Antidetect gratuito de GitHub: cómo verificar la compilación antes de usar un proxy

En otoño de 2026, en GitHub aparece casi cada semana un nuevo "anti-detección gratuito de código abierto": un fork de Chromium con suplantación de huellas digitales, un gestor de perfiles, un wrapper para Playwright para agentes de IA. La tentación es comprensible: un anti-detección de pago para 50-100 perfiles cuesta decenas de dólares al mes, y aquí es gratis. Pero le entregas a dicho programa lo más valioso: inicios de sesión de proxies, cookies de cuentas de trabajo, a veces accesos a cuentas publicitarias y billeteras. A continuación, una verificación paso a paso que vale la pena realizar antes de que el primer perfil vea tus proxies.

Por qué no es paranoia: lo que sucede en GitHub en 2026

GitHub se ha convertido en este año en un canal de entrega de malware completamente funcional. Varias campañas documentadas muestran cómo se ve esto en la práctica:

• Clones de proyectos populares. Operación SmartLoader + StealC: 109 repositorios falsos en 103 cuentas. Los delincuentes copiaron la estructura y el README de proyectos reales, y en lugar de los códigos fuente, colocaron un botón "descargar ZIP" con un cargador y un infostealer. La campaña duró más de siete semanas.
• Velocidad de reacción. Los repositorios falsos de DeepSeek TUI aparecieron en un plazo de cuatro horas después del anuncio oficial de la herramienta. Todo lo que está de moda se clona casi instantáneamente.
• Código oculto. La campaña GlassWorm (más de 433 componentes infectados en GitHub, npm, VS Code Marketplace y OpenVSX) ocultaba lógica maliciosa en caracteres Unicode invisibles, que no son visibles al ver el diff normalmente.
• Proxy-bot incluido. En la falsa "filtración" de Claude Code y las falsificaciones de DeepSeek TUI, junto con el stealer Vidar, se instalaba GhostSocks: un malware que convierte la computadora de la víctima en un proxy SOCKS5.

El último punto es especialmente desagradable para nuestra audiencia. GhostSocks, según Infrawatch, se distribuye en conjunto con el stealer LummaC2 y se vende como un servicio: envuelve un túnel en TLS y le da al arrendatario una IP "limpia" de la máquina infectada. Es decir, un anti-detección "gratuito" no solo puede robar tus cuentas, sino también convertir tu propia IP en un nodo de salida de un botnet ajeno. En un par de semanas, te sorprenderás de por qué tu dirección doméstica terminó en bases de datos de spam.

Cómo se diferencian los anti-detección de código abierto entre sí

Antes de verificar una compilación específica, es útil entender a qué tipo pertenece, ya que esto determina qué es lo que hay que observar.

• Parches a nivel de motor. Ejemplo: Camoufox: una compilación de Firefox donde la huella digital (navegador, pantalla, WebGL, fuentes, zona horaria, WebRTC) se sustituye en código C++, y no mediante inyección de JS. El repositorio oficial es daijro/camoufox, el paquete en PyPI se llama camoufox. Un detalle importante: según el propio proyecto, el código fuente se volvió completamente abierto solo a partir de la versión v146; en las versiones v135.0.1-beta.24 y anteriores había componentes cerrados. En 2026, el proyecto tuvo un largo período sin soporte, y los analistas de Centinel lo detectaron en el benchmark de septiembre de Camoufox.
• Wrappers sobre Chrome normal. undetected-chromedriver, modo UC en SeleniumBase. Son transparentes por sí mismos, pero funcionan cada vez peor contra Cloudflare, DataDome y Kasada: principalmente ajustan la capa de JavaScript.
• Nuevos forks de Chromium con binarios listos. El grupo más arriesgado: un proyecto con varias decenas de estrellas que ofrece descargar un .exe o .dmg de más de 200 MB. Verificar que el binario esté construido a partir del código publicado no puede hacerlo un usuario común.

