Los ciberdelincuentes están aprovechando el creciente interés por los agentes de inteligencia artificial (IA) para engañar a usuarios y conseguir que instalen programas maliciosos capaces de robar credenciales y fondos de monederos de criptomonedas, según el último informe de HP Wolf Security.
El informe, elaborado tras analizar millones de dispositivos entre abril y junio, identificó tres campañas recientes. Entre ellas destaca el uso de falsos agentes de IA para operaciones con criptomonedas, además de ataques de suplantación mediante códigos QR y nuevas herramientas diseñadas para ampliar la distribución de programas maliciosos.
Una de las campañas promovía un sitio denominado “tradingclaw”, presentado como un asistente de IA capaz de supervisar carteras y realizar operaciones de criptomonedas. En realidad, la plataforma distribuía Needle Stealer, un programa malicioso que busca extensiones de monederos instaladas en los navegadores.
Una vez identificadas extensiones como Coinbase y MetaMask, el programa las sustituye por imitaciones maliciosas. Cuando las víctimas introducen sus credenciales, los atacantes pueden obtenerlas y utilizarlas posteriormente para apropiarse de los fondos almacenados en sus monederos.
Patrick Schläpfer, investigador principal de HP Security Lab, advirtió que los atacantes «están aprovechando la adopción de herramientas de IA agéntica para desarrollar nuevos señuelos que engañan a los usuarios y les llevan a descargar ‘software’ malicioso que parece legítimo». Esto provoca que la distribución de programas maliciosos «sea más sofisticada y difícil de detectar».
HP también detectó el uso de Phantom Gate, una herramienta empleada para ampliar campañas de Phantom Stealer, enfocadas en obtener credenciales y datos financieros. Schläpfer señaló que estas nuevas herramientas reflejan «la expansión del panorama de amenazas», al permitir crear «cadenas de infección peligrosas» y aumentar «el riesgo de que las organizaciones se vean comprometidas».
Otra modalidad utiliza documentos PDF con contenido aparentemente bloqueado que solicitan escanear un código QR desde el teléfono para acceder a la información. El código dirige a las víctimas hacia páginas fraudulentas diseñadas para obtener sus credenciales, trasladando el ataque desde computadoras hacia dispositivos móviles que pueden disponer de menores medidas de protección.
Los datos de HP indican que al menos 10 % de las amenazas recibidas por correo electrónico y detectadas por HP Sure Click lograron evadir uno o más filtros de seguridad. Los archivos ejecutables representaron 40 % de los mecanismos utilizados para distribuir programas maliciosos, seguidos por archivos comprimidos con 38 % y documentos PDF con 7.5 %. Ante estas técnicas, la compañía recomienda a las organizaciones aplicar esquemas de seguridad basados en aislamiento y contención.