¡Cuidado si usas IA! Ciberdelincuentes distribuyen malware con falsos instaladores de ChatGPT y Claude

Una sofisticada campaña de malware, conocida como Yoba, suplanta el software que se utiliza para instalar herramientas de inteligencia artificial (IA) como ChatGPT y Claude, para infectar a los equipos de los usuarios, según Check Point Research.

La división de Inteligencia de Amenazas de Check Point Software Technologies compartió un estudio en el que reveló que los cibercriminales están aprovechando la popularidad de la IA para crear repositorios y páginas de GitHub suplantando a ChatGPT-5.6 y Claude Opus.

¿Cómo funciona el malware que se aprovecha de ChatGPT y Claude?

La campaña de malware posicionan las páginas de GitHub en los buscadores a través de la técnica de envenenamiento de motores de búsqueda, también conocida como “SEO poisoning“.

De esta manera, los usuarios desgargan instaladores empaquetados con componentes maliciososo de Yoba que se hacen pasar por archivos legítimos de OpenAI y Anthropic, según Check Point.

Los especialistas indicaron que ni las soluciones ni los sistemas informáticos de las dos empresas fueron comprometidos; sin embargo, los ejecutables de las dos compañías sirven para que las víctimas instalen en su equipo una carga maliciosa de forma secundaria.

Dicha instalación se lleva a cabo con una técnica conocida como “DLL Sideloading“, que permite al criminal evitar parte de las protecciones de seguridad que se aplican en las instalaciones de archivos que, aún siendo genuinos, vienen con malware.

Yoba, un malware sofisticado para los usuarios de IA

Yoba se caracteriza por una alta sofisticación, ya que se encarga de verificar el lenguaje regional y privilegios de administración del equipo para evitar los análisis automatizados de los analistas de seguridad.

Y se queda de forma persistente mediante tareas programadas esperando la transmisión de órdenes y la descarga de módulos adicionales para perpetrar el ataque final.

Aquí entran en juego servicios web legítimos de los que se sirve Yoba para extraer la información de dominio desde la imagen de perfil de un canal de Telegram..

A través de la app de mensajería, obtienen registros TXT cifrados y descargan el archivo ejecutable final desde plataformas como Catbox, una plataforma pública de almacenamiento.

Expertos advierten por amenaza que se aprovecha de Claude y ChatGPT

Check Point Research aconseja tratar este tipo de incidentes como un compromiso total para el sistema del equipo del usuario, ya que YobaLoader es capaz de desplegar cualquier tipo de ejecutable o ‘script’ en PowerShell, lo que permite llevar a cabo todo tipo de ataques al equipo del usuario.

Por último, el servicio avisa de que la mejor forma de evitar la instalación de este ‘malware‘ es utilizar siempre los canales oficiales del desarrollador para la descarga de los instaladores de ChatGPT o Claude.

Finalmente, recomienda restringir permisos de administración a usuarios no privilegiados y desplegar herramientas de seguridad defensiva que se encarguen de interceptar comunicaciones maliciosas en cualquier fase de la cadena de ataque.

Sigue a Uno TV en Google Discover y consulta las noticias al momento.

¿Tienes una denuncia o información que quieras compartir? Escríbenos al WhatsApp de Uno TV: +52 55 8056 9131. Tu mensaje puede hacer la diferencia.