Una operación con motivación financiera cuyo nombre en código REF1695 Se ha observado que desde noviembre de 2023 se aprovechan instaladores falsos para implementar troyanos de acceso remoto (RAT) y mineros de criptomonedas.

«Más allá de la criptominería, el actor de amenazas monetiza las infecciones a través del fraude CPA (costo por acción), dirigiendo a las víctimas a páginas de contenido bajo la apariencia de registro de software», afirman los investigadores de Elastic Security Labs, Jia Yu Chan, Cyril François y Remco Sprooten. dicho en un análisis publicado esta semana.

También se ha descubierto que iteraciones recientes de la campaña entregan un implante .NET previamente no documentado con nombre en código CNB Bot. Estos ataques aprovechan un archivo ISO como vector de infección para entregar un cargador protegido por .NET Reactor y un archivo de texto con instrucciones explícitas para que el usuario evite las protecciones de Microsoft Defender SmartScreen contra la ejecución de aplicaciones no reconocidas haciendo clic en «Más información» y «Ejecutar de todos modos».

El cargador está diseñado para invocar PowerShell, que es responsable de configurar amplias exclusiones de Microsoft Defender Antivirus para pasar desapercibido e iniciar CNB Bot en segundo plano. Al mismo tiempo, al usuario se le muestra un mensaje de error: «No se puede iniciar la aplicación. Es posible que su sistema no cumpla con las especificaciones requeridas. Comuníquese con el soporte».

CNB Bot funciona como un cargador con capacidades para descargar y ejecutar cargas útiles adicionales, actualizarse, desinstalar y realizar acciones de limpieza para cubrir las pistas. Se comunica con un servidor de comando y control (C2) mediante solicitudes HTTP POST.

Otras campañas montadas por el actor de amenazas han aprovechado señuelos ISO similares para implementar PureRAT, PureMiner y un cargador XMRig personalizado basado en .NET, el último de los cuales llega a una URL codificada para extraer la configuración de minería y lanzar la carga útil del minero.

Como se observó recientemente en la campaña FAUX#ELEVATE, se abusa de «WinRing0x64.sys», un controlador de kernel de Windows legítimo, firmado y vulnerable, para obtener acceso al hardware a nivel de kernel y modificar la configuración de la CPU para aumentar las tasas de hash, permitiendo así mejorar el rendimiento. El uso del conductor ha sido observado en muchos campañas de criptojacking a lo largo de los años. La funcionalidad era agregado a los mineros XMRig en diciembre de 2019.

Elastic dijo que también identificó otra campaña que conduce al despliegue de SilentCryptoMiner. El minero, además de utilizar llamadas directas al sistema para evadir la detección, toma medidas para desactivar los modos de suspensión e hibernación de Windows, configura la persistencia mediante una tarea programada y utiliza el controlador «Winring0.sys» para ajustar la CPU para las operaciones de minería.

Otro componente notable del ataque es un proceso de vigilancia que garantiza que los artefactos maliciosos y los mecanismos de persistencia se restablezcan en caso de que se eliminen. Se estima que la campaña acumuló 27,88 XMR (9.392 dólares) en cuatro carteras rastreadas, lo que indica que la operación está generando beneficios financieros constantes para el atacante.

«Más allá de la infraestructura C2, el actor de amenazas abusa de GitHub como una CDN de entrega de carga útil, alojando binarios preparados en dos cuentas identificadas», dijo Elastic. «Esta técnica desplaza el paso de descarga y ejecución de la infraestructura controlada por el operador a una plataforma confiable, lo que reduce la fricción en la detección».

Los investigadores han descubierto múltiples vulnerabilidades que permiten a los atacantes secuestrar silenciosamente navegadores de IA agentes.

Investigadores de Zenity Labs descubierto Estas fallas, que afectaron a múltiples navegadores de IA, incluido Perplexity's Comet. Antes de ser parcheado, un atacante podría explotarlos a través de una invitación de calendario legítima, utilizando una inyección rápida para obligar al navegador de IA a actuar contra su usuario.

«Estos problemas no se dirigen a un solo error de aplicación», escribió Stav Cohen, investigador senior de seguridad de IA en Zenity Labs, en un blog publicado el martes. «Explotan el modelo de ejecución y los límites de confianza de los agentes de IA, lo que permite que el contenido controlado por el atacante desencadene un comportamiento autónomo entre herramientas y flujos de trabajo conectados».

Los ataques de inyección rápida y secuestro de IA funcionan porque muchos navegadores agentes no pueden diferenciar entre las instrucciones dadas por los usuarios y cualquier contenido externo que ingieran. Básicamente, cualquier página web o correo electrónico que encuentre el navegador, si está redactado de la manera correcta, podría interpretarse como una instrucción rápida y sencilla.

Al incluir mensajes maliciosos en la invitación del calendario, el navegador puede ser dirigido para acceder a sistemas de archivos locales, explorar directorios, abrir y leer archivos y filtrar datos a un servidor de terceros. No se requiere malware ni acceso especial, sólo que el usuario acepte la invitación para que el navegador realice «cada paso como parte de lo que cree que es una tarea legítima delegada por el usuario».

«Comet sigue su modelo de ejecución normal y opera dentro de las capacidades previstas», escribió Cohen. «El agente está convencido de que lo que el usuario realmente pidió es lo que desea el atacante».

El daño potencial no termina ahí. Otro vulnerabilidad permitió a un atacante utilizar técnicas de solicitud indirectas similares para que Comet se hiciera cargo del administrador de contraseñas de un usuario. Si un usuario ya ha iniciado sesión en el servicio, el navegador agente también tiene acceso completo y puede cambiar silenciosamente configuraciones y contraseñas o extraer secretos mientras el usuario recibe resultados «benignos».

Según Zenity, las vulnerabilidades se informaron a Perplexity el año pasado y se publicó una solución en febrero de 2026.

Los ataques de inyección rápida siguen siendo uno de los mayores desafíos actuales para la integración de la IA en las pilas de tecnología de las organizaciones, porque eliminar estas fallas por completo puede ser imposible. : OpenAI dijo en diciembre que es «poco probable que» tales vulnerabilidades se resuelvan por completo en navegadores agentes, aunque la compañía dijo que los peligros generales podrían reducirse mediante el descubrimiento automatizado de ataques, entrenamiento de adversarios y nuevas «protecciones a nivel del sistema».

Cohen señala que con los navegadores tradicionales, el acceso a archivos locales y otras tareas confidenciales sólo se pueden obtener con el permiso explícito del usuario. Pero los navegadores agentes tienen mucha más autonomía para inferir si ese acceso es necesario para llevar a cabo la solicitud del usuario y tomar medidas sin la intervención del usuario. Si bien los investigadores utilizaron invitaciones de calendario para enviar mensajes maliciosos, la misma técnica se puede implementar en casi cualquier forma de contenido escrito.

«Una vez que se delega esa decisión, el acceso a recursos sensibles depende de la interpretación de la intención del agente en lugar de una acción explícita del usuario», escribió. «En ese momento, la separación entre la intención del usuario y la ejecución del agente se convierte en una preocupación crítica para la seguridad».