Ciberdelincuentes crean falsos agentes de IA para instalar malware y robar criptomonedas

Ciberdelincuentes usan falsos agentes de inteligencia artificial (IA) para inducir a los usuarios a instalar malware que reemplazan extensiones legítimas de monederos de criptomonedas y roban sus contraseñas.

La maniobra fue detectada entre abril y junio por HP, en un escenario donde la inteligencia artificial agéntica, sistemas capaces de ejecutar tareas en nombre del usuario, se convirtió en un nuevo señuelo para fraudes financieros.

La actividad forma parte del Threat Insights Report de HP, que analizó millones de dispositivos protegidos con HP Wolf Security para identificar campañas recientes y los métodos empleados para evadir sistemas de detección.

Cómo opera este ciberataque que roba criptomonedas

El ataque se presenta como una alternativa a los asesores financieros tradicionales: los ciberdelincuentes prometen una herramienta que supervisa carteras de criptomonedas y opera de forma automática.

El sitio tradingclaw se hacía pasar por un asistente de IA para negociar activos digitales, pero distribuía una familia de software malicioso llamada Needle Stealer. Una vez instalado, el programa examina los navegadores en busca de extensiones de monederos, entre ellas Coinbase y MetaMask.

Cuando el programa las encuentra, las sustituye por copias visualmente similares; al ingresar sus datos para iniciar sesión, las víctimas entregan sus credenciales a los atacantes, que pueden acceder a sus fondos.

Patrick Schläpfer, investigador principal de HP Security Lab, advirtió que los atacantes “están aprovechando la adopción de herramientas de IA agéntica para desarrollar nuevos señuelos que engañan a los usuarios y les llevan a descargar software malicioso que parece legítimo”. A su juicio, esa estrategia vuelve la distribución de estos programas “más sofisticada y difícil de detectar”.

Qué otros ciberataques fueron identificados

La segunda campaña detectada combina Phantom Gate, un cargador de software malicioso, con Phantom Stealer, una herramienta destinada al robo de información, incluidas credenciales y datos financieros.

Phantom Stealer se comercializa como un programa legítimo para realizar pruebas de penetración, mientras que Phantom Gate permite a los delincuentes desplegar y ampliar las campañas de infección.

Schläpfer sostuvo que estas herramientas reflejan “la expansión del panorama de amenazas” porque permiten construir “cadenas de infección peligrosas”. El resultado es un aumento del riesgo de que las organizaciones queden comprometidas.

La tercera modalidad recurre al phishing, un engaño que suplanta páginas o servicios para obtener datos personales, mediante códigos QR. Las víctimas reciben archivos PDF con el contenido borroso bajo el argumento de que fue ocultado “por motivos de seguridad”, y se les pide escanear el código con el teléfono para acceder a la información.

El código redirige al usuario a una página fraudulenta desde el dispositivo. Esas direcciones habrían sido bloqueadas al abrirse desde una computadora, pero funcionan en los teléfonos, que cuentan con niveles de protección más bajos y exponen las credenciales de acceso.

Cómo fue posible detectar diferentes ciberataques

HP Wolf Security puede observar estos ataques porque ejecuta programas sospechosos dentro de contenedores protegidos. Ese aislamiento permite conocer el comportamiento de los delincuentes sin que el dispositivo quede afectado.

Los usuarios protegidos por ese servicio abrieron 60.000 millones de archivos adjuntos de correo, páginas web y archivos descargados sin que se registraran brechas de seguridad.

Los datos mostraron que al menos el 10% de las amenazas detectadas por correo mediante HP Sure Click logró esquivar uno o más escáneres de las pasarelas de correo.

Asimismo, los archivos ejecutables fueron el mecanismo de distribución más frecuente y aparecieron en el 40% de los casos. Los archivos comprimidos representaron el 38%, mientras que los PDF alcanzaron el 7,5%.

James Wright, director global de Seguridad de Sistemas Personales de HP, señaló que los usuarios “se mueven constantemente entre dispositivos y aplicaciones” a través de navegadores y herramientas de IA, y que los delincuentes actualizan sus tácticas con rapidez para seguirlos.

Por eso, pidió que las organizaciones adopten un modelo de confianza cero, basado en el aislamiento y la contención de clics y descargas que no sean confiables.