Una campaña de software malicioso denominada Yoba utiliza falsos instaladores de herramientas de inteligencia artificial (IA), como ChatGPT y Claude, para infectar las computadoras de los usuarios sin que estos adviertan la presencia de archivos peligrosos, según una investigación de Check Point Research.
La división de Inteligencia de Amenazas de Check Point Software Technologies explicó que los ciberdelincuentes aprovechan el creciente interés por estas plataformas para crear repositorios y páginas fraudulentas en GitHub, utilizando nombres asociados con modelos de OpenAI y Anthropic, como ‘GPT-5.6 Sol’ o ‘Claude Opus’.
Los atacantes recurren a una técnica conocida como envenenamiento de motores de búsqueda, denominada ‘SEO poisoning’, para posicionar sus páginas entre los resultados de internet y conseguir que los usuarios descarguen instaladores que aparentan pertenecer a las compañías desarrolladoras de estas herramientas.
Sin embargo, la investigación aclaró que los sistemas informáticos de OpenAI y Anthropic no fueron comprometidos. Los delincuentes utilizan archivos ejecutables auténticos, firmados digitalmente por ambas empresas, para introducir una biblioteca maliciosa de enlace dinámico (DLL) que termina infectando los dispositivos.
El procedimiento utiliza una técnica denominada ‘DLL Sideloading’, mediante la cual el programa legítimo carga un archivo malicioso adicional. Este mecanismo permite evadir algunas medidas de protección que normalmente detectan amenazas durante la instalación de programas informáticos.
Check Point Research detalló que Yoba también verifica la configuración regional del equipo y los permisos de administrador antes de ejecutar sus operaciones, con el propósito de dificultar su identificación mediante análisis automatizados. Posteriormente, establece tareas programadas que le permiten permanecer activo y esperar instrucciones para descargar nuevos componentes maliciosos.
Para desarrollar sus ataques, el programa utiliza servicios legítimos de internet, entre ellos Telegram, desde donde obtiene información de dominio mediante la imagen de perfil de un canal. También consulta el servicio DNS-over-HTTPS de Google para recuperar registros TXT cifrados y utiliza plataformas de almacenamiento como Catbox para descargar archivos ejecutables adicionales.
Los investigadores advirtieron que una infección de YobaLoader debe considerarse un compromiso completo de la seguridad del equipo, debido a su capacidad para ejecutar programas y secuencias de comandos en PowerShell. Ante este riesgo, recomendaron descargar ChatGPT y Claude únicamente desde los canales oficiales de sus desarrolladores, limitar los permisos de administración y utilizar herramientas de seguridad capaces de bloquear comunicaciones maliciosas durante las distintas etapas de un ataque.
Deja una respuesta