Verificación paso a paso antes de la instalación

Paso 1. Asegúrate de que es el original, no un clon

1. Encuentra el proyecto desde el sitio oficial o desde la documentación, no desde la búsqueda en GitHub. Los clones a menudo tienen el mismo nombre y copian el README.
2. Compara la fecha de creación del repositorio, el número de commits y autores. Un clon generalmente se crea recientemente, tiene 1-3 commits ("Initial commit", "Update README"), y las estrellas son infladas en unos pocos días.
3. Mira los Issues y Discussions. Un proyecto vivo tiene informes de errores de diferentes personas y respuestas del mantenedor. Issues cerrados en un proyecto "popular" son una bandera roja.
4. Los forks del tipo nombre-aleatorio/camoufox no son iguales al original, incluso si en la descripción se indica "oficial".

Paso 2. Verifica de dónde proviene el binario

1. El enlace de descarga debe llevar a la pestaña Releases del mismo repositorio, y no a un servicio de intercambio de archivos, Google Drive o un "espejo" en el README. El botón "Download ZIP" en la descripción es el mismo truco de la campaña SmartLoader.
2. Verifica si el lanzamiento se compila a través de GitHub Actions desde código público. ¿Hay un flujo de trabajo de compilación, coinciden las etiquetas? Si el proyecto publica certificaciones de compilación, verifícalas con el comando gh attestation verify.
3. Compara la suma de verificación del archivo (SHA-256) con la indicada en el lanzamiento. Si no se indican sumas, es motivo de sospecha, no de omitir el paso.
4. Sube el archivo a VirusTotal. Cero detecciones no garantiza nada: los stealer recientes suelen estar limpios en los primeros días. Pero las detecciones con etiquetas de stealer, Lumma, Vidar o proxy son motivo para detenerse de inmediato.

Paso 3. Lee el código donde esconden sorpresas

No es necesario leer todo Chromium. Basta con los puntos a través de los cuales el programa accede a la red y ejecuta algo:

• scripts de instalación y post-instalación (postinstall en package.json, setup.py, install.sh, scripts de PowerShell);
• módulo de "actualizaciones" y "telemetría": a dónde van las solicitudes y qué se transmite;
• cualquier acceso a URL externas, cadenas base64, carga de código desde una dirección remota y su ejecución;
• caracteres invisibles: pasa los códigos fuente a través de una búsqueda de caracteres fuera de ASCII. Así se ocultó GlassWorm.

Si el proyecto es un "launcher" que descarga el motor desde su propio servidor en el primer lanzamiento, los códigos fuente del launcher casi no dicen nada sobre lo que tendrás en tu disco.

Paso 4. Primer lanzamiento — solo en un sandbox

1. Ejecuta el programa en una máquina virtual separada o en un VPS limpio sin tus datos de trabajo.
2. No conectes proxies y cuentas de trabajo. Para la primera ejecución, basta con un proxy de prueba con un bajo volumen de tráfico.
3. Mira las conexiones de red del proceso (Little Snitch, Wireshark, netstat/ss). El anti-detección necesita conexiones a los sitios que abres y a tu proxy. Conexiones constantes a IP y puertos desconocidos, especialmente conexiones entrantes o sesiones TLS "colgantes" a una misma dirección, son un signo de un backdoor o proxy-bot.
4. Verifica el inicio automático y el programador de tareas después de la instalación: ¿aparecieron nuevos servicios, tareas cron o LaunchAgents que no instalaste?

