Una campaña de malware usa falsos instaladores de ChatGPT y Claude para infectar los equipos de los usuarios de IA

   MADRID, 28 Oct. (Portaltic/EP) -

   Una campaña sofisticada de 'malware' llamada Yoba es capaz de suplantar el 'software' que se utiliza para la instalación de algunas de las herramientas de Inteligencia Artificial (IA) más conocidas, como ChatGPT y Claude, con el objetivo de infectar los equipos de los usuarios sin su conocimiento.

   Check Point Research, la división de Inteligencia de Amenazas de Check Point Software Technologies, ha publicado un estudio en el que pone de relieve que, debido al interés masivo por herramientas como ChatGPT y Claude, los atacantes se están aprovechando del momento para crear repositorios y páginas en GitHub con nombres falsos de los modelos de frontera de OpenAI y Anthropic, como 'GPT-5.6 Sol' o 'Claude Opus'.

   Gracias a estos nombres, el siguiente paso en la campaña de 'malware' es posicionar esas páginas en los buscadores mediante la técnica de envenenamiento de motores de búsqueda, o 'SEO poisoning', para que los usuarios descarguen los instaladores empaquetados con los componentes maliciosos de Yoba que se hacen pasar por archivos legítimos de OpenAI y de Anthropic.

   De hecho, según indica Check Point Research, las soluciones de ambas compañías, al igual que sus sistemas informáticos, no han sido comprometidas, pero sí que los ejecutables legítimos y firmados digitalmente por las propias empresas creadoras de ChatGPT y Claude incluidos en los instaladores han servido para que el usuario finalmente instale en su equipo una biblioteca DLL maliciosa cargada de forma secundaria.

   La instalación de dicha DLL se lleva a cabo con una técnica conocida como 'DLL Sideloading', que permite al atacante evitar parte de las protecciones de seguridad que se suelen aplicar en la instalación de un archivo que, aunque es genuino, va acompañado del 'malware' que finalmente infecta el equipo del usuario.

   Para que se logre la infección, Yoba se caracteriza por una alta sofisticación, ya que primeramente se encarga de verificar el lenguaje regional y privilegios de administración del equipo para evitar los análisis automatizados de los analistas de seguridad, y se queda de forma persistente mediante tareas programadas esperando la transmisión de órdenes y la descarga de módulos adicionales para perpetrar el ataque final.

   Aquí entran en juego servicios web legítimos de los que se sirve Yoba para extraer la información de dominio desde la imagen de perfil de un canal de Telegram, consultar el servicio DNS-over-HTTPS de Google para obtener registros TXT cifrados y descargar el archivo ejecutable final desde plataformas como Catbox, una plataforma pública de almacenamiento.

   Check Point Research aconseja tratar este tipo de incidentes como un compromiso total para el sistema del equipo del usuario, ya que YobaLoader es capaz de desplegar cualquier tipo de ejecutable o 'script' en PowerShell, lo que permite llevar a cabo todo tipo de ataques al equipo del usuario.

   Por último, Check Point Research avisa de que la mejor forma de evitar la instalación de este 'malware' es utilizar siempre los canales oficiales del desarrollador para la descarga de los instaladores de ChatGPT o Claude, restringir permisos de administración a usuarios no privilegiados y desplegar herramientas de seguridad defensiva que se encarguen de interceptar comunicaciones maliciosas en cualquier fase de la cadena de ataque.