Hackers cuelan malware en una versión falsa de ChatGPT dentro de la web oficial de la IA

Un grupo de ciberdelincuentes desarrolló una campaña de malware que utiliza una herramienta legítima de OpenAI para engañar a sus víctimas y tomar control remoto de sus computadoras, incluidas la cámara y el micrófono. La firma de ciberseguridad Huntress detectó la operación y logró que se diera de baja, pero dos días después surgió una réplica con el mismo método.

El engaño se apoya en Custom GPT, una función de ChatGPT que permite configurar una versión personalizada del asistente con instrucciones, archivos y capacidades propias, además de un nombre y una personalidad específicos. Como estos GPT quedan alojados en el dominio chatgpt.com, quienes acceden a través de un enlace recibido por correo electrónico o mensajería instantánea no tienen motivos para sospechar, dado que la dirección web corresponde a la página oficial de OpenAI.

Los atacantes bautizaron su creación como “Plus 5.6”, un nombre que imita la nomenclatura real de los modelos de la compañía, como GPT-3.5 o GPT-5 Pro, con el objetivo de resultar creíble ante usuarios que no siguen de cerca la evolución de la industria de la inteligencia artificial. Este GPT fue programado para responder siempre con el mismo mensaje, sin importar la consigna que se le escriba: un aviso que indica una supuesta “disponibilidad limitada en el dominio principal” y que redirige a un “dominio de respaldo”.

Un falso control de seguridad

Ese enlace alternativo lleva a un sitio construido con Google Sites, un servicio gratuito y legítimo pensado para crear páginas web sin necesidad de programar. Su uso, en este caso, busca reforzar la apariencia de legitimidad del engaño, aunque un usuario atento podría notar que carece de sentido que OpenAI recurriera a una herramienta de Google para gestionar un dominio de respaldo cuando podría hacerlo con sus propios recursos.

Al ingresar a esta página, se revela el verdadero propósito de la operación: aparece un falso control de verificación tipo CAPTCHA de Cloudflare que solicita al visitante copiar y pegar un fragmento de código en el programa “Ejecutar” de Windows. Esta secuencia corresponde a la técnica conocida como ClickFix, que consiste en presentar a la víctima un problema ficticio junto con una solución inmediata para inducirla a ejecutar comandos maliciosos por sí misma.

Control casi total del equipo

La ejecución de ese código descarga e instala un troyano de acceso remoto (RAT) que Huntress identificó bajo el nombre “@input”. Este programa malicioso da a los atacantes la posibilidad de ver la pantalla de la víctima y operar el dispositivo de forma remota, además de activar la cámara web, el micrófono y el audio del sistema para vigilar y escuchar sin que el usuario lo perciba.

El malware también permite rastrear el contenido de archivos y documentos almacenados en el equipo en busca de información valiosa. Antes de eso, realiza un reconocimiento inicial del sistema: verifica qué software de seguridad está instalado, qué programas se encuentran en ejecución y cómo está conectado el dispositivo a la red.

Según los investigadores, la herramienta puede además descargar y ejecutar componentes adicionales y otras variantes de software malicioso, algo que ocurrió en la mayoría de los casos analizados sin que las víctimas lo advirtieran.

Para no ser detectado, “@input” se comunica con sus operadores mediante canales cifrados que se camuflan dentro del tráfico web habitual, de acuerdo con lo señalado por Huntress. Los investigadores agregaron que la herramienta parece formar parte de un marco de trabajo mantenido de forma profesional.

La compañía de ciberseguridad precisó que la campaña afectó a “decenas” de usuarios y que su equipo de operaciones de seguridad respondió a al menos 40 incidentes vinculados al dominio específico de Google Sites utilizado en este ataque. Tras ser contactada por los investigadores, OpenAI dio de baja el GPT personalizado “Plus 5.6” el 25 de septiembre. Sin embargo, dos días más tarde apareció un nuevo GPT con características similares, lo que indica que la operación continúa activa pese a las medidas tomadas.