• Un clon fraudulento de ChatGPT ha logrado posicionarse en Google para engañar a los internautas. A través de una técnica denominada estafa ClickFix, los ciberdelincuentes logran que las víctimas instalen un malware diseñado para tomar el control total del ordenador.

Un falso ChatGPT está siendo utilizado como señuelo para infectar ordenadores con malware. Los atacantes han conseguido promocionar una versión modificada del chatbot en anuncios de Google y dirigir a los usuarios hacia una página aparentemente legítima que termina poniendo en peligro todo el equipo.

La campaña ha sido descubierta por investigadores de Huntress y utiliza una técnica conocida como ClickFix, basada en engañar a la víctima para que ejecute por sí misma una instrucción que supuestamente sirve para solucionar un problema o completar una comprobación de seguridad.

En este caso, los delincuentes crearon un GPT personalizado llamado Plus 5.6. El servicio parecía formar parte de ChatGPT y estaba alojado dentro del propio dominio de OpenAI, algo que podía generar todavía más confianza entre quienes llegasen hasta él.

El GPT malicioso dirige a los usuarios hacia una página alojada en Google Sites que imita una comprobación de Cloudflare. La web muestra un mensaje que pide realizar una acción aparentemente necesaria para verificar que el visitante es una persona real.

El problema es que seguir las instrucciones termina descargando e instalando software malicioso en Windows.

Los investigadores de Huntress detectaron al menos 40 incidentes relacionados con la página utilizada en esta campaña, aunque solo dos pudieron vincularse directamente con una versión de ChatGPT personalizada y maliciosa.

OpenAI retiró el primer GPT identificado el 25 de septiembre. Sin embargo, dos días después los investigadores encontraron otro relacionado con la misma campaña, lo que demuestra que los atacantes podían volver a poner en circulación el señuelo.

Una vez que la víctima cae en la trampa, el programa instalado permite a los atacantes acceder remotamente al ordenador. Entre sus capacidades se encuentran controlar el escritorio, buscar archivos, obtener información del equipo e incluso acceder a la cámara y al micrófono.

Además, el malware está preparado para mantenerse activo después de reiniciar Windows, por lo que eliminarlo no resulta tan sencillo como cerrar una ventana del navegador.

Huntress también ha detectado cambios en la campaña. Los atacantes han ido modificando algunos elementos utilizados para esconder el malware, aunque el objetivo final continúa siendo el mismo y es conseguir que el usuario confíe en unas instrucciones falsas y las ejecute en su propio ordenador.

El caso es un ejemplo de que un resultado de Google o una página que parezca legítima no garantiza que sea segura.