El sitio web cpuid.com, hogar de las ampliamente utilizadas utilidades de sistema CPU-Z y HWMonitor, está en el centro de un incidente activo de seguridad en la cadena de suministro. Los usuarios que descargaron HWMonitor 1.63 o los archivos ZIP de CPU-Z desde principios de abril han recibido, al parecer, instaladores troyanizados capaces de soltar DLLs maliciosas, evadir la detección de antivirus mediante ejecución en memoria y establecer conexiones con infraestructura controlada por atacantes.

El sitio web cpuid-dot-com, hogar de las ampliamente utilizadas utilidades de sistema CPU-Z y HWMonitor, está en el centro de un incidente activo de seguridad en la cadena de suministro.

Usuarios que descargaron HWMonitor 1.63 o los archivos ZIP de CPU-Z desde principios de abril han recibido, según informes, instaladores troyanizados capaces de soltar DLLs maliciosas, evadir la detección de antivirus mediante ejecución en memoria y establecer conexiones con infraestructura controlada por atacantes.

Los informes de la comunidad surgieron principalmente en Reddit el 10 de abril de 2026, describiendo un patrón consistente y alarmante: usuarios que hicieron clic en el enlace oficial de descarga de HWMonitor 1.63 en cpuid.com no recibieron el archivo esperado, hwmonitor_1.63.exe, sino que descargaron un archivo llamado HWiNFO_Monitor_Setup.exe.

Sitio web comprometido para distribuir versiones armadas

La discrepancia no parece accidental. El nombre del archivo parece deliberadamente diseñado para mezclar dos marcas confiables de monitoreo de hardware — CPUID y HWiNFO — explotando el hábito de los usuarios de confiar en nombres de utilidades familiares en lugar de examinar detenidamente los nombres exactos de los paquetes.

Varios usuarios también reportaron alertas de Windows Defender al descargar, texto en ruso apareciendo dentro del instalador Inno Setup y banderas de detección en múltiples escáneres de VirusTotal.

Se ha observado que la carga maliciosa suelta cryptbase.dll, una técnica de secuestro de DLL comúnmente usada para obtener ejecución persistente y sigilosa. La amenaza de múltiples etapas utiliza trucos en memoria para eludir el escaneo convencional de antivirus, haciendo que la detección a nivel de sistema de archivos sea poco confiable.

Lo que está confirmado es un entorno de descarga comprometido. Lo que aún no se ha resuelto forensemente es el mecanismo preciso. El sitio web de CPUID presenta una notable asimetría técnica: el instalador de configuración y los paquetes ZIP para HWMonitor 1.63 no se sirven desde la misma infraestructura.

La ruta del instalador se dirige a través de un subdominio dedicado download.cpuid.com, mientras que los enlaces de la versión ZIP apuntan directamente a un dominio de almacenamiento de objetos Cloudflare R2, una infraestructura dividida que podría representar un punto de manipulación.

La explicación más plausible actualmente es que una ruta de descarga dentro del backend de CPUID fue redirigida, reemplazada o manipulada de alguna manera, no que el proyecto HWiNFO en sí estuviera comprometido.

Esta distinción es importante. La página oficial de descargas de HWiNFO lista la versión 8.44 como la última versión estable (publicada el 4 de marzo de 2026), con un historial de versiones consistente y múltiples espejos verificados. Una detección anterior de HWiNFO por Bitdefender en enero de 2026 fue confirmada como un falso positivo y posteriormente retirada como un evento separado y no relacionado.

Todavía no se ha establecido públicamente si el incidente de CPUID proviene de una defacement del sitio web, un objeto backend comprometido, manipulación de redirecciones del lado del servidor o un secuestro de DNS. Tratar la sospecha como certeza forense en esta etapa sería prematuro, pero la precaución está absolutamente justificada.

Los enlaces de descarga en cpuid.com actualmente devuelven errores 404, lo que sugiere que los operadores del sitio han retirado los archivos afectados. CPUID no ha emitido una declaración pública hasta el momento de la publicación, aunque se informa que la compañía está investigando. Investigadores de seguridad han disecado las muestras del instalador y las han marcado en VirusTotal como amenazas de múltiples etapas.

Acciones recomendadas

• No descargues nada de cpuid.com hasta que la compañía emita un aviso verificado de seguridad.
• Escanea tu sistema inmediatamente si descargaste HWMonitor o CPU-Z después del 3 de abril de 2026.
• Revisa si existe cryptbase.dll en los directorios de aplicaciones como indicador de compromiso.
• Cambia a HWiNFO (hwinfo.com) como una alternativa segura y activamente mantenida para el monitoreo de hardware.
• Verifica los hashes de los archivos contra fuentes oficiales antes de ejecutar cualquier instalador de utilidades de sistema.

Este incidente es un recordatorio contundente de que incluso las herramientas de diagnóstico más rutinarias pueden convertirse en vectores de amenaza cuando la infraestructura detrás de ellas es el objetivo.