Start Grinding for FREE!
Este es un relato un poco más técnico de cómo funcionó la brecha de seguridad. Está acá para que cualquiera pueda seguirlo: qué hace una actualización normal, qué se cambió y cómo sabemos que la actualización que la gente recibe ahora no está comprometida.
Podemos confirmarlo porque Amazon S3 conservó cada subida anterior. Las comparamos todas. El archivo que esa dirección sirve hoy es un build normal. Las subidas comprometidas están solo en el historial detrás, y ese historial es lo que las fecha.
Dos trucos separados. Uno cambió qué zip descargaba un grupo. El otro cambió qué había dentro de ese zip. El launcher firmado no tuvo que cambiar.
El nombre de grupo de abajo es un ejemplo. No es el nombre real.
Una actualización normal y la alterada
Las dos columnas son la misma secuencia. El nombre de grupo de abajo es un ejemplo. Un grupo es una etiqueta en la cuenta, y quienes están en él comparten una dirección de descarga. Ese nombre, y la dirección que usa el instalador, se guardan por separado. Las actualizaciones oficiales escriben la dirección legítima.
La columna alterada cambia una letra de esa dirección, de una N mayúscula a una n minúscula. Amazon S3 las trata como dos rutas distintas y sirve la que coincide con el URI guardado en el grupo. launcher.exe sigue arrancando el archivo llamado JurojinUI.exe, así que nunca hizo falta un build nuevo. Dentro del zip manipulado ese archivo es un reemplazo: instala Mesh en ese momento desde ProcessCommunicator.exe, un nombre que en un zip normal pertenece a un helper firmado y legítimo.
cuenta en el grupo NorthstarNorthstar → URI en S3versions/Northstar/Jurojin.zipGET versions/Northstar/Jurojin.zipstart JurojinUI.exeJurojinUI.exe · firmado · megabytesJurojinUI.exeGrande y firmado. Esta es la app que se abre.ProcessCommunicator.exeUn helper legítimo. Firmado.Jurojin.exeNo está en este zip.el nombre del grupo sigue siendo NorthstarNorthstar → URI en S3versions/northstar/Jurojin.zipGET versions/northstar/Jurojin.zipstart JurojinUI.exeJurojinUI.exe · menos de 1 MB · sin firmarJurojinUI.exeEl reemplazo. Corre ahora, instala Mesh y arranca la app real.ProcessCommunicator.exeEn un zip limpio este nombre es el helper firmado legítimo. Acá el instalador de Mesh sin firmar estaba escondido bajo el mismo nombre.Jurojin.exeLa app real, todavía firmada, se abría con este otro nombre.Se encendía y apagaba para que el grupo se viera normal
No dejaron el zip manipulado en su lugar. Movían cuentas al grupo y las sacaban, y el URI del grupo volvía a la ruta original. Al mirar el grupo después se veía la dirección normal y otro conjunto de personas. Por eso no llamaba la atención.
S3 conservó cada subida en la ruta alterada. Desde el 11 de junio de 2025 hasta el 28 de enero de 2026 subía un zip manipulado, después lo reemplazaba uno limpio, y después subía otro manipulado. Son 92 ventanas, no un bloque único. Sumadas, el archivo manipulado era lo que un cliente descargaba durante 72,7 días. Durante 158 días de ese mismo tramo el archivo vigente era un build normal.
grupo Northstarversions/northstar/Jurojin.zipversions/Northstar/Jurojin.zipEl último archivo se dejó limpio
La versión vigente en la dirección alterada es un build legítimo: un JurojinUI.exe grande y firmado, y ningún Jurojin.exe renombrado. Si solo se mira el archivo que está ahora, la dirección parece ordinaria. Las subidas manipuladas siguen en el historial de versiones detrás. Ese historial es lo que muestra las fechas, cuáles subidas estaban manipuladas y de qué tipo era cada una.
Cómo se instaló la herramienta de acceso remoto
Llegó a quien estuviera en el grupo y se actualizara mientras un paquete que la contenía era el archivo vigente. No revisaba nicks de póker. La variante de IntuitiveTables de esta operación sí lo hacía, hasta donde sabemos. Esta no.
Que te sirvan un paquete manipulado no es lo mismo que el dispositivo termine con la herramienta. No todos los zip manipulados la contenían, y no todos en el grupo se actualizaron durante una de esas ventanas.