{"id":990,"date":"2026-05-27T08:36:21","date_gmt":"2026-05-27T08:36:21","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/las-recomendaciones-de-ai-chatbot-redirigen-a-los-usuarios-a-sitios-de-malware-de-criptojacking-cyberdefensa-mx\/"},"modified":"2026-05-27T08:36:21","modified_gmt":"2026-05-27T08:36:21","slug":"las-recomendaciones-de-ai-chatbot-redirigen-a-los-usuarios-a-sitios-de-malware-de-criptojacking-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/las-recomendaciones-de-ai-chatbot-redirigen-a-los-usuarios-a-sitios-de-malware-de-criptojacking-cyberdefensa-mx\/","title":{"rendered":"Las recomendaciones de AI Chatbot redirigen a los usuarios a sitios de malware de criptojacking \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Microsoft ha advertido sobre una campa\u00f1a activa de criptojacking que utiliza interacciones de chatbots de inteligencia artificial (IA) como mecanismo para mostrar sitios de descarga maliciosos.<\/p>\n

\u00abEsta t\u00e9cnica de entrega emergente extiende la ingenier\u00eda social m\u00e1s all\u00e1 de los resultados de b\u00fasqueda convencionales y aumenta la visibilidad de las recomendaciones de software malicioso\u00bb, dijeron expertos de Microsoft Defender y el equipo de investigaci\u00f3n de seguridad de Microsoft Defender. dicho<\/a> en un informe publicado el martes.<\/p>\n

La actividad, seg\u00fan el gigante tecnol\u00f3gico, se hace pasar por utilidades leg\u00edtimas del sistema como CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack y PDFgear, probablemente en un intento de apuntar a usuarios que poseen GPU de alto rendimiento. La idea es centrarse en comprometer sistemas con mayor valor minero que infectar indiscriminadamente una gran cantidad de m\u00e1quinas, a\u00f1adi\u00f3.<\/p>\n

Los objetivos de la campa\u00f1a no tienen una motivaci\u00f3n meramente financiera. Tambi\u00e9n se ha descubierto que los actores de amenazas establecen acceso remoto persistente a hosts comprometidos a trav\u00e9s de implementaciones de ScreenConnect, que luego podr\u00edan aprovecharse para actividades posteriores, como robo de datos, movimiento lateral o ransomware.<\/p>\n

La cadena de ataque es m\u00e1s deliberada que otros esfuerzos t\u00edpicos de miner\u00eda de criptomonedas, y opta estrat\u00e9gicamente por puntos finales que ayudan a maximizar el rendimiento de la miner\u00eda de GPU por dispositivo comprometido. El fabricante de Windows dijo que detect\u00f3 y bloque\u00f3 la actividad asociada con la campa\u00f1a.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Todo comienza cuando los usuarios buscan utilidades de sistema confiables y software de monitoreo de hardware en los motores de b\u00fasqueda, que muestran sitios maliciosos que han sido manipulados mediante t\u00e9cnicas como el envenenamiento por optimizaci\u00f3n de motores de b\u00fasqueda (SEO). Las iteraciones posteriores observadas en abril de 2026 indican que los usuarios son dirigidos a estos sitios no a trav\u00e9s de los resultados de los motores de b\u00fasqueda, sino a trav\u00e9s de interacciones con herramientas basadas en modelos de lenguaje grande (LLM).<\/p>\n

\u00abEn estos casos, a los usuarios que consultaban a los chatbots de IA para obtener recomendaciones de descarga de software se les presentaban enlaces a dominios controlados por atacantes dentro de las respuestas generadas\u00bb, dijo Microsoft. \u00abSi bien este comportamiento se basa en patrones observados y fuentes de datos correlacionadas, es consistente con t\u00e9cnicas emergentes en el envenenamiento de resultados de b\u00fasqueda de IA, lo que representa una extensi\u00f3n del envenenamiento de SEO tradicional m\u00e1s all\u00e1 de los motores de b\u00fasqueda convencionales\u00bb.<\/p>\n

Cada uno de estos sitios contiene un bot\u00f3n de descarga destacado que recupera un archivo ZIP de un subdominio de gleeze espec\u00edfico de la campa\u00f1a.[.]com, que est\u00e1 alojado en una infraestructura asociada con Dynu, un proveedor de DNS din\u00e1mico utilizado frecuentemente por actores de amenazas. Se han identificado m\u00e1s de 150 dominios maliciosos que sirven a las herramientas maliciosas.<\/a><\/p>\n

\"\"<\/a><\/div>\n

El archivo ZIP descargado contiene un ejecutable leg\u00edtimo junto con una DLL fraudulenta (\u00abautorun.dll\u00bb) que se descarga cuando el usuario inicia el binario. La DLL est\u00e1 dise\u00f1ada para instalar una segunda DLL maliciosa llamada \u00abvcredist_x64.dll\u00bb usando \u00abmsiexec.exe\u00bb. El archivo es un instalador empaquetado para el software ScreenConnect.<\/p>\n

Una vez instalado ScreenConnect, el cliente intenta continuamente establecer contacto con un servidor controlado por un atacante ubicado en \u00ab193.42.11[.]108.\u00bb La sesi\u00f3n de ScreenConnect sirve entonces como conducto para un ejecutable llamado \u00abSimpleRunPE.exe\u00bb.<\/p>\n

El binario es responsable de establecer la persistencia en el host mediante claves de ejecuci\u00f3n del registro y tareas programadas, configurar exclusiones de Microsoft Defender, ejecutar comprobaciones antian\u00e1lisis y emplear el proceso de vaciado para iniciar el c\u00f3digo de miner\u00eda bajo un binario confiable firmado por Microsoft.<\/p>\n

En compromisos seleccionados, en lugar de depender de la funcionalidad de transferencia de archivos de ScreenConnect para descartar el binario, se utiliza un script de PowerShell para recuperar el binario de una unidad remota, almacenarlo localmente como \u00abvlc.exe\u00bb para pasar desapercibido, crear una tarea programada para iniciarlo y luego eliminarlo.<\/p>\n

El binario hueco, por su parte, se comunica con el servidor del atacante, transmite amplia informaci\u00f3n del host, descarga el archivo minero apropiado en tiempo de ejecuci\u00f3n y lo ejecuta. El malware admite tres programas mineros: gminer, lolMiner y SRBMiner-MULTI.<\/p>\n

Adem\u00e1s, el binario recrea los artefactos de persistencia para garantizar una presencia continua y reconfigura las exclusiones de Defender en caso de que se eliminen. Tambi\u00e9n est\u00e1 atento a los procesos en ejecuci\u00f3n y procede a finalizar inmediatamente el minero si se detecta alguno de los siguientes procesos:<\/p>\n