WolfSec0x0: "Detectamos más de 100 computadoras infectadas. Pero podrían ser mil"
GipsyTeam
14 octubre, 17:34
Un experto en ciberseguridad que participó en la investigación del escándalo de MeshAgent compartió detalles con GipsyTeam y ofreció algunos consejos para proteger los bankrolls.
A fines de septiembre, un usuario de X con el nick WolfSec0x0 publicó un hilo sobre el hackeo a jugadores de high stakes mediante el programa MeshAgent. Con este malware, los atacantes accedían a la computadora de la víctima y podían ver sus cartas durante el juego.
En una entrevista con GipsyTeam, el autor de la investigación contó que se dedica profesionalmente a la ciberseguridad desde hace más de 10 años, pero que no solo conoce el poker por su trabajo: empezó a jugar siendo adolescente, luego pasó al cash live desde $2/$5 hasta $10/$25, y ahora juega de vez en cuando NL200–NL1K como hobby. Su trabajo principal es dirigir equipos responsables de la automatización y de los sistemas de detección de amenazas.
A lo largo de los años de trato con las comunidades de poker en Discord, se ganó la confianza de conocidos jugadores de high stakes y ya había ayudado a algunos de ellos a lidiar con hackeos. Por eso, cuando un grupo de regs descubrió un programa sospechoso en sus computadoras, pidieron ayuda precisamente a él. Hablamos con WolfSec0x0 sobre los detalles del sonado caso, la posible magnitud de la infección y la seguridad del poker online.
Cómo se encontró MeshAgent y de dónde surgió el software de poker infectado
— ¿Cómo empezó tu participación en la investigación? ¿Qué habían logrado averiguar ya los jugadores cuando se pusieron en contacto contigo?
— Me contactó un pequeño grupo de jugadores de high stakes a quienes yo ya había ayudado antes con temas de ciberseguridad. Aunque el primero en escribirme, hasta donde recuerdo, fue una persona que sabía de mi trabajo con ellos, pero con quien yo no había colaborado personalmente.
Ellos ya habían empezado su propia investigación y usaban asistentes de IA para compensar la falta de conocimientos técnicos. Cuando me sumé, ya habían logrado entender qué era MeshAgent, para qué se usaba y con qué servidores se comunicaba. Además, varios jugadores a la vez habían informado de haber encontrado software extraño, por lo que la probabilidad de que fuera un caso aislado era baja.
Me enfoqué en buscar señales comunes y posibles vías de infección, y luego escribí varios scripts para el diagnóstico inicial de las computadoras. Los jugadores los ejecutaban en sus equipos y nosotros estudiábamos los registros del sistema y otros datos. Así descubrimos el instalador comprometido de IntuitiveTables, que además había sido descargado de la fuente oficial.
— ¿Cómo lograron confirmar que el instalador descargado de la fuente oficial estaba comprometido?
— A partir de los registros del sistema y otros rastros digitales en las computadoras infectadas, pudimos determinar desde dónde se había descargado el archivo. Lo comprobamos con el ejemplo de varios afectados.
IntuitiveTables es un programa para organizar las mesas de poker y automatizar acciones durante el multitabling. El segundo programa comprometido, con funciones similares, es Jurojin.
A principios de octubre, los desarrolladores de Jurojin publicaron su propio informe técnico sobre el hackeo. Según sus datos, de junio de 2025 a enero de 2026 el atacante reemplazó periódicamente las actualizaciones para un grupo determinado de usuarios. La empresa detectó 92 casos distintos de distribución de archivos modificados. A veces el archivo reemplazado seguía disponible sólo durante unas horas, tras lo cual se lo sustituía por la versión normal.
Para redirigir la descarga, el atacante cambiaba una letra en la dirección del archivo en Amazon S3. Como resultado, en ciertos usuarios el programa descargaba el archivo desde otra ubicación, conservando el mecanismo de actualización habitual. Al mismo tiempo, la herramienta de acceso remoto no estaba presente en todos los archivos reemplazados.
