Si alguna vez instalas un cliente cualquiera de Minecraft porque un servidor de Discord prometió un mejor rendimiento o mods exclusivos, esta es exactamente la razón por la que no deberías hacerlo. Los investigadores de seguridad de Netskope acaban de publicar un informe sobre un nuevo RAT de Python que usa el nombre «Nursultan Client» para parecer legítimo. Ese nombre pertenece a un cliente comunitario real y popular en círculos rusos y de Europa del Este, lo que hace que la ingeniería social funcione a la perfección.
El malware no se limita a robar una cosa y desaparecer. Se registra con el mismo nombre en el Registro de Windows para persistir y luego espera órdenes de un bot de Telegram. Sus operadores pueden obligarlo a tomar capturas de pantalla, activar la cámara web, abrir páginas web arbitrarias o extraer tokens de Discord directamente del almacenamiento local. Todo ocurre en silencio mientras estás ocupado construyendo o haciendo PvP.
El instalador falso incluso muestra mensajes en pantalla que fingen ser los de un lanzador normal de Minecraft. Ese es el nivel de esfuerzo que distingue la basura que se distribuye indiscriminadamente de algo que realmente funciona con personas que saben que deberían tener cuidado, pero que aun así hacen clic en el enlace a las 2 de la madrugada.
- Usa el nombre del auténtico Nursultan Client en las claves del Registro y en el texto de instalación falso
- Utiliza la API de bots de Telegram para el mando y control; no necesita un servidor propio
- Roba tokens de Discord, capturas de pantalla e imágenes de la cámara web, y puede abrir URL elegidas por el atacante
- La persistencia se mantiene tras reiniciar el equipo
- Al parecer, está diseñado para revenderse como MaaS
Los jugadores de Java Edition que se ciñen a los lanzadores oficiales y a Modrinth o CurseForge están, en su mayoría, a salvo. El peligro aumenta en cuanto buscas mods de rendimiento, clientes hackeados o descargas de «capas gratis» de fuentes desconocidas. Es el mismo patrón que impulsó las oleadas anteriores de robo de tokens en 2026, solo que con una nueva capa de pintura de Telegram.
Usar el nombre de un cliente de Minecraft conocido es una clara táctica de ingeniería social para engañar a las víctimas, especialmente a los jugadores.
Nikhil Hegde, investigador sénior de seguridad en Netskope, en el análisis oficial. El informe incluye indicadores de compromiso y pautas de detección para quienes usen protección de endpoints. En resumen: elimina cualquier cosa que se llame Nursultan Client, a menos que la hayas compilado tú mismo, y deja de confiar tu sesión de Discord a ejecutables cualquiera.
