargan e instalan el malware PlugX que permite el acceso remoto al sistema.

Mediante un comunicado de prensa, Garena notificó a sus clientes sobre la intrusión y confirmó que sus servidores fueron infectados con malware y por consiguiente todos los archivos de instalación de League of Legends y Path of Exile distribuidos estarían infectados. Asimismo aconsejó actualizar los archivos relacionados a los juegos, revisar los equipos con un antivirus, cambiar contraseñas y habilitar la autenticación de doble factor que ofrece Garena. También alertaron sobre posibles intentos de phishing dirigidos a sus clientes.

De acuerdo al proveedor de entretenimiento digital, no hay evidencia que indique el robo o filtración de información personal ni de cuentas de usuario de sus clientes.

El grupo de investigadores taiwaneses colaboró en conjunto con Trend Micro para el desarrollo de una herramienta que elimina la infección.

Investigadores de Trend Micro analizaron las versiones modificadas con el troyano y descubrieron que la cadena de infección era iniciada al descargar el instalador o actualizaciones aparentemente legítimas de alguno de esos juegos. De acuerdo a los investigadores:

"El instalador comprometido descarga tres archivos: un instalador legítimo, un cleaner que sobrescribe el instalador comprometido con el legítimo y un dropper que instala los binarios de PlugX. El archivo cleaner puede ser visto como una forma de cubrir cualquier indicio de actividad maliciosa."