Ciberseguridad

En plena etapa dorada de la inteligencia artificial, no es de extrañar que los cibercriminales estén adaptando sus estrategias para aprovechar el entusiasmo global de los usuarios por estas herramientas. La última amenaza detectada responde al nombre de Noodlophile Stealer, un ladrón de información mediante malware que se propaga a través de plataformas falsas y editores de generación de contenido con IA, especialmente diseñadas para seducir a creadores, pequeños negocios y entusiastas del vídeo.

Según la firma Morphisec, la campaña ya ha alcanzado a más de 62.000 personas, tan solo en una de sus publicaciones más virales en Facebook, lo que muestra el alcance masivo y la peligrosidad del ataque.

¿Cómo funciona el engaño?

Los atacantes han dejado atrás métodos tradicionales como el phishing por correo electrónico o el uso de software pirateado. En su lugar, han creado páginas falsas extremadamente convincentes, aparentando ofrecer herramientas IA para crear vídeos, logos, imágenes o sitios web. Entre los nombres utilizados están Luma Dreammachine AI, Gratistuslibros y otras variaciones que suenan tecnológicamente sofisticadas y fiables.

Estas páginas se promocionan con fuerza en grupos de Facebook, campañas virales e incluso anuncios patrocinados. Al hacer clic, el usuario es redirigido a un sitio que imita servicios legítimos, como CapCut AI, y se le pide subir contenido para “procesarlo con IA”.

La trampa se activa cuando se ofrece la descarga del supuesto contenido generado. En lugar del archivo prometido, el usuario se lleva a casa un ZIP malicioso llamado VideoDreamAI.zip, que contiene un ejecutable disfrazado como archivo multimedia: Video Dream MachineAI.mp4.exe.

Una cadena de infección multietapa

Detrás de esta fachada se esconde una sofisticada cadena de infección:

1. El usuario ejecuta el archivo .exe creyendo que se trata de un vídeo generado.

2. Este ejecutable, basado en C++, inicia una copia legítima de CapCut.exe para camuflar la actividad maliciosa.

3. Paralelamente, se ejecuta un cargador en .NET llamado CapCutLoader, que descarga desde internet un binario Python (srchost.exe).

4. Finalmente, este carga el Noodlophile Stealer, que comienza a recolectar datos sensibles del sistema.

La información robada incluye:

• Credenciales de navegadores

• Monederos de criptomonedas

• Archivos personales

• Historial de navegación

En algunos casos, el malware también despliega XWorm, un troyano de acceso remoto (RAT) que permite al atacante controlar el equipo infectado mediante técnicas como la inyección de shellcode o el process hollowing en procesos legítimos como RegAsm.exe.

Una campaña con sello vietnamita

Las investigaciones apuntan a que el desarrollador de Noodlophile es de origen vietnamita. En su perfil de GitHub, creado el 16 de marzo de 2025, se autodefine como un “desarrollador apasionado de malware”. Esta campaña encaja en el modelo de Malware como Servicio (MaaS), donde herramientas como Noodlophile se comercializan en foros clandestinos para que otros actores las usen con fines delictivos.

Vietnam, por cierto, ya ha sido identificado anteriormente como un epicentro de operaciones similares, especialmente aquellas dirigidas a usuarios de Facebook.

El éxito de esta campaña se explica en parte por el uso estratégico de Facebook como vector de distribución. A diferencia de correos de phishing o webs poco fiables, los atacantes se escudan en grupos activos, páginas visualmente pulidas y publicaciones virales que inspiran confianza.

Meta ya había advertido sobre esta tendencia en 2023, cuando eliminó más de 1.000 URLs maliciosas relacionadas con estafas basadas en el nombre de ChatGPT. Aquella campaña, aunque distinta, sentó las bases para esta evolución centrada ahora en la edición de contenido visual.

¿Qué hace tan peligroso a Noodlophile?

Además del engaño bien diseñado, Noodlophile cuenta con varias técnicas avanzadas para evadir detección:

• Cargas cifradas y codificadas en Base64

• Archivos protegidos con contraseña

• Ejecución en memoria (fileless malware)

• Persistencia mediante claves del registro de Windows

• Verificación de conexión a internet (pings a Google)

La combinación de estas tácticas lo convierte en un malware sigiloso, modular y adaptable, que puede pasar desapercibido por muchas soluciones antivirus convencionales.