Ruta habitual de descarga de la actualización de Jurojin (izquierda) y la modificada por el atacante (derecha)
— Los desarrolladores de Jurojin publicaron los detalles del reemplazo de su programa. ¿Qué se logró averiguar sobre el hackeo a IntuitiveTables?
— Se logró reconstruir parcialmente la secuencia de acciones del atacante, pero todavía no está claro cómo obtuvo acceso a la infraestructura del desarrollador. Los propios representantes de IntuitiveTables no hicieron declaraciones públicas.
El 3 de marzo de 2026 se compiló una versión de IntuitiveTables con un backdoor (NdR.: un mecanismo oculto para el acceso no autorizado a la computadora) que fue firmada con el certificado de firma digital válido de la propia empresa. Al menos una víctima descargó esa versión directamente del sitio oficial. Hay otro detalle importante: el programa infectado se compiló a partir de un código fuente más nuevo que el de la versión limpia anterior. Es decir, no se trata de que alguien simplemente reempaquetó un instalador viejo y le agregó un archivo malicioso. Parece que el atacante obtuvo acceso al código fuente y al proceso de confirmación de la autenticidad del programa.
El propio backdoor funcionaba de forma selectiva: comparaba el nickname del jugador con una lista de objetivos preparada de antemano e instalaba el programa de acceso remoto solo si había coincidencia. Todos los demás usuarios de esa misma versión de IntuitiveTables podían no notar absolutamente nada. Cómo se llevó a cabo exactamente la intromisión en el proceso de compilación del programa deberán aclararlo aún los propios desarrolladores y las fuerzas del orden.
— ¿Se conocen infecciones anteriores a la historia de Jurojin e IntuitiveTables?
— Sí. Según los datos de que disponemos, la infección más temprana vinculada con este atacante corresponde a noviembre de 2022. No verifiqué personalmente los casos de 2022, pero, hasta donde sé, él distribuía malware desde al menos esa fecha.
En ese momento se usaban métodos más tradicionales: el atacante penetraba en la computadora de la víctima, obtenía mediante engaños los derechos de administrador, usaba programas para robar contraseñas y una herramienta de acceso remoto disfrazada. La infección a través de software de poker empezó a usarse más tarde. Desde junio de 2025 se distribuyeron actualizaciones maliciosas mediante Jurojin, y en marzo de 2026 apareció la compilación infectada de IntuitiveTables.
Regístrese usando este enlace para acceder a los beneficios de GipsyTeam:
Bono de primer depósito aumentado
Rakeback y recargas aumentadas
Ayuda con depósitos y retiros
Acceso a freerolls cerrados
Soporte 24/7
Regístrese usando este enlace para acceder a los beneficios de GipsyTeam:
Уникальные акции от GipsyTeam
Помощь с депозитами и кешаутами
Доступ в закрытые фрироллы
Круглосуточная поддержка
Más de 100 infecciones y cientos de MB de datos de las computadoras de los jugadores
— En el primer informe hablabas de unas 30 computadoras infectadas. ¿Cuántas se han detectado ahora? ¿Y se sabe cuántos jugadores resultaron afectados?
— Todavía no hay una cifra definitiva y no se descarta que nunca la sepamos con exactitud. Ahora hay más de 100 infecciones confirmadas. Según mi estimación, la cantidad real podría estar entre 300 y 1.000.
Según datos de Jurojin, varios cientos de usuarios descargaron el archivo infectado al menos una vez. Es una estimación mínima. Por supuesto, recibir una actualización infectada no significa que la computadora realmente haya quedado infectada, pero justamente a partir de esos datos estimo la posible escala del ataque.
Sigo creyendo que a todas las víctimas se las eligió, en mayor o menor medida, de forma dirigida. Se tenía en cuenta si era un jugador conocido o un reg de high stakes y dónde jugaba: GGPoker, WPN, CoinPoker y otras plataformas. El ejemplo más evidente es el backdoor de IntuitiveTables, que se activaba solo si el nickname coincidía con la lista de objetivos.
