Los ciberdelincuentes están aprovechando el interés por las herramientas de inteligencia artificial para distribuir malware y obtener beneficios de los recursos informáticos de sus víctimas. Una campaña reciente combina aplicaciones falsas, páginas alojadas en GitHub y técnicas de posicionamiento malicioso en buscadores.
Investigadores de Check Point Research (CPR) han seguido la actividad durante dos meses. Según su análisis, los atacantes crearon supuestos clientes descargables para GPT-5.6 Sol, GPT-6 Astra y Claude Opus, y los alojaron en GitHub. Aunque no se esforzaron en hacer que las páginas parecieran populares mediante reseñas o cifras infladas de descargas, los investigadores observaron que aparecían entre los primeros resultados de Google para determinadas búsquedas.
## Posicionamiento en buscadores como señuelo
El envenenamiento SEO consiste en manipular los resultados de los buscadores para que páginas maliciosas aparezcan en posiciones destacadas. Una táctica habitual es difundir numerosos artículos, publicaciones de blog y mensajes en redes sociales que enlazan a un sitio concreto. Esos enlaces pueden hacer que la página parezca relevante para ciertos términos y atraer a personas que buscan un programa legítimo.
En esta campaña, los atacantes también crearon páginas de GitHub con descripciones de las supuestas aplicaciones y enlaces directos a sus instaladores. La proliferación de herramientas de inteligencia artificial generativa puede facilitar la creación de grandes cantidades de contenido promocional de baja calidad, lo que añade un reto a la hora de detectar y filtrar este tipo de campañas.
Quienes descargan y ejecutan los archivos creyendo que obtienen un cliente de IA reciben, en realidad, un malware denominado Yoba. Este programa establece persistencia para ejecutarse automáticamente cada vez que se reinicia el equipo y se presenta como software legítimo de Windows, lo que puede dificultar su detección por parte de usuarios sin experiencia.
Yoba también comprueba el entorno en el que se ejecuta para evitar determinados sistemas de análisis y posibles víctimas. Según CPR, puede retrasar su ejecución hasta dos semanas y examina la distribución del teclado para no infectar equipos configurados para Rusia, Bielorrusia, Kazajistán y Uzbekistán. Los investigadores no identificaron el origen de los atacantes; ese filtro, por sí solo, no permite confirmarlo.
## De Yoba a la minería de Monero
En la fase final, el malware se comunica con un servidor de mando y control para descargar una carga adicional. Aunque esta etapa podría utilizarse para instalar distintos tipos de amenazas, CPR informó de que la campaña estaba desplegando XMRig, un programa legítimo y de código abierto para minar la criptomoneda Monero.
XMRig se utiliza en actividades delictivas porque permite aprovechar la capacidad de procesamiento de equipos ajenos. La minería consume recursos informáticos y electricidad; cuando se instala en numerosos dispositivos sin autorización, los atacantes obtienen las ganancias mientras las víctimas pueden notar una menor velocidad del sistema y un aumento del consumo energético.
Para reducir el riesgo, conviene descargar aplicaciones únicamente desde los sitios oficiales de sus desarrolladores, comprobar cuidadosamente el dominio y el editor del instalador y desconfiar de resultados patrocinados o páginas que prometan versiones no oficiales de herramientas populares. La presencia de un archivo en GitHub no garantiza que sea legítimo. También es recomendable mantener actualizado el software de seguridad y revisar cualquier alerta o comportamiento inusual del equipo.
from Latest from TechRadar https://ift.tt/VBXnWZ7
via IFTTT IA
