Están engañando a desarrolladores de software mediante el uso de envenenamiento de SEO para posicionar páginas de instalación falsas por encima de las oficiales. Estas webs fraudulentas imitan herramientas de IA populares como Gemini CLI y Claude Code, induciendo a los usuarios a ejecutar comandos peligrosos en sus propios equipos.

Están atacando a los desarrolladores de software creando páginas de instalación falsas para dos herramientas de codificación de IA muy populares: Gemini CLI y Claude Code.

Los atacantes están utilizando una técnica llamada envenenamiento de SEO para posicionar sus sitios web maliciosos por encima de los reales en los resultados de búsqueda, engañando a los desarrolladores para que ejecuten comandos peligrosos en sus propias máquinas.

La campaña comenzó a aparecer a principios de marzo de 2026 y se ha expandido más allá de las herramientas de IA. Las víctimas son atraídas a páginas falsas casi idénticas a las guías de instalación oficiales, donde pegan un único comando de PowerShell en su terminal.

Esa sola acción despliega silenciosamente un potente infostealer (ladrón de información) capaz de extraer credenciales, tokens de sesión y archivos confidenciales.

Analistas de EclecticIQ identificaron esta campaña en curso y descubrieron que el malware se ejecuta enteramente en la memoria a través de PowerShell, sin dejar archivos en el disco.

EclecticIQ dijo en un informe  que el infostealer recolecta credenciales de una amplia gama de aplicaciones antes de exfiltrar los resultados de forma cifrada a un servidor de comando y control.

Los datos robados incluyen tokens OAuth, credenciales de CI/CD, detalles de VPN corporativas y cookies de sesión de plataformas como Slack, Microsoft Teams, Discord y Telegram.

Una cookie de sesión válida permite que un atacante entre directamente en el espacio de trabajo de la víctima, omitiendo tanto las contraseñas como la autenticación de múltiples factores. Este acceso alimenta la demanda en los mercados subterráneos de brokers de acceso.

Más allá del robo de credenciales, el malware otorga a los atacantes la capacidad de ejecutar código adicional en las máquinas infectadas de forma remota.

Aunque no se encontró ningún mecanismo de persistencia en el script, esta capacidad significa que los operadores pueden realizar intrusiones más profundas, convirtiendo la estación de trabajo de un solo desarrollador en una brecha en toda la empresa.

Los hackers usan envenenamiento de SEO

La cadena de infección es simple pero efectiva. Un desarrollador busca cómo instalar Gemini CLI o Claude Code, y el primer resultado se ve exactamente como la página oficial.

En la campaña de Gemini, las víctimas eran dirigidas a geminicli[.]co[.]com, que solicitaba un comando de PowerShell que descarga silenciosamente una carga útil de infostealer llamada Install.ps1 desde gemini-setup[.]com.

Lo que hace que este truco sea tan convincente es que el Gemini CLI real se instala en paralelo. El paquete npm genuino se completa en la terminal, dándote todas las razones para creer que nada salió mal.

Para cuando la herramienta está lista, el infostealer ya ha terminado de recolectar y enviar tus datos.

La campaña de Claude Code siguió el mismo libro de estrategias. El 30 de marzo de 2026, el actor de la amenaza registró claudecode[.]co[.]com y claude-setup[.]com utilizando patrones de nomenclatura idénticos.

La página clonada coincidía con la documentación oficial lo suficiente como para engañar a la mayoría de los usuarios, y los datos exfiltrados se enviaban a events[.]ms709[.]com.

Los analistas de EclecticIQ pivotaron desde esos dominios utilizando registros DNS pasivos y descubrieron un grupo de más de 30 dominios maliciosos que también suplantaban a Node.js, Chocolatey, KeePassXC y Monero.

La mayoría fueron registrados entre finales de marzo y principios de abril de 2026, lo que apunta a una campaña coordinada y activa.

Infostealer de PowerShell sin archivos diseñado para evadir la detección

Una vez que se ejecuta la carga útil de la segunda etapa, desactiva inmediatamente las defensas principales de Windows. Parchea el Seguimiento de Eventos para Windows (ETW) para suprimir el registro y evade la Interfaz de Escaneo de Antimalware (AMSI), permitiendo que el resto del script se ejecute sin ser detectado.

El script abarca aproximadamente 6,800 líneas de código basura e incluye una comprobación de sandbox para evitar entornos de análisis. El stealer carga tres componentes de C# en tiempo de ejecución para sondear a fondo el host.

Uno extrae las entradas del Administrador de Credenciales de Windows, otro captura la resolución de la pantalla para el huellado (fingerprinting), y un tercero enumera los procesos en ejecución a través de la API del Administrador de Reinicio para evitar la detección.

Todo se ejecuta dentro de PowerShell sin escribir un solo archivo en el disco. Para defenderte de esta amenaza, EclecticIQ recomienda buscar el patrón irm | iex en los registros de línea de comandos y alertar sobre ejecuciones ocultas de PowerShell.

Imponer el Modo de Lenguaje Restringido de PowerShell, utilizar llaves FIDO para cuentas privilegiadas y desplegar tokens OAuth de corta duración puede limitar significativamente el daño si tus credenciales son robadas.