Ciberdelincuentes de habla china están utilizando páginas web falsas que imitan herramientas populares de inteligencia artificial, como DeepSeek, Quark Cloud y Pony, para infectar a usuarios de Windows. A través de estas trampas, ofrecen descargas aparentemente legítimas que en realidad instalan un malware de acceso remoto diseñado para ocultar su propósito real.

Cibercriminales de habla china están utilizando páginas de software falsas que imitan herramientas populares de inteligencia artificial para infectar a usuarios de Windows con malware de acceso remoto.

La campaña convierte el interés en DeepSeek en una trampa, ofreciendo lo que parece ser una descarga normal, pero entregando un instalador diseñado para ocultar su propósito real.

La operación también suplanta la identidad de Quark Cloud y Pony Activator, ampliando el número de personas que podrían confiar en la descarga.

Una vez que el instalador se ejecuta, lanza una cadena diseñada para debilitar los controles de seguridad y dar a los atacantes un punto de apoyo que puede ser utilizado para la vigilancia, el robo o la entrega de más malware.

Analistas de Zscaler ThreatLabz identificaron la actividad y la vincularon a un grupo de cibercrimen de habla china.

Zscaler ThreatLabz dijo en un informe que el grupo utilizó portales generados por IA para hacer que sus páginas de descarga imitadas fueran más convincentes.

El caso muestra lo rápido que un nombre de IA conocido puede convertirse en un señuelo. También subraya un riesgo familiar: una página pulida y un logotipo conocido no prueban que una descarga sea genuina, especialmente cuando proviene de un anuncio, un resultado de búsqueda o un enlace inesperado.

Para quienes defienden sus sistemas, la campaña es un recordatorio de que la prevención comienza antes de una infección: verifica los canales de descarga, evita que los usuarios ejecuten instaladores no aprobados y asegúrate de que las herramientas de seguridad no puedan ser desactivadas fácilmente por componentes vulnerables. Una revisión rápida de las instalaciones sospechosas puede limitar el daño rápidamente.

Grupo de habla china ataca a usuarios con una página falsa de DeepSeek

La primera etapa es un paquete de instalación de Windows, o MSI, creado con el kit de herramientas WiX. Su acción personalizada ejecuta código malicioso en lugar de simplemente instalar una aplicación.

Esa elección ayuda a que el archivo se parezca a un software de configuración ordinario mientras prepara el sistema para una actividad que tú, como víctima, no podrías ver fácilmente.

El instalador descifra cargas útiles adicionales directamente en la memoria, un método que limita los rastros útiles dejados en el disco.

ThreatLabz identified a Chinese-speaking cybercrime group leveraging AI-generated fake software download portals impersonating DeepSeek, Quark Cloud, and Pony Activator. Victims receive a WiX-built MSI that executes a malicious custom action, which decrypts multi-stage… pic.twitter.com/N51nl6qEDw

— Zscaler ThreatLabz (@Threatlabz) August 10, 2026

Esto hace que una investigación sea más difícil y puede retrasar las alertas. Señuelos similares han aparecido en malvertising contra usuarios de DeepSeek, donde sitios similares dirigían a los visitantes a descargas dañinas.

Después de este paso, los atacantes utilizan un controlador Adlice TrueSight versión 2.0.2, firmado pero vulnerable, para finalizar más de 200 productos de seguridad, según los investigadores.

Un controlador se ejecuta muy profundamente dentro de Windows, por lo que abusar de uno puede permitir que el malware interfiera con las protecciones que, de otro modo, lo detendrían o marcarían.

Esto no es solo un detalle técnico. Cuando la protección del endpoint se desactiva, un criminal puede trabajar con mucha menos visibilidad, dejando expuesta tanto la información personal como los sistemas empresariales.

Campañas recientes de abuso de controladores de seguridad ilustran por qué quienes defienden sus redes vigilan cada vez más de cerca las cargas de controladores inusuales, tanto como los ejecutables sospechosos.

Gh0st RAT eleva las apuestas

Con las defensas comprometidas, la campaña despliega una variante de Gh0st RAT, un troyano de acceso remoto. Dicho malware puede permitir que un operador controle un ordenador infectado a distancia.

El impacto inmediato puede incluir el robo de archivos, el monitoreo de la pantalla, la ejecución de comandos o el uso de la máquina como punto de lanzamiento para otras intrusiones.

El uso por parte del grupo de varios nombres de software conocidos es importante porque amplía el grupo de víctimas potenciales más allá de los usuarios dedicados de la IA.

Desarrolladores, estudiantes y oficinistas pueden buscar utilidades o servicios en la nube. El mismo patrón de ingeniería social aparece en descargas de repositorios de IA falsos, que utilizan páginas de proyectos con aspecto confiable para distribuir archivos dañinos.

Debes descargar software únicamente desde el sitio web verificado del proveedor o una tienda oficial confirmada, y debes tratar los archivos MSI inesperados como una señal de advertencia.

Las organizaciones deberían restringir quién puede instalar software y revisar las alertas de instalación de controladores no firmados o inusuales, la terminación de servicios de seguridad e instaladores que lanzan procesos hijos ocultos.

Los equipos de seguridad también deben mantener actualizados Windows y los controles de endpoint, habilitar la lista de bloqueo de controladores vulnerables cuando sea apropiado e investigar cualquier pérdida repentina de protección.

Informes más amplios sobre el abuso de controladores firmados muestran que una firma válida por sí sola no es garantía de que un controlador sea seguro en su contexto.

Fuentes:
https://cybersecuritynews.com/hacking-group-attacking-fake-deepseek/