Ciberseguridad

En la carrera por adoptar herramientas de inteligencia artificial, usuarios de todo el mundo se están convirtiendo, sin saberlo, en blanco fácil de una nueva ola de ciberataques. Ciberdelincuentes están aprovechando el interés creciente por plataformas como OpenAI ChatGPT o InVideo AI para distribuir malware a través de instaladores falsos, según un informe publicado por Cisco Talos.

La estrategia es simple, pero eficaz: se crean sitios web que aparentan ofrecer versiones gratuitas o premium de estas aplicaciones de IA, y en realidad están diseñados para infectar los equipos con variantes de ransomware y programas maliciosos diseñados para el robo de datos o incluso la inutilización completa del sistema.

El gancho: apps de IA popular y descargas gratuitas

Una de las técnicas empleadas es la optimización en motores de búsqueda (SEO poisoning). Los atacantes registran dominios falsos como novaleadsai[.]com, con nombres que imitan plataformas legítimas como NovaLeads, y los posicionan artificialmente en buscadores. Una vez que los usuarios llegan al sitio, se les invita a descargar el software con promesas como “un año gratuito” y suscripciones mensuales económicas. Lo que realmente descargan es un archivo .ZIP que contiene el ejecutable NovaLeadsAI.exe, compilado el mismo día en que se creó el dominio.

Este archivo actúa como cargador del ransomware CyberLock, desarrollado en PowerShell, que encripta archivos específicos de los discos C:, D:\ y E:. Si el programa no cuenta con privilegios administrativos, intenta escalar privilegios para ejecutarse con derechos elevados.

Tras cifrar los archivos, deja una nota de rescate exigiendo un pago de 50.000 dólares en Monero a dos carteras distintas, con una ventana de solo tres días.

Lucky_Gh0$t: ransomware camuflado como instalador de ChatGPT

Otra táctica documentada por Cisco Talos involucra un instalador falso de ChatGPT Premium, que contiene la variante de ransomware Lucky_Gh0$t, parte de la familia Yashma/Chaos, una serie conocida por sus múltiples iteraciones.

En este caso, el archivo malicioso, denominado dwn.exe, simula ser el ejecutable legítimo de Windows dwm.exe. El paquete también incluye herramientas reales de inteligencia artificial de código abierto disponibles en el repositorio GitHub de Microsoft, lo que le da mayor credibilidad ante víctimas menos técnicas.

Al ejecutar el archivo, el ransomware elimina las copias de seguridad del sistema y cifra archivos menores de 1,2 GB, dejando una nota de rescate con un ID único y solicitando contacto a través de la app de mensajería cifrada Session para pagar y obtener el descifrador.

Numero: malware destructivo disfrazado de herramienta de IA para vídeo

El tercer malware analizado en esta campaña es Numero, una amenaza destructiva que se distribuye como instalador falso de InVideo AI, una plataforma popular para la creación automática de vídeos con inteligencia artificial.

El instalador, en este caso, es un dropper que contiene tres componentes: un archivo por lotes de Windows, un script en Visual Basic y el ejecutable de Numero. Una vez lanzado, el batch se ejecuta en bucle infinito, reiniciando el malware tras pausarlo durante 60 segundos. Este comportamiento permite que Numero se mantenga activo continuamente, incluso si se intenta interrumpir su funcionamiento.

Escrito en C++, el malware verifica la presencia de herramientas de análisis de malware y depuradores. Una vez activado, destruye la interfaz gráfica de usuario de Windows, sobrescribiendo los elementos del escritorio con la secuencia numérica «1234567890», haciendo que el equipo se vuelva inutilizable.

El fenómeno no se limita a páginas web falsas. Un informe reciente expone una campaña de malvertising en Facebook y LinkedIn, donde los atacantes usan anuncios pagados para redirigir a los usuarios a sitios fraudulentos que simulan ser herramientas legítimas como Luma AI, Canva Dream Lab o Kling AI.

Una vez que el usuario accede y proporciona un texto para generar un vídeo (una función falsa), el sitio inicia la descarga del dropper STARKVEIL, escrito en Rust. Este es solo el primer paso en una cadena de infección modular.