Microsoft advirtió sobre una campaña de cryptojacking que utiliza chatbots de IA para engañar a usuarios y dirigirlos a sitios de descarga maliciosos. Los atacantes suplantan utilidades de sistema para infectar equipos con GPUs potentes, instalando software de minería y herramientas de acceso remoto. El objetivo es maximizar el beneficio financiero y facilitar posibles robos de datos o ataques de ransomware.

Microsoft ha advertido sobre una campaña activa de cryptojacking que utiliza interacciones con chatbots de inteligencia artificial (IA) como mecanismo para hacer aparecer sitios de descarga maliciosos.

"Esta técnica de entrega emergente extiende la ingeniería social más allá de los resultados de búsqueda convencionales y aumenta la visibilidad de las recomendaciones de software malicioso", dijeron los expertos de Microsoft Defender y el Equipo de Investigación de Seguridad de Microsoft Defender en un informe publicado el martes aquí.

La actividad, según el gigante tecnológico, suplanta utilidades legítimas del sistema como CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack y PDFgear, probablemente en un intento de apuntar a usuarios que poseen GPUs de alto rendimiento. La idea es centrarse en comprometer sistemas con un mayor valor de minería que infectar indiscriminadamente un gran número de máquinas, añadió.

Los objetivos de la campaña no están motivados únicamente por cuestiones financieras. También se ha descubierto que los actores de amenazas establecen un acceso remoto persistente a los hosts comprometidos mediante despliegues de ScreenConnect, que luego podrían aprovecharse para actividades posteriores, como el robo de datos, el movimiento lateral o el ransomware.

La cadena de ataque es más deliberada que otros esfuerzos típicos de minería de criptomonedas, optando estratégicamente por endpoints que ayuden a maximizar el rendimiento de minería de GPU por dispositivo comprometido. El fabricante de Windows afirmó que detectó y bloqueó la actividad asociada con la campaña.

Todo comienza cuando buscas utilidades del sistema y software de monitoreo de hardware confiables en los motores de búsqueda, que muestran sitios maliciosos que han sido manipulados mediante técnicas como el envenenamiento de la optimización de motores de búsqueda (SEO). Iteraciones posteriores observadas en abril de 2026 indican que los usuarios están siendo dirigidos a estos sitios no a través de los resultados de los motores de búsqueda, sino mediante interacciones con herramientas basadas en modelos de lenguaje extenso (LLM).

"En estos casos, a los usuarios que consultaban chatbots de IA para recomendaciones de descarga de software se les presentaban enlaces a dominios controlados por el atacante dentro de las respuestas generadas", dijo Microsoft. "Si bien este comportamiento se basa en patrones observados y fuentes de datos correlacionadas, es consistente con las técnicas emergentes de envenenamiento de resultados de búsqueda de IA, representando una extensión del envenenamiento SEO tradicional más allá de los motores de búsqueda convencionales".

Cada uno de estos sitios contiene un botón de descarga prominente que recupera un archivo ZIP de un subdominio específico de la campaña de gleeze[.]com, alojado en una infraestructura asociada con Dynu, un proveedor de DNS dinámico frecuentemente utilizado por actores de amenazas. Se han identificado más de 150 dominios maliciosos que sirven las herramientas maliciosas.



El archivo ZIP descargado contiene un ejecutable legítimo junto con una DLL maliciosa ("autorun.dll") que se carga lateralmente cuando el usuario inicia el binario. La DLL está diseñada para instalar una segunda DLL maliciosa llamada "vcredist_x64.dll" utilizando "msiexec.exe". El archivo es un instalador empaquetado para el software ScreenConnect.

Una vez instalado ScreenConnect, el cliente intenta continuamente establecer contacto con un servidor controlado por el atacante ubicado en "193.42.11[.]108". La sesión de ScreenConnect sirve entonces como conducto para un ejecutable llamado "SimpleRunPE.exe".

El binario es responsable de establecer la persistencia en el host utilizando claves de ejecución del Registro y tareas programadas, configurando exclusiones de Microsoft Defender, ejecutando comprobaciones anti-análisis y empleando la técnica de "process hollowing" para lanzar el código de minería bajo un binario firmado y confiable de Microsoft.