Paso 5. Verifica que la huella digital no te delate

Un anti-detección honesto, pero malo, también es peligroso — simplemente de otra manera: las cuentas son baneadas debido a inconsistencias. Pasa el perfil por varios verificadores y asegúrate de comprobar las filtraciones de red. El orden detallado lo discutimos en el material "Filtraciones de WebRTC y DNS: 7 verificaciones antes de ingresar al perfil". Mínimo para cualquier nueva compilación:

• WebRTC no debe devolver la IP local y la IP externa real, solo la IP del proxy;
• Las solicitudes DNS deben ir a través del proxy, no a través del proveedor;
• la zona horaria, el idioma y la geolocalización deben coincidir con el país del proxy;
• User-Agent y Client Hints deben corresponder a la versión real del motor (un fork en Chromium 151 que se presenta como Chrome 153, es detectado de inmediato).

Trampas que se olvidan

• Licencia. "Código abierto" no siempre significa "puede usarse para negocios". Por ejemplo, Damru tiene licencia PolyForm Noncommercial: el uso comercial no está permitido.
• Proyectos abandonados. Un anti-detección sin actualizaciones se vuelve obsoleto en meses: la versión base del navegador se queda atrás, los detectores aprenden de sus artefactos. La historia de Camoufox muestra que incluso un proyecto fuerte puede quedar fuera de la carrera durante un año.
• Sincronización de perfiles "en la nube". Si una compilación gratuita ofrece almacenamiento en la nube para perfiles, tus cookies y contraseñas de proxies están en un servidor ajeno. Averigua de quién es exactamente.
• Claves y contraseñas de proxies en texto claro. Muchos gestores caseros almacenan inicios de sesión de proxies en JSON sin cifrar junto al perfil. El stealer los recogerá primero.
• Anti-detección de pago hackeados. Los "crackeados" Multilogin, Dolphin y similares son un cebo clásico para stealers. Esto es peor que cualquier código abierto: no hay código en absoluto, y el distribuidor sabe de antemano que la víctima trabaja con cuentas.

Qué proxies dar a un nuevo anti-detección

Separa la prueba del trabajo. En la etapa de verificación, utiliza un proxy separado con un mínimo de tráfico restante: si la compilación resulta ser maliciosa, perderás centavos, no un grupo de trabajo. Para perfiles de producción, necesitas proxies que no arruinen la huella digital: los proxies residenciales ofrecen IP de proveedores domésticos y son adecuados para la mayoría de los escenarios de multi-cuentas, mientras que para redes sociales y cuentas publicitarias con un fuerte anti-fraude funcionan mejor los proxies móviles con direcciones de operadores de telecomunicaciones.

Una regla adicional: para cada nueva herramienta, un subcuenta o un inicio de sesión de proxy propio. Si el programa resulta tener "sorpresas", cambiarás una contraseña y no recordarás dónde más introdujiste la común. El mismo principio de aislamiento de secretos salvó a equipos de campañas como Flooding Dropper en npm, que cazaban precisamente las credenciales de equipos de scraping de proxies.

Lista de verificación corta

1. Encontré el proyecto a través del sitio oficial, no a través de la búsqueda; no es un clon ni un fork aleatorio.
2. El binario está en Releases, se compiló en CI, la suma de verificación coincide.
3. Revisé los scripts de instalación, actualizaciones y telemetría, busqué caracteres invisibles.
4. El primer lanzamiento — en una máquina virtual, con un proxy de prueba, bajo supervisión de la red y el inicio automático.
5. La huella digital pasó las verificaciones de WebRTC, DNS, zona horaria y Client Hints.
6. La licencia permite mi uso, el proyecto se actualizó en los últimos meses.
7. Para la nueva herramienta — inicios de sesión de proxy separados.

Conclusión

Un anti-detección gratuito de GitHub puede ser una excelente herramienta, pero solo después de la verificación. En 2026, los atacantes clonan repositorios de tendencia en horas, ocultan código en caracteres invisibles y colocan proxies-bots junto a los stealers, que convierten tu computadora en un nodo de salida ajeno. Media hora de verificación con la lista de verificación cuesta menos que un conjunto de cookies robadas de una cuenta publicitaria. Y un proxy de prueba separado con un bajo volumen de tráfico hace que tal verificación sea casi gratuita.