Así usaron un falso ChatGPT y una CAPTCHA para distribuir malware en Windows

Un resultado patrocinado de Google para ChatGPT llevó a algunas personas a “Plus 5.6”, un GPT personalizado creado por atacantes y alojado en el sitio real de ChatGPT. El bot afirmaba que el servicio no estaba disponible y dirigía a los usuarios a una supuesta página de respaldo en Google Sites. Allí, una CAPTCHA falsa con apariencia de Cloudflare intentaba convencer a usuarios de Windows de que ejecutaran un comando de PowerShell que instalaba un troyano de acceso remoto.3617

Cómo funcionaba el engaño

La campaña se apoyaba en servicios conocidos y de aspecto legítimo para ganarse la confianza de las víctimas:

1. Un anuncio patrocinado en el buscador conducía a quienes buscaban ChatGPT al GPT creado por los atacantes. Que estuviera alojado en el dominio auténtico de ChatGPT no significaba que fuera oficial.36
2. Un aviso falso sobre el servicio aseguraba que ChatGPT tenía problemas de disponibilidad y ofrecía una supuesta página alternativa.612
3. Una verificación falsa de Cloudflare en Google Sites indicaba que había que copiar y ejecutar un comando de PowerShell. Es una táctica conocida como ClickFix: en lugar de aprovechar una falla del software, manipula a la persona para que ejecute por sí misma la instrucción dañina.317
4. La instalación del malware comenzaba después. Según Huntress, el comando iniciaba una cadena de infección de varias etapas que descargaba un archivo MSI malicioso e instalaba un troyano de acceso remoto (RAT, por sus siglas en inglés) en Windows.17

Algunas publicaciones identifican el troyano como “@input”, pero el resumen de la campaña de Huntress lo describe, de forma más general, como un troyano de acceso remoto. Con la información disponible aquí, conviene tratar “@input” como un nombre atribuido por algunas fuentes, no como una identificación confirmada de manera independiente.817

Qué observaron los investigadores y qué no se sabe

Huntress identificó dos GPT personalizados vinculados con la campaña. La empresa informó que atendió al menos 40 incidentes relacionados con el dominio específico de Google Sites; dos de ellos se confirmaron como originados a través de un GPT personalizado.1417 La distinción importa: los 40 incidentes estaban vinculados al dominio, pero no todos se confirmaron como infecciones causadas por el señuelo del GPT.

OpenAI retiró uno de los GPT maliciosos, pero se informó que una segunda variante apareció y seguía activa dos días después.1 La información citada aquí no permite establecer qué medidas tomó Google respecto de los anuncios ni confirmar si se retiraron todos los anuncios y páginas relacionadas.

No es el primer caso reportado de abuso de una plataforma de IA conocida. Huntress había descrito anteriormente una campaña distinta que utilizó un Claude Artifact malicioso alojado en el sitio legítimo de Claude y afectó a más de 29 organizaciones.18 Es un ejemplo relacionado de cómo los atacantes pueden aprovechar plataformas familiares para atraer a sus víctimas, pero no demuestra que ambas campañas compartieran responsables o infraestructura.

Señales de alerta y cómo evitar la estafa

• Un resultado patrocinado es un anuncio, no una recomendación. Revisa adónde lleva el enlace, aunque se abra dentro de un servicio conocido.36
• Un sitio legítimo también puede alojar contenido creado por atacantes. Comprueba si un GPT es un producto oficial o un bot creado por un usuario; el dominio auténtico, por sí solo, no garantiza que sus afirmaciones sean ciertas.317
• No ejecutes comandos que te dé una CAPTCHA o una página inesperada. Si te piden abrir Ejecutar en Windows, pegar texto o iniciar PowerShell, es una señal de alerta grave, no un paso normal de verificación.3817
• Entra a ChatGPT directamente, desde un marcador o escribiendo la dirección, en vez de confiar en un resultado patrocinado inesperado.
• Si ya ejecutaste el comando, evita usar ese equipo para actividades sensibles y contacta cuanto antes a un profesional de informática o seguridad de confianza.