Los ciberdelincuentes han estado utilizando el revuelo en torno a las tecnologías de inteligencia artificial (IA) para distribuir malware de minería de criptomonedas a través de aplicaciones de escritorio falsas que imitan herramientas de IA populares como ChatGPT y Claude.
En un informe reciente, el proveedor de ciberseguridad Check Point Research (CPR) afirmó que los actores de amenazas han estado creando repositorios falsos de GitHub para anunciar aplicaciones de IA falsas como GPT-5.6 Sol, GPT-6 Astra y Claude Opus, entre otras.
Los hackers incluso han creado sitios dedicados de GitHub.io que promocionan sus aplicaciones de IA falsas y engañan a las víctimas para que descarguen archivos maliciosos.
Según los investigadores de CPR, los atacantes están utilizando la manipulación de la optimización de motores de búsqueda (SEO) para lograr que sus sitios maliciosos se posicionen alto en Google.
¿Cómo funciona el malware?
Uno de los aspectos más preocupantes de la campaña es cómo los atacantes utilizan componentes de software legítimos de OpenAI y Anthropic para enmascarar la actividad maliciosa.
Los archivos ZIP maliciosos que las víctimas pueden descargar incluyen archivos ejecutables legítimos firmados digitalmente. Estos ejecutables legítimos están empaquetados con DLL maliciosas.
Una vez que las víctimas ejecutan la aplicación aparentemente legítima, la DLL maliciosa se carga sin su conocimiento, gracias a la técnica de carga lateral de DLL (DLL sideloading).
Esto hace que sea muy difícil para las víctimas detectar el ataque, ya que el malware se basa en software legítimo para ejecutar su código.
En última instancia, el ataque conduce a la instalación de XMRig, un minero de criptomonedas que utiliza silenciosamente los recursos de las víctimas para minar activos digitales para los atacantes.
Curiosamente, el malware también puede detener la minería cada vez que detecta actividad del usuario, de modo que puede evadir la detección.
Los hackers emplean diversas tácticas para evitar la detección
Además, los investigadores de CPR descubrieron que el malware incluye varias técnicas para dificultar las investigaciones de seguridad.
Por ejemplo, puede pausar la ejecución durante un tiempo muy prolongado si detecta que no se está ejecutando bajo el archivo ejecutable esperado.
También verifica la configuración del idioma del teclado en un equipo antes de continuar con la infección.
El primer repositorio de GitHub de la campaña apareció en julio de 2026, y las descargas maliciosas comenzaron a aparecer a finales de agosto.
En este momento, la carga útil es un minero de criptomonedas, pero los investigadores han advertido que YobaLoader podría potencialmente utilizarse para desplegar otros tipos de malware.
