{"id":1007,"date":"2026-10-28T22:11:31","date_gmt":"2026-10-28T22:11:31","guid":{"rendered":"https:\/\/cybertica.cr\/?p=1007"},"modified":"2026-10-28T22:11:31","modified_gmt":"2026-10-28T22:11:31","slug":"detectan-una-campana-que-utiliza-binarios-legitimos-de-chatgpt-y-claude-para-infectar-a-usuarios-de-ia","status":"publish","type":"post","link":"https:\/\/cybertica.cr\/?p=1007","title":{"rendered":"Detectan una campa\u00f1a que utiliza binarios leg\u00edtimos de ChatGPT y Claude para infectar a usuarios de IA"},"content":{"rendered":"<div>\n<p class=\"wp-block-paragraph\">Check Point Research, la divisi\u00f3n de Inteligencia de Amenazas de <a href=\"https:\/\/www.checkpoint.com\/\" target=\"_blank\" rel=\"noreferrer noopener\">Check Point\u00ae Software Technologies Ltd.<\/a>, empresa global en soluciones de ciberseguridad, ha hecho p\u00fablica una investigaci\u00f3n sobre <strong>Yoba<\/strong>, una sofisticada campa\u00f1a de malware que suplanta el software de escritorio de populares herramientas de inteligencia artificial como <strong>ChatGPT<\/strong> y <strong>Claude<\/strong> para infectar los equipos de los usuarios.<\/p>\n<p class=\"wp-block-paragraph\">El estudio demuestra c\u00f3mo el inter\u00e9s masivo por acceder a las \u00faltimas novedades de IA est\u00e1 creando nuevas oportunidades de ingenier\u00eda social. Los atacantes crearon repositorios y p\u00e1ginas en GitHub utilizando nombres falsos de versiones futuras como \u00abGPT-5.6 Sol\u00bb o \u00abClaude Opus\u00bb. A trav\u00e9s de t\u00e9cnicas de envenenamiento de motores de b\u00fasqueda (<em>SEO poisoning<\/em>), consiguieron que estos recursos maliciosos aparecieran prominentemente en los resultados de Google cuando los usuarios buscaban aplicaciones de escritorio de IA.<\/p>\n<p class=\"wp-block-paragraph\">Una de las caracter\u00edsticas m\u00e1s relevantes identificadas por Check Point Research es que las soluciones de la compa\u00f1\u00eda o los sistemas inform\u00e1ticos ni de OpenAI ni de Anthropic han sido comprometidos. En su lugar, los ciberdelincuentes empaquetaron los componentes maliciosos de Yoba junto a ejecutables leg\u00edtimos y firmados digitalmente por las propias empresas creadores de ChatGPT y Claude.<\/p>\n<p class=\"wp-block-paragraph\">Al ejecutarse el instalador, los archivos firmados cargan de forma secundaria una biblioteca DLL maliciosa (winmm.dll) ubicada en la misma carpeta, una t\u00e9cnica ampliamente conocida como <em>DLL Sideloading<\/em>. Este m\u00e9todo permite al atacante eludir parte de las protecciones de seguridad tradicionales, ya que el archivo principal es completamente genuino, lo que demuestra que una firma digital v\u00e1lida valida \u00fanicamente al ejecutable individual, pero no a la totalidad de los componentes que lo acompa\u00f1an.<\/p>\n<p class=\"wp-block-paragraph\">El flujo de infecci\u00f3n de Yoba demuestra un alto grado de evasi\u00f3n. Una vez ejecutada la primera etapa (<em>YobaDropper<\/em>), el sistema verifica el entorno mediante comprobaciones de lenguaje regional y privilegios de administraci\u00f3n para evitar el an\u00e1lisis automatizado de los analistas de seguridad, asegurando adem\u00e1s su persistencia mediante tareas programadas.<\/p>\n<p class=\"wp-block-paragraph\">Para la transmisi\u00f3n de \u00f3rdenes y la descarga de m\u00f3dulos adicionales, Yoba combina servicios web leg\u00edtimos en lugar de infraestructuras habituales de mando y control:<\/p>\n<ul class=\"wp-block-list\">\n<li>Extrae la informaci\u00f3n de dominio a partir de la imagen de perfil de un canal de Telegram.<\/li>\n<li>Consulta el servicio DNS-over-HTTPS de Google para obtener registros TXT cifrados.<\/li>\n<li>Descarga el archivo ejecutable final desde plataformas p\u00fablicas de almacenamiento como Catbox.<\/li>\n<\/ul>\n<p class=\"wp-block-paragraph\">Aunque en la campa\u00f1a analizada por CPR el m\u00f3dulo final distribuido fue el minador de criptomonedas XMRig (configurado para pausarse cuando el usuario interact\u00faa activamente con el ordenador), la investigaci\u00f3n remarca que el componente <em>YobaLoader<\/em> es un cargador gen\u00e9rico capaz de desplegar cualquier otro tipo de payload ejecutable o script en PowerShell. Por ello, Check Point Research aconseja a las organizaciones tratar este tipo de incidentes como un compromiso total del sistema y no como un mero evento de miner\u00eda no autorizada.<\/p>\n<p class=\"wp-block-paragraph\">Check Point Research asegura que Yoba demuestra que los atacantes no necesitan vulnerar un modelo o servicio de IA para explotarlo, sino que les basta con manipular la confianza de los usuarios alrededor de estas marcas. Por ello, la seguridad en la adopci\u00f3n de la IA debe ampliarse no solo a la protecci\u00f3n de datos o prompts, sino a la gesti\u00f3n rigurosa del origen de las aplicaciones inform\u00e1ticas.<\/p>\n<p class=\"wp-block-paragraph\">Para mitigar este riesgo, Check Point Research recomend\u00f3 descargar software \u00fanicamente desde los canales oficiales del desarrollador, restringir permisos de administraci\u00f3n a usuarios no privilegiados y desplegar herramientas de seguridad defensiva en el <em>endpoint<\/em> dotadas de capacidades de emulaci\u00f3n de amenazas, an\u00e1lisis de comportamiento e inteligencia integrada basada en IA para interceptar comunicaciones maliciosas en cualquier fase de la cadena de ataque.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Check Point Research, la divisi\u00f3n de Inteligencia de Amenazas de Check Point\u00ae Software Technologies Ltd., empresa global en soluciones de ciberseguridad, ha hecho p\u00fablica una investigaci\u00f3n sobre Yoba, una sofisticada campa\u00f1a de malware que suplanta el software de escritorio de populares herramientas de inteligencia artificial como ChatGPT y Claude para infectar los equipos de los [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":385,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1007","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/1007","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1007"}],"version-history":[{"count":0,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/1007\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/media\/385"}],"wp:attachment":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1007"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1007"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1007"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}