Troyano secuestra cuentas de World of Warcraft a pesar de la autenticación de doble factor

Un nuevo troyano está afectando a los usuarios del popular juego de rol en línea, World of Warcraft, capaz de secuestrar cuentas de usuario incluso cuando el propietario utiliza la autenticación de doble factor.

“Hemos recibido reportes sobre un peligroso troyano que está siendo utilizado para comprometer las cuentas de los jugadores, aún cuando éstas utilicen autenticación para protegerlas. El troyano trabaja en tiempo real, robando la información de la cuenta y la contraseña de autenticación en el instante en que es ingresada”, declaró un representante de soporte técnico de Blizzard Entertainment, compañía desarrolladora del juego.

Battle.net es el servicio de juego en línea de Blizzard y el Autenticador Battle.net es un dispositivo físico o una aplicación de móvil que genera códigos únicos que son utilizados como un segundo factor de autenticación como complemento del nombre de usuario y contraseña.

El programa malicioso puede capturar nombres de usuario, contraseñas y códigos generados por el autenticador tras interceptar los intentos de inicio de sesión en Battle.net en una computadora infectada. Debido a que el código generado sólo puede ser usado una vez, el malware bloquea los intentos de inicio de sesión legítimos mientras que envía la información capturada al atacante, quien puede entonces secuestrar la cuenta del usuario. Este comportamiento es similar al utilizado por otros programas maliciosos que buscan derrotar la autenticación de doble factor utilizada en los sitios de banca electrónica.

Una señal de infección de este malware es la presencia de un programa llamado Disker o Disker64 en la lista de inicio de Windows. Los usuarios de este juego en línea pueden consultar las instrucciones publicadas en el sitio de Battle.net para identificar si tienen instalado dicho programa.

De acuerdo a una nota en los foros de Battle.net, publicada por un representante de soporte técnico de Blizzard, se informó que la compañía había rastreado el origen de la infección hasta una versión falsa pero funcional de un popular administrador de complementos para diferentes juegos de PC.

Los usuarios que sospechan haber sido infectados con este malware deberán desinstalar el administrador de complementos Curse Client, ya que esta versión falsa impide que el archivo malicioso sea detectado y removido. Una vez desinstalado es posible detectar el archivo malicioso con cualquier solución antivirus.

De acuerdo a un representante de Blizzard, no se había presentado un ataque similar confirmado desde principios de 2012, cuando el troyano Configuring/HIMYM afectó a varias cuentas de usuarios.

 Fuente