Microsoft ha advertido sobre una campaña activa de criptojacking que utiliza interacciones de chatbots de inteligencia artificial (IA) como mecanismo para mostrar sitios de descarga maliciosos.
«Esta técnica de entrega emergente extiende la ingeniería social más allá de los resultados de búsqueda convencionales y aumenta la visibilidad de las recomendaciones de software malicioso», dijeron expertos de Microsoft Defender y el equipo de investigación de seguridad de Microsoft Defender. dicho en un informe publicado el martes.
La actividad, según el gigante tecnológico, se hace pasar por utilidades legítimas del sistema como CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack y PDFgear, probablemente en un intento de apuntar a usuarios que poseen GPU de alto rendimiento. La idea es centrarse en comprometer sistemas con mayor valor minero que infectar indiscriminadamente una gran cantidad de máquinas, añadió.
Los objetivos de la campaña no tienen una motivación meramente financiera. También se ha descubierto que los actores de amenazas establecen acceso remoto persistente a hosts comprometidos a través de implementaciones de ScreenConnect, que luego podrían aprovecharse para actividades posteriores, como robo de datos, movimiento lateral o ransomware.
La cadena de ataque es más deliberada que otros esfuerzos típicos de minería de criptomonedas, y opta estratégicamente por puntos finales que ayudan a maximizar el rendimiento de la minería de GPU por dispositivo comprometido. El fabricante de Windows dijo que detectó y bloqueó la actividad asociada con la campaña.
Todo comienza cuando los usuarios buscan utilidades de sistema confiables y software de monitoreo de hardware en los motores de búsqueda, que muestran sitios maliciosos que han sido manipulados mediante técnicas como el envenenamiento por optimización de motores de búsqueda (SEO). Las iteraciones posteriores observadas en abril de 2026 indican que los usuarios son dirigidos a estos sitios no a través de los resultados de los motores de búsqueda, sino a través de interacciones con herramientas basadas en modelos de lenguaje grande (LLM).
«En estos casos, a los usuarios que consultaban a los chatbots de IA para obtener recomendaciones de descarga de software se les presentaban enlaces a dominios controlados por atacantes dentro de las respuestas generadas», dijo Microsoft. «Si bien este comportamiento se basa en patrones observados y fuentes de datos correlacionadas, es consistente con técnicas emergentes en el envenenamiento de resultados de búsqueda de IA, lo que representa una extensión del envenenamiento de SEO tradicional más allá de los motores de búsqueda convencionales».
Cada uno de estos sitios contiene un botón de descarga destacado que recupera un archivo ZIP de un subdominio de gleeze específico de la campaña.[.]com, que está alojado en una infraestructura asociada con Dynu, un proveedor de DNS dinámico utilizado frecuentemente por actores de amenazas. Se han identificado más de 150 dominios maliciosos que sirven a las herramientas maliciosas.
El archivo ZIP descargado contiene un ejecutable legítimo junto con una DLL fraudulenta («autorun.dll») que se descarga cuando el usuario inicia el binario. La DLL está diseñada para instalar una segunda DLL maliciosa llamada «vcredist_x64.dll» usando «msiexec.exe». El archivo es un instalador empaquetado para el software ScreenConnect.
Una vez instalado ScreenConnect, el cliente intenta continuamente establecer contacto con un servidor controlado por un atacante ubicado en «193.42.11[.]108.» La sesión de ScreenConnect sirve entonces como conducto para un ejecutable llamado «SimpleRunPE.exe».
El binario es responsable de establecer la persistencia en el host mediante claves de ejecución del registro y tareas programadas, configurar exclusiones de Microsoft Defender, ejecutar comprobaciones antianálisis y emplear el proceso de vaciado para iniciar el código de minería bajo un binario confiable firmado por Microsoft.
En compromisos seleccionados, en lugar de depender de la funcionalidad de transferencia de archivos de ScreenConnect para descartar el binario, se utiliza un script de PowerShell para recuperar el binario de una unidad remota, almacenarlo localmente como «vlc.exe» para pasar desapercibido, crear una tarea programada para iniciarlo y luego eliminarlo.
El binario hueco, por su parte, se comunica con el servidor del atacante, transmite amplia información del host, descarga el archivo minero apropiado en tiempo de ejecución y lo ejecuta. El malware admite tres programas mineros: gminer, lolMiner y SRBMiner-MULTI.
Además, el binario recrea los artefactos de persistencia para garantizar una presencia continua y reconfigura las exclusiones de Defender en caso de que se eliminen. También está atento a los procesos en ejecución y procede a finalizar inmediatamente el minero si se detecta alguno de los siguientes procesos:
- taskmgr.exe (Administrador de tareas de Windows)
- Processhacker.exe, Processhacker2.exe (Hacker de procesos)
- procexp.exe, procexp64.exe (Explorador de procesos)
- systeminformer.exe (Informador del sistema)
«Esta combinación de entrega asistida por IA, suplantación de software y acceso persistente resalta cómo los actores de amenazas están adaptando estrategias de ingeniería social y monetización al comportamiento de los usuarios modernos», dijo Microsoft.
La divulgación se produce días después de que Microsoft detallara cómo un actor de amenazas desconocido comprometió un dispositivo de firewall F5 BIG-IP con acceso a Internet y abusó de relaciones de confianza para pasar a un host interno de Linux, destacando la explotación continua de los dispositivos de borde con acceso a Internet como puntos de acceso iniciales.
El host Linux, dijo la compañía, permitió al atacante realizar un reconocimiento completo y moverse lateralmente a un servidor Atlassian Confluence vulnerable, aunque los intentos de ejecutar código remoto a través de fallas de seguridad sin parches en el software no tuvieron éxito.
Como una forma de eludir estas restricciones, se dice que el actor de amenazas configuró un servidor FTP en el host Linux inicial utilizando Python. módulo ftplib para transferir una herramienta de escaneo personalizada al servidor de Confluence y luego obtuvo credenciales para la autenticación posterior en la infraestructura de Windows. A esto le siguieron los ataques de retransmisión Kerberos y la explotación de CVE-2025-33073.
«A partir de ahí, el actor de la amenaza comprometió una aplicación SaaS vulnerable y aprovechó sus credenciales para realizar ataques de autenticación de estilo retransmisión contra Active Directory», dijo. dicho.
«En este incidente, el actor de amenazas se autenticó en un servidor Linux a través de SSH usando una cuenta privilegiada. El actor de amenazas mantuvo este nivel de acceso durante toda la actividad observada sin establecer mecanismos explícitos de persistencia, lo que subraya el riesgo que representan las identidades con privilegios excesivos con derechos sudo».
A principios de este mes, Microsoft también arrojó luz sobre otra intrusión en la que los atacantes abusaron de relaciones operativas confiables y procesos de autenticación para establecer un acceso duradero, aprovechando un proveedor de servicios de TI externo comprometido y herramientas legítimas de administración de TI para orquestar una campaña encubierta centrada en el acceso a largo plazo y el robo de credenciales.
«Los proveedores de servicios externos y las herramientas de gestión integrada pueden convertirse en lagunas en la aplicación de la ley cuando la visibilidad es limitada o se asume la validación. Los actores de amenazas entienden esto», Redmond dicho. «Aprovechan componentes legítimos, rutas de actualización confiables e integraciones aprobadas para anclarse dentro de entornos que parecen compatibles en la superficie».
«Los defensores deben adoptar una postura de verificