Un ejecutable sospechoso llamado Vibing.exe en la Microsoft Store ha generado grandes alarmas de privacidad y seguridad entre los investigadores de ciberseguridad. Promocionado como una interfaz para el "mundo nativo de IA" por el enigmático equipo Vibing-Team, se informa que la aplicación recopila datos sensibles de los usuarios sin consentimiento explícito. 

Un ejecutable sospechoso llamado Vibing.exe en la Microsoft Store ha encendido grandes alarmas de privacidad y seguridad entre los investigadores de ciberseguridad.

Promocionado como una interfaz hacia el "mundo nativo de IA" por el enigmático equipo Vibing-Team, la aplicación supuestamente recopila datos sensibles de los usuarios sin consentimiento explícito.

Según Kevin Beaumont, una vez instalado en un endpoint de Windows, Vibing se configura para iniciarse automáticamente al iniciar sesión.

La aplicación monitorea agresivamente la actividad del usuario y transmite telemetría a un endpoint preconfigurado de Azure Front Door.

Utiliza WebSockets para la comunicación, un método conocido para eludir ciertas configuraciones de bloqueo de proxy.

La aplicación captura de manera encubierta varios tipos de datos sensibles del usuario:

• Capturas de pantalla codificadas en Base64 del escritorio activo del usuario.
• Grabaciones de audio sin procesar capturadas directamente desde el micrófono del sistema.
• Contenido del portapapeles secuestrado, que incluye texto y archivos copiados.
• Palabras clave específicas, títulos de ventanas y nombres de aplicaciones activas.

Cada pieza de datos transmitida está etiquetada con un GUID de hardware único.

Este identificador permite a los desarrolladores rastrear a usuarios individuales y vincular capturas de pantalla a máquinas específicas a lo largo del tiempo.

Esta práctica de seguimiento altamente invasiva está completamente omitida en la interfaz de usuario y la documentación de la aplicación.

Vínculos con Microsoft GenAI descubiertos

Aunque se presenta como una herramienta de código abierto construida por la comunidad, investigaciones de OSINT revelan que la aplicación está directamente vinculada a los laboratorios de investigación de Microsoft GenAI en Beijing.

El repositorio oficial de GitHub para Vibing no contiene código fuente real; solo aloja un archivo binario de 80 MB.

Este ejecutable está firmado digitalmente por la investigadora de Microsoft Yaoyao Chang usando un cofirmante de SSL.com.

Las pruebas clave que vinculan este supuesto proyecto comunitario con Microsoft incluyen:

• El endpoint de Azure que recibe los datos recopilados pertenece a un inquilino corporativo de Microsoft.
• Las primeras menciones de Vibing aparecieron directamente en la página oficial de GitHub de Microsoft VibeVoice.
• La documentación de instalación presenta capturas de pantalla tomadas desde dispositivos corporativos autenticados de Microsoft.
• El proyecto utiliza el mismo logotipo que el producto oficial VibeVoice de Microsoft.

Implicaciones de privacidad y seguridad

Al hacerse pasar por una iniciativa impulsada por la comunidad, los desarrolladores parecen haber eludido los rigurosos procesos internos de gobernanza, privacidad y revisión de seguridad de Microsoft.

Según el investigador Kevin Beaumont en DoublePulsar, la aplicación expone una enorme superficie de ataque y opera con una opacidad preocupante.

Los equipos de seguridad y administradores deben tener en cuenta varias violaciones críticas de privacidad:

• La política de privacidad de la Microsoft Store afirma falsamente que no se envían datos a terceros.
• Los usuarios no reciben avisos en la aplicación ni solicitudes de consentimiento antes de que comience la transmisión de audio y pantalla.
• No hay un controlador de datos designado, ni transparencia sobre las políticas de retención de datos.
• El seguimiento de pulsaciones de teclas y capturas de pantalla mediante GUID de hardware crea graves riesgos de vigilancia a largo plazo.

A pesar de la creciente presión de la comunidad de desarrolladores, Microsoft aún no ha emitido una respuesta formal.

Los desarrolladores han etiquetado a los empleados de Microsoft involucrados en GitHub para destacar la recopilación encubierta de datos.

Sin embargo, las personas asociadas con el proyecto han ignorado las etiquetas o cerrado abruptamente los problemas, dejando a la comunidad de seguridad sin respuestas.

Los cazadores de amenazas y los equipos de seguridad deben monitorear sus entornos en busca de los siguientes indicadores asociados con este software: vibing.exe, Vibing Installer.exe, vibing-api-ccegdhbrg2d6bsd7.b02.azurefd.net