WeedHack, LofyStealer y la ola de malware en mods de Minecraft de 2026: cómo funciona y cómo protegerte

Actualizado November 12, 2026

Una sola operación de malware infectó los PCs de más de 116.000 jugadores de Minecraft en 2026, y solo fue la mayor de varias. Así funciona la ola de malware en mods y clientes de trampas, quién está detrás y cómo mantener tu PC fuera de ella.

Actualización, 12 de noviembre: la ola ha llegado a los plugins de servidor. Un escáner independiente encontró malware en al menos siete plugins de Bukkit y Paper, entre ellos un LagFixer imitador y un plugin de Mace SMP escondido tras una dirección falsa de bStats, además de 12 webs falsas de Prism, HMCL y el Minecraft Launcher que instalan acceso remoto. Lee la historia completa y la lista de comprobación para servidores.

Imagina descargar lo que parece Meteor Client o Wurst desde una web que sale la primera en Google. El tutorial en vídeo que te llevó allí parece legítimo, y el jar hasta se abre. Mientras tanto, tu sesión de Minecraft, tu token de Discord, tus contraseñas guardadas y tu webcam pertenecen a otra persona. Ese es el negocio de WeedHack, la mayor operación de malware contra Minecraft jamás documentada, y funcionó durante meses antes de que nadie se diera cuenta.

• 116.464PCs infectados por WeedHack de enero a junio de 2026
• 2–3KNuevas víctimas de WeedHack al día en su pico
• 5 $Precio mensual inicial para alquilarlo, según los informes
• 10+Webs de clientes falsos aún activas tras el desmantelamiento

Por qué esta ola es diferente

• Es un producto, no un hacker solitario. WeedHack es malware como servicio. Los clientes reciben un panel web con sus víctimas, los datos robados y un generador de cargas para Minecraft 1.21.x, además de tutoriales para propagarlo.
• Se esconde dentro de mods reales. El generador puede inyectar el ladrón en jars de mods legítimos, así que el mod sigue funcionando mientras el robo ocurre en segundo plano.
• Va a por los usuarios de clientes de trampas. La lista de herramientas suplantadas de McAfee incluye Meteor, Wurst, LiquidBounce, Aristois, Impact, Future, Inertia y otras.
• Sobrevivió a un desmantelamiento. Sus servidores de control fueron interrumpidos a mediados de 2026, pero en agosto McAfee descubrió que la red de distribución seguía funcionando, trasladada a Discord, MediaFire y webs falsas de clientes generadas con IA que salían arriba en Google.
• También se propaga por USB. Unas 9.000 infecciones llegaron por memorias USB y otros medios extraíbles.

Las campañas que golpearon a los jugadores de Minecraft en 2026

LofyGang es un grupo cibercriminal brasileño que estuvo más de tres años en silencio antes de reaparecer con el cebo de Slinky, según informó The Hacker News. Los investigadores de Dark Atlas rastrearon el origen de WeedHack hasta un ladrón privado llamado Majanito a finales de 2025, antes de que se rebautizara y se vendiera abiertamente.

Malware en CurseForge y Modrinth: la limpieza de octubre de 2026

Las webs oficiales de mods son más seguras que cualquier página de descargas, pero no están limpias. Entre el 20 y el 24 de octubre de 2026, Modgrade, una web que analiza mods y plugins de Minecraft, informó de 34 proyectos que seguían en línea en CurseForge y Modrinth con malware dentro. Todos se han retirado desde entonces.

• Mods de utilidad que robaban tu sesión. Full Bright, TooManyTools y Slimagar en CurseForge enviaban las sesiones de Minecraft de los jugadores (y, en el caso de Full Bright, los tokens de Discord) a un servidor externo. Dungeons Extras también se llevaba las contraseñas guardadas en el navegador.
• Plugins de servidor con mineros. PGCVisibility, un plugin de Paper en Modrinth, ocultaba un minero de criptomonedas. SimpleHomePlugin llevaba código que imitaba a bStats, una señal conocida de una campaña de malware en plugins.
• Limpios al principio, envenenados después. El 27 de octubre Modrinth retiró seis mods pequeños más después de que un investigador viera que descargaban una “actualización” desde una web externa. Modgrade comprobó que sus archivos 1.0.0 estaban limpios. Los archivos 1.0.1 instalaban una extensión de navegador que roba contraseñas.

Ese último truco es el que hay que recordar: un mod puede estar bien cuando lo añades y volverse malicioso en una actualización posterior. Si usas mods pequeños o nuevos, revisa la carpeta de mods después de cada actualización, no solo una vez.

Cómo revisarte y mantenerte a salvo

1. Descarga mods solo de Modrinth o CurseForge, y clientes solo de la web oficial del desarrollador o de GitHub. Escribe la dirección tú mismo en lugar de fiarte de un anuncio, del primer resultado de búsqueda o de la descripción de un vídeo.
2. Trata los clientes de pago “gratis” y las trampas crackeadas como malware. Son el cebo principal.
3. Desconfía de los archivos que te envían amigos, sobre todo modpacks, launchers y archivos .exe, incluso desde cuentas en las que confías. Las cuentas de amigos hackeadas son la forma en que se propagan estas campañas.
4. Analiza tu PC si has instalado mods o clientes de terceros este año, y después cambia tus contraseñas de Microsoft y Discord desde un dispositivo limpio y cierra todas las sesiones.
5. No guardes contraseñas ni tarjetas en el navegador de un equipo que también uses para probar mods.

Para los trucos del lado de Discord, como enlaces de verificación falsos y mensajes de amigos, consulta nuestra guía de estafas de Discord.

Administradores de servidores: plugins con puerta trasera

Los jugadores no son los únicos objetivos. En mayo de 2026, el youtuber KasaiSora informó de que NameTags, un plugin de servidor con unas 15.000 descargas en Modrinth, contenía un cargador oculto que descargaba código desde la web de su desarrollador y podía dar permisos de operador a una cuenta concreta. Según ese informe, Modrinth retiró los proyectos del desarrollador tras revisar el código, pero bStats seguía mostrando unos 900 servidores con el plugin. Esas cifras proceden del vídeo y no hemos podido verificarlas de forma independiente.

• Elimina cualquier plugin retirado de Modrinth o Hangar por malware, y no lo reinstales desde la web del propio desarrollador.
• Revisa ops.json y tu plugin de permisos en busca de cuentas que no reconozcas.
• Prioriza plugins de código abierto con un historial activo y desconfía de los plugins que descargan código mientras se ejecutan.

Qué viene ahora

El desmantelamiento no detuvo a WeedHack, porque sus operadores manejan una red de distribución, no una sola web. Mientras los jugadores busquen clientes de trampas gratis, estas campañas seguirán sacando nuevos disfraces. La regla más segura no ha cambiado: si una descarga promete gratis algo que normalmente cuesta dinero, o te da una ventaja que no deberías tener, asume que te costará tu cuenta.