El falso ChatGPT con cámara
Los ciberdelincuentes publicaron un modelo de usuario falso en el sitio oficial de ChatGPT para convencer a la gente de que instalara un programa malicioso. Los investigadores de Huntress descubrieron una campaña en la que se utilizaron Custom GPT —versiones personalizadas de ChatGPT— junto con servicios de Google para llevar a cabo un ataque ClickFix.
Custom GPT permite crear un asistente especializado: darle instrucciones, añadir archivos y conocimientos, conectar herramientas y elegir un nombre, un estilo de conversación y frases de inicio. Estos modelos se alojan en ChatGPT.com. Por eso, un enlace recibido por correo o mensaje puede parecer convincente: la dirección empieza realmente por el dominio oficial.
Los atacantes crearon un Custom GPT llamado «Plus 5.6». El nombre recuerda a las denominaciones de modelos de OpenAI, como GPT-3.5 o GPT-5 Pro, y puede confundir a quienes no siguen la evolución de la IA. El modelo estaba configurado para mostrar siempre un único mensaje: supuestamente, el dominio principal sufría interrupciones, así que se invitaba al usuario a visitar un sitio «alternativo».
Ese sitio se alojó en Google Sites, el servicio legítimo de Google para crear páginas sin conocimientos de programación. El servicio en sí es seguro, pero en este caso ayudó a los estafadores a aparentar que la fuente era fiable. Eso sí, a un visitante atento podría haberle extrañado una cosa: ¿para qué necesitaría OpenAI una dirección alternativa de Google si puede gestionar su propia infraestructura?
En la página «alternativa» aparecía una falsa verificación CAPTCHA de Cloudflare. Se pedía al visitante que copiara un fragmento de código y lo pegara en la ventana «Ejecutar» de Windows. Es el esquema típico de ClickFix: se muestra un problema inexistente y enseguida se ofrece una supuesta solución sencilla.
Seguir las instrucciones descarga y ejecuta un Remote Access Trojan (RAT), un troyano de acceso remoto al que Huntress llamó «@input». El programa malicioso da a los atacantes un control casi total sobre el ordenador Windows infectado: pueden ver la pantalla y controlar el dispositivo a distancia, activar la cámara web, el micrófono y el sonido del sistema.
Además, «@input» permite buscar archivos y examinar el contenido de documentos. Antes de robar datos, los atacantes pueden recopilar información sobre el ordenador: comprobar las protecciones instaladas, los programas en ejecución y si el dispositivo está conectado a una red local o corporativa.
El programa malicioso también puede descargar y ejecutar componentes adicionales y otros programas maliciosos. Según Huntress, en la mayoría de los casos estudiados eso fue exactamente lo que hizo, sin que las víctimas se dieran cuenta. Para comunicarse de forma encubierta con sus operadores, «@input» utiliza canales cifrados que parecen tráfico web normal. Los investigadores creen que la herramienta forma parte de una plataforma con soporte continuo y organización profesional.
La campaña afectó a decenas de usuarios. El centro de operaciones de seguridad (SOC) de Huntress respondió a al menos 40 incidentes relacionados con un dominio concreto de Google Sites. Los investigadores avisaron a OpenAI de la amenaza y, el 25 de septiembre, la empresa ayudó a desactivar el Custom GPT falso. Pero dos días después apareció otro: porque, como siempre, Internet ocupa enseguida el hueco que queda libre.
PEREC.RU
Los ciberdelincuentes llevaron a cabo una campaña en la que utilizaron el dominio oficial de ChatGPT para distribuir un programa malicioso. La principal herramienta del ataque fue Custom GPT, una función de OpenAI que permite crear versiones especializadas de ChatGPT con instrucciones, nombres, archivos, herramientas y mensajes de inicio propios. Como estos modelos se alojan en ChatGPT.com, el enlace puede parecer seguro incluso a un usuario atento.
Los atacantes crearon un modelo llamado «Plus 5.6». El nombre imitaba el estilo de las denominaciones de productos de OpenAI, aunque no correspondía a ninguna línea de modelos conocida. El Custom GPT estaba configurado para mostrar un único mensaje: supuestamente, el dominio principal tenía problemas de disponibilidad y había que visitar una dirección alternativa.
El sitio alternativo estaba alojado en Google Sites. El servicio es una herramienta legítima para crear páginas web, pero en este caso se utilizó para dar más credibilidad a una página fraudulenta. Allí esperaba al visitante una falsa CAPTCHA de Cloudflare, que le pedía copiar un código y pegarlo en la ventana «Ejecutar» de Windows.
Se trata de un ataque ClickFix. El método es sencillo: se muestra a la víctima un problema técnico falso y se le pide ejecutar un comando para resolverlo. En realidad, el comando descarga y ejecuta un Remote Access Trojan (RAT), un troyano de acceso remoto al que la empresa de investigación Huntress denomina «@input».
«@input» proporciona a los atacantes un control remoto casi total del ordenador Windows infectado. Pueden ver la pantalla, controlar el dispositivo y activar la cámara web, el micrófono y el sonido del sistema. El programa malicioso busca archivos y examina el contenido de documentos; también recopila información del sistema, como el software de seguridad, las aplicaciones en ejecución y las conexiones de red.
El troyano puede descargar y ejecutar componentes adicionales y otros programas maliciosos. En la mayoría de los casos investigados por Huntress hizo precisamente eso, sin provocar señales visibles de infección. Para comunicarse con sus operadores utiliza canales cifrados que se camuflan como tráfico web normal. Los investigadores consideran que la herramienta forma parte de una plataforma maliciosa bien mantenida y organizada profesionalmente.
La campaña afectó a decenas de usuarios. El centro de operaciones de seguridad de Huntress informó de al menos 40 incidentes vinculados a un dominio concreto de Google Sites. Tras recibir el aviso de los investigadores, OpenAI ayudó a desactivar el Custom GPT falso el 25 de septiembre. Sin embargo, solo dos días después apareció otro, lo que demostró que eliminar una página no había detenido la campaña.