En algunos compromisos seleccionados, en lugar de confiar en la funcionalidad de transferencia de archivos de ScreenConnect para soltar el binario, se utiliza un script de PowerShell para obtener el binario desde una unidad remota, almacenarlo localmente como "vlc.exe" para pasar desapercibido, crear una tarea programada para lanzarlo y luego eliminarse a sí mismo.

El binario vaciado, por su parte, se comunica con el servidor del atacante, transmite información extensa del host, descarga el archivo de minería apropiado en tiempo de ejecución y lo ejecuta. El malware admite tres programas de minería: gminer, lolMiner y SRBMiner-MULTI.

Además, el binario recrea los artefactos de persistencia para asegurar su presencia continua y reconfigura las exclusiones de Defender en caso de que sean eliminadas. También vigila los procesos en ejecución y procede a terminar inmediatamente el minero si se detecta cualquiera de los siguientes procesos:

• * taskmgr.exe (Administrador de tareas de Windows)
• * processhacker.exe, processhacker2.exe (Process Hacker)
• * procexp.exe, procexp64.exe (Process Explorer)
• * systeminformer.exe (System Informer)

"Esta combinación de entrega asistida por IA, suplantación de software y acceso persistente resalta cómo los actores de amenazas están adaptando la ingeniería social y las estrategias de monetización al comportamiento moderno del usuario", dijo Microsoft.

La revelación se produce días después de que Microsoft detallara cómo un actor de amenazas desconocido comprometió un dispositivo de firewall F5 BIG-IP orientado a internet y abusó de relaciones de confianza para pivotar hacia un host Linux interno, destacando la explotación continua de dispositivos perimetrales orientados a internet como puntos de acceso inicial.

El host Linux, dijo la empresa, permitió al atacante realizar un reconocimiento exhaustivo y moverse lateralmente hacia un servidor Atlassian Confluence vulnerable, aunque los intentos de ejecutar código remoto a través de fallas de seguridad no parcheadas en el software no tuvieron éxito.

Como forma de eludir estas restricciones, se dice que el actor de amenazas configuró un servidor FTP en el host Linux inicial utilizando el módulo ftplib de Python aquí para transferir una herramienta de escaneo personalizada al servidor Confluence y luego obtuvo credenciales para la autenticación posterior contra la infraestructura de Windows. A esto siguieron ataques de relevo Kerberos y la explotación de la vulnerabilidad CVE-2025-33073.

"Desde allí, el actor de amenazas comprometió una aplicación SaaS vulnerable y aprovechó sus credenciales para llevar a cabo ataques de autenticación estilo relevo contra Active Directory", afirmó Microsoft.



"En este incidente, el actor de amenazas se autenticó en un servidor Linux a través de SSH utilizando una cuenta privilegiada. El actor de amenazas mantuvo este nivel de acceso durante toda la actividad observada sin establecer mecanismos de persistencia explícitos, subrayando el riesgo que representan las identidades con excesivos privilegios y derechos sudo".

A principios de este mes, Microsoft también arrojó luz sobre otra intrusión en la que los atacantes abusaron de relaciones operativas confiables y procesos de autenticación para establecer un acceso duradero, aprovechando un proveedor de servicios de TI externo comprometido y herramientas de gestión de TI legítimas para orquestar una campaña encubierta centrada en el acceso a largo plazo y el robo de credenciales.

"Los proveedores de servicios externos y las herramientas de gestión integradas pueden convertirse en brechas de seguridad cuando la visibilidad es limitada o se asume la validación. Los actores de amenazas entienden esto", dijo Redmond aquí. "Aprovechan componentes legítimos, rutas de actualización confiables e integraciones aprobadas para anclarse dentro de entornos que parecen conformes en la superficie".

"Los defensores deben adoptar una postura de verificación deliberada. Confía en tus proveedores y herramientas, pero valida su comportamiento dentro de tu entorno. Las organizaciones que operan en sectores sensibles deben asumir que los actores de amenazas con este nivel de pericia continuarán refinando el abuso de terceros, la interceptación de credenciales y los mecanismos de persistencia sigilosos para mantener el acceso estratégico".

Fuente:
THN