- Crean paginas clonadas con publicidad pagada en motores de busqueda populares.
- Aprovechan instaladores con certificados digitales robados para eludir antivirus comunes.
- Descargan ladrones de informacion (infostealers) como Lumma y RedLine en segundo plano.
- Recomiendan descargar programas unicamente desde los dominios verificados de los creadores.
El vertiginoso auge y la alta demanda corporativa de soluciones de inteligencia artificial generativa estan siendo explotados por redes internacionales de cibercrimen mediante la distribucion masiva de apps falsas de ChatGPT y programas clonados de Claude. La campana persigue infectar computadoras personales y terminales de trabajo empresariales con ladrones de informacion altamente sofisticados.
El vector inicial de ataque comienza con el posicionamiento de anuncios fraudulentos en los primeros resultados de los motores de busqueda mas utilizados. Cuando un usuario desprevenido busca versiones descargables de escritorio para optimizar su productividad laboral, es redirigido a sitios clonados con un diseno visual identico al de las empresas oficiales como OpenAI o Anthropic.
Al hacer clic en descargar, el sistema entrega un instalador ejecutable empaquetado que incorpora firmas digitales legitimas sustraidas a empresas desatendidas. Gracias a estos certificados validos, las apps falsas de ChatGPT logran eludir los analisis heuristicos de los antivirus basados en firmas y los filtros SmartScreen de los sistemas operativos comerciales mas extendidos.
Este escenario de engano digital refuerza las alertas sobre los riesgos emergentes en el empleo de herramientas de IA, demostrando que el desconocimiento tecnico sobre las vias autorizadas de acceso a estas plataformas puede causar graves perjuicios financieros y operacionales.
Estrategias de distribucion de las apps falsas de ChatGPT
El reporte analitico divulgado por The Hacker News revela que el ejecutable malicioso actua como un cargador silencioso que instala troyanos conocidos de la familia Lumma Stealer, Vidar y RedLine. Estos programas maliciosos barren en segundos los navegadores web para extraer contraseñas guardadas, cookies de sesion activa, billeteras de criptomonedas y credenciales de acceso a redes privadas virtuales de empresas.
Frente a este peligro, autoridades de ciberdefensa de CISA instan a las organizaciones a bloquear la instalacion de software por parte de usuarios finales que no cuente con la autorizacion expresa de los departamentos de soporte y tecnologia, adoptando politicas estrictas de lista blanca de aplicaciones.
Los expertos recomiendan a los equipos tecnicos monitorizar llamadas inusuales a traves de PowerShell o comandos de Windows Management Instrumentation (WMI), mecanismos utilizados habitualmente por estos troyanos para afianzar su persistencia en el registro del sistema tras reiniciar la maquina.
Se reitera a la comunidad de usuarios que las herramientas de inteligencia artificial oficiales operan prioritariamente mediante interfaces web verificadas y que cualquier archivo de instalacion debe provenir estrictamente de tiendas de aplicaciones oficiales o dominios autenticados directamente por los desarrolladores.
Las investigaciones forenses revelaron que los actores maliciosos adquieren empresas fantasmas abandonadas o vulneran sistemas de desarrollo de software para robar claves criptograficas de firmado de codigo autenticas, permitiendoles firmar los archivos ejecutables maliciosos sin que generen advertencias de seguridad al momento de su descarga en sistemas Windows o macOS.
Una vez dentro del sistema, el infostealer recopila de manera automatica contraseñas de cuentas de correo, billeteras de criptomonedas locales, historiales de navegacion y tokens de sesion de plataformas en la nube, empaquetando los datos en archivos cifrados que son transmitidos a servidores controlados por los atacantes a traves de canales seguros en Telegram o servicios de almacenamiento en la nube legitimos.
Para prevenir estas intrusiones, los auditores de seguridad aconsejan a las organizaciones implementar politicas de control estricto que impidan la ejecucion de archivos binarios no firmados por entidades corporativas autorizadas, asi como realizar campanas de concienciacion sobre los peligros de descargar herramientas de inteligencia artificial desde enlaces patrocinados en buscadores web.
Fuente original: The Hacker News – Fake AI Apps Campaign
