IA falsa, minero real
Los ciberdelincuentes vuelven a aprovechar el interés por la inteligencia artificial para infectar ordenadores con programas maliciosos y lucrarse a costa de los recursos ajenos. En una nueva campaña, presentan archivos maliciosos como aplicaciones de populares servicios de IA y los promocionan en las búsquedas de Google.
La campaña fue detectada por especialistas de Check Point Research (CPR), que la siguieron durante unos dos meses. Según sus datos, unos atacantes desconocidos crearon programas descargables falsos con los nombres GPT-5.6 Sol, GPT-6 Astra y Claude Opus y los publicaron en GitHub, una popular plataforma para alojar y distribuir código fuente.
Cuando publican software falso en GitHub, los estafadores suelen intentar que las páginas parezcan populares: inflan artificialmente el número de descargas, manipulan las estrellas y las copias de los proyectos y publican comentarios falsos. En esta campaña no se molestaron en darles ese aspecto. En su lugar, recurrieron al envenenamiento de los resultados de búsqueda: manipulaciones para que las páginas que les interesan aparezcan en los primeros puestos.
Según CPR, algunas de las páginas falsas aparecían en lo más alto de Google para determinadas búsquedas. Para promocionarlas, los delincuentes podrían haber publicado masivamente en internet artículos, entradas de blog y publicaciones en redes sociales con enlaces a las páginas de GitHub. Cuando una página recibe muchos enlaces, el buscador puede considerarla popular y situarla más arriba. Además, los atacantes crearon sitios de GitHub independientes con descripciones de las aplicaciones y enlaces a los archivos de instalación.
El envenenamiento de los resultados de búsqueda ya se utilizaba antes del auge de la inteligencia artificial, pero ahora resulta más barato ampliar estas campañas: la IA puede generar rápidamente muchos textos. Su calidad suele ser baja y Google intenta detectar y señalar el spam, pero la lucha continúa.
Quien descarga y ejecuta el archivo espera obtener una aplicación independiente para trabajar con IA. En realidad, se instala el programa malicioso Yoba. Este se afianza en el sistema para ejecutarse automáticamente al reiniciar el ordenador y se hace pasar por software legítimo de Windows, por lo que a un usuario corriente puede costarle detectarlo.
Yoba examina el dispositivo; entre otras cosas, intenta averiguar si el programa se está ejecutando en un entorno aislado de análisis de malware y si el ordenador pertenece a un usuario de un país que sus autores consideran «amigo». El programa malicioso puede retrasar su ejecución dos semanas, lo que dificulta su análisis. También comprueba la distribución del teclado para no infectar ordenadores en Rusia, Bielorrusia, Kazajistán y Uzbekistán. CPR no ha podido determinar desde dónde operan los atacantes, pero ese filtro puede dar alguna pista.
A continuación, Yoba se conecta a un servidor de mando y control —un ordenador desde el que los delincuentes gestionan la infección— y descarga el programa malicioso principal. En principio, podría ser cualquier cosa, desde un ladrón de datos hasta un ransomware. Por ahora, según CPR, instala XMRig.
XMRig es un programa legítimo de código abierto para minar la criptomoneda Monero. La minería consiste en utilizar la capacidad de cálculo de un ordenador para crear nuevas monedas. Pero los delincuentes pueden instalarlo a escondidas en multitud de dispositivos ajenos y minar criptomonedas a costa de sus procesadores, su electricidad y su conexión a internet.
Monero atrae especialmente a los atacantes: esta criptomoneda está diseñada para proteger la privacidad, por lo que sus transacciones son más difíciles de rastrear que las operaciones con Bitcoin o Ethereum. Así, los delincuentes se quedan con las monedas minadas, mientras que los propietarios de los ordenadores infectados sufren una mayor carga en sus equipos y facturas de electricidad cada vez más altas.
PEREC.RU
La fiebre del oro digital lleva tiempo usando una contabilidad muy conveniente: los beneficios son privados, pero los gastos, por alguna razón, se reparten entre todos; los paga el propietario del ordenador infectado. Un criptominero no puede saltarse las leyes de la física: el procesador se calienta, se consume electricidad y la factura llega perfectamente identificada, sin rastro de anonimato.
El marketing de esta trama tiene su gracia. A la gente le prometen acceso a la última inteligencia artificial —un producto que suena a billete hacia el futuro— y, de regalo, le instalan un programa que mina criptomonedas para otra persona. El futuro, como suele ocurrir, ya ha llegado, pero al usuario le han asignado el papel de inversor principal sin derecho a opinar.
Los resultados de búsqueda también participan en este pequeño drama, aunque no por voluntad propia: una avalancha de enlaces simula interés público y el algoritmo confunde el ruido con una recomendación. La vieja artimaña dispone ahora de una nueva cadena de producción gracias a las herramientas generativas. Cuando se pueden producir textos de baja calidad casi sin coste, el spam deja de ser un oficio artesanal y se convierte en una industria: automatización, embudo de captación y monetización muy concreta.
Un detalle aparte es el filtro geográfico. El programa malicioso intenta evitar los ordenadores de Rusia, Bielorrusia, Kazajistán y Uzbekistán, pero eso no convierte el programa sospechoso en seguro para los demás ni permite establecer la nacionalidad de sus autores. Es tan solo una cautela selectiva de los delincuentes: no tocar unos sistemas para poder explotar otros con más tranquilidad. La ciberdelincuencia también tiene ética empresarial; sencillamente, no está pensada para sus clientes.
Lo más inquietante no es el exótico nombre de Yoba ni las marcas rimbombantes de los servicios de IA. Es el viejo engaño de siempre: convertir la confianza en una marca, en un buscador y en una plataforma en un canal gratuito para distribuir código malicioso. Sale ganando quien pulsó el botón de compartir; pierde quien pulsó el de descargar.
Así que la promesa de «probar una IA nueva» exige cada vez más una comprobación aburrida: de dónde sale el archivo, quién lo ha publicado y por qué necesita acceso al ordenador. No suena tan espectacular como la enésima revolución tecnológica, pero es uno de esos casos en los que unos segundos de desconfianza salen más baratos que tener la granja de criptomonedas de otro funcionando en tu procesador.