Además, en las computadoras infectadas encontramos rastros de sesiones de acceso remoto durante las cuales se enviaban cientos de megabytes de datos. Esto encaja bastante con un escenario en el que alguien observaba el juego en tiempo real. Pero establecer en qué manos exactamente el atacante usó la información obtenida es algo que sólo pueden hacer las salas de poker: únicamente ellas saben quién estaba en las mesas en un momento concreto y pueden cotejar esos datos con la hora de las sesiones de acceso remoto. Ese es, ahora mismo, el eslabón faltante más importante de la investigación.
Por qué las salas de poker no notaban las trampas
La investigación de los jugadores depositó sus sospechas en el reg canadiense de high stakes Paul Gregg, que en GGPoker jugaba con su propio nombre.
Un mes antes de que todo el mundo del poker se enterara de los resultados de superusuario de Paul Gregg, Patrick Howard (NdR.: en el pasado reg y coach, hoy conocido como fundador de Mobius Poker) analizó 32.780 de sus manos y encontró anomalías estadísticas.
Los jugadores llevaban comentando sus manos extrañas mucho antes del descubrimiento de MeshAgent. En la entrevista con Poker-Red, traducida por GipsyTeam, Ignacio Morón recordó que los regs empezaron a compartir sospechas entre un año y medio y dos años antes del escándalo.
Y el 1° de septiembre de 2026, Patrick Howard envió a GGPoker un informe sobre las 32.780 manos de Paul Gregg. Había encontrado resultados inusuales en su juego en botes grandes con acción en el river, pero no afirmaba que fueran pruebas de trampa, sino que proponía al servicio de seguridad seguir observando al jugador. Los representantes de GG se comunicaron con él el 2 de octubre, es decir, después de que la historia se hizo pública.
— Los jugadores informaron de juego sospechoso mucho antes del escándalo y Howard envió a GG un informe aparte. ¿Cómo crees que deberían reaccionar las salas ante este tipo de denuncias?
— No puedo comentar específicamente el informe de Howard ni las acciones de GGPoker.
Pero en general considero que las salas deben tomar los avisos fundados sobre posible trampa como posibles incidentes de seguridad y no como quejas comunes y corrientes. Hay que confirmar la recepción del mensaje, conservar los datos necesarios y mantener el contacto con la persona que lo envió.
Esta historia muestra bien por qué los controles estándar pueden no funcionar. El malware estaba en las computadoras de los afectados, y la cuenta que obtenía la ventaja podía jugar desde una computadora limpia y parecer un reg común. Por eso es importante analizar el juego no solo del sospechoso, sino también de sus posibles víctimas. Por ejemplo, verificar qué cuentas se sientan con regularidad en las mismas mesas que determinados jugadores y quiénes muestran resultados inverosímilmente buenos justamente contra ellos.
En la comunidad del poker hay personas que entienden perfectamente cuándo algo va mal y dan la alarma a tiempo. Espero que en el futuro se valore más su trabajo. Hace poco también vi un proyecto interesante de un equipo vinculado a WPT para detectar superusuarios.
Es probable que WolfSec0x0 se refiera a AceGuardian Research, de A5 Labs. La empresa publicó el código abierto de herramientas para detectar juego sospechoso a partir de historiales de manos. GipsyTeam había publicado una conversación de los fundadores de A5 Labs con Joe Ingram sobre la lucha contra los bots y otros tipos de trampa.
En el podcast de Joe Ingram fueron invitados los fundadores de A5 Labs, John Andress y Thanh Tran, quienes han estado involucrados en la seguridad de los juegos online durante muchos años. Los interlocutores discutieron los tipos más comunes de fraude y descubrieron qué tipos de bots son los más peligrosos para los jugadores.
— En la entrevista con PokerRed, Ignacio Morón señaló dos problemas más: los historiales de manos de GG casi no sirven para buscar tramposos por cuenta propia, y las salas no intercambian información sobre estafadores entre sí. ¿Cómo podrían interactuar las salas y los investigadores independientes sin comprometer la privacidad?
— Si soy honesto, los sitios de poker tienen muy pocos incentivos para cooperar con investigadores externos. Por eso creo que los propios jugadores deben exigir a las salas mayor responsabilidad y transparencia.
Aun así, se puede cooperar sin riesgo para la confidencialidad. Una parte considerable de la información útil no contiene datos personales: nombres de archivos maliciosos, dominios, direcciones de servidores, métodos de ataque. Las salas y los investigadores pueden intercambiar libremente esos datos, más o menos como los bancos intercambian información sobre signos de fraude.
Si hacen falta datos de jugadores concretos, se puede obtener su consentimiento. En nuestra investigación, las personas compartieron información voluntariamente y sólo usamos sus nicknames. Los datos personales se entregaron a salas de poker, desarrolladores de software o la policía, exclusivamente con el permiso de los propios jugadores.
Las salas también podrían facilitar mucho las investigaciones independientes. Por ejemplo, usar en los historiales de manos identificadores anónimos permanentes. Así se puede estudiar el comportamiento de cuentas concretas en una muestra grande sin revelar la identidad de los jugadores. Y otra cosa evidente: las salas deben tener un contacto realmente operativo para consultas de seguridad.
— WPN presentó hace poco ScreenShield, una función que debería impedir que programas de terceros capturen las mesas de poker. ¿Qué opinas? ¿Será suficiente?
— Yo mismo no probé ScreenShield. Por lo que me contaron otras personas, oí que funciona de manera no particularmente eficaz. Probablemente esa protección ayuda contra las formas de ataque más simples y evidentes.
— ¿Y cuáles tres salas de poker consideras personalmente las más seguras hoy?
— Sin una comprensión profunda de qué medidas de seguridad usa cada plataforma, me resulta difícil armar un ranking así.
Confío más en los servicios de seguridad que ellos mismos se ponen en contacto, intentan comprender las nuevas amenazas y actúan de forma anticipada para encontrar y eliminar a los tramposos. Si tuviera que elegir una sala para jugar, prestaría atención a tres cosas: qué tan rápido reacciona la plataforma ante los avisos de jugadores e investigadores, qué tan abiertamente informa sobre los resultados de las investigaciones y si devuelve el dinero a los afectados cuando se confirma la trampa.
Tras la publicación de la investigación, los desarrolladores de Jurojin reconocieron el problema de seguridad de su software y pidieron disculpas a los usuarios. En una entrevista con PokerNews también afirmaron que las salas de poker deben asumir la responsabilidad del pago de compensaciones, ya que son ellas las que tienen los datos necesarios para investigar el juego deshonesto.
— ¿Estás de acuerdo con la postura de Jurojin? ¿Quién, en tu opinión, debe compensar las pérdidas de los jugadores?
— No soy abogado, así que no comento la cuestión de la responsabilidad legal. Pero en la práctica, veo dos caminos.
A corto plazo, las salas de poker son las que tienen más posibilidades. Solo ellas pueden determinar qué cuentas jugaron contra los afectados en los momentos en que podían estar observando sus pantallas. Las salas pueden congelar y confiscar las ganancias obtenidas de forma deshonesta y luego devolver el dinero a los afectados. Algo así ya ocurrió en historias anteriores con bots y superusuarios.
Pero si hablamos de recuperar fondos más allá de esas sumas, las mejores posibilidades están en las acciones de las fuerzas del orden contra la persona que está detrás del ataque. Aconsejo a cada afectado presentar una denuncia ante la policía e indicar al menos una estimación aproximada de las pérdidas. En EE. UU. se puede acudir al IC3; en el Reino Unido, a Action Fraud; en otros países, a las fuerzas del orden locales. Así los casos individuales podrán unirse en una investigación conjunta.
Cómo proteger tu PC y por qué la amenaza no es sólo MeshAgent
— Después de esta historia, muchos jugadores seguramente pensaron en la seguridad de sus computadoras. ¿Qué medidas consideras las más importantes?
— Ante todo, hay que dominar al menos los fundamentos de la seguridad informática. Averigüen qué programas hay instalados en su computadora, qué se ejecuta junto con Windows y si hay programas de acceso remoto que ustedes mismos no instalaron.
En esta investigación, las señales de alarma fueron el servicio Mesh Agent, herramientas de acceso remoto desconocidas y exclusiones en Windows Defender que el usuario no había agregado por su cuenta. Los asistentes de IA ayudan muy bien a entender este tipo de cosas, pero nunca ejecuten comandos ni scripts cuya finalidad no comprendan, incluso si los propone algún sitio o una persona que se presenta como empleado de soporte. Es una de las formas de infección más comunes.
Para los jugadores profesionales recomendaría usar una PC limpia aparte exclusivamente para el poker. Nada de correo electrónico, navegación común por internet, descarga de archivos ajenos, software pirata ni operaciones con criptomonedas. Y cuantos menos programas de poker adicionales tenga instalados, mejor.
Nuestra investigación mostró que ni siquiera se puede confiar sin reservas en el software habitual. Uno de los archivos infectados estaba firmado con el certificado auténtico del desarrollador y se descargó del sitio oficial. Por eso, ni la firma digital ni la fuente oficial garantizan una seguridad total. Cada programa instalado es una posible vía de ataque más.
Si juegan en los límites más altos, deben tratar las computadoras y las cuentas con la misma seriedad con que una empresa cuida su propio negocio. Usen un gestor de contraseñas, guarden las criptomonedas en una billetera de hardware, recurran periódicamente a especialistas independientes para revisar la seguridad y piensen de antemano qué hacer si de todos modos los hackean.
Si ya se detectó una infección, hay que actuar desde otro dispositivo, indudablemente limpio. Primero cambien la contraseña del correo electrónico y cierren todas las sesiones activas, luego hagan lo mismo con el resto de las cuentas. Después limpien por completo la computadora y reinstalen Windows.
— Si miramos más ampliamente, ¿qué amenaza a la seguridad del poker online es la que más te preocupa?
— Temo que historias como esta se repitan, y cada vez con más frecuencia. La inteligencia artificial les facilita mucho a los atacantes desarrollar y llevar a cabo este tipo de ataques.
Otro problema serio es la seguridad del software de terceros. Los jugadores profesionales usan muchos programas: HUD, gestores de mesas, trackers, solvers. Además, suelen funcionar con derechos plenos de administrador y con frecuencia los desarrollan equipos muy pequeños. Basta con comprometer uno de esos programas para obtener acceso a los equipos de trabajo de cientos de jugadores de high stakes. En nuestro caso, el atacante usó dos herramientas distintas.
También encontramos en la infraestructura del atacante dominios falsos muy parecidos a los sitios de programas de poker conocidos. Por ejemplo, hand2note[.]org en lugar del verdadero hand2note.com. También había una dirección falsa de PioSolver en la que se usaba la letra latina ı sin punto.
Dominios falsos de la lista publicada por Jurojin
Por eso, mi consejo es simple: verifiquen siempre con atención la dirección del sitio antes de descargar cualquier cosa.
Puedes revisar tu computadora para saber si tienes instalado Mesh Agent con Jurojin Mesh Check (el enlace, al hacer clic, inicia de inmediato la descarga desde el sitio oficial de Jurojin).
La ausencia de rastros de intrusión no garantiza que la computadora no haya sido infectada. Si hay motivos serios para sospechar un hackeo, los desarrolladores de Jurojin recomiendan reinstalar Windows por completo.
Soporte GipsyTeam
Te ayudaremos a resolver cualquier duda sobre poker
Responderemos dentro de los próximos 10 minutos
24 horas al día, 7 días a la semana
Te ayudaremos a resolver cualquier duda sobre poker
Serás capaz de dejar comentarios, calificar posteos, participar en discusiones y de mejorar tu nivel de juego.
Si prefieres una baraja de cuatro cartas y quieres apagar las animaciones de avatar, esas opciones están en los ajustes de tu perfil.
Los favoritos, el backing y otras herramientas convenientes del sitio estarán disponibles para usted.
En cada página verás donde aparecerán los nuevos posteos y comentarios.
Si te registras con las salas de GipsyTeam, recibirás estadísticas de rake, puntos de bonus para compras en la tienda, promociones exlclusivas y soporte extendido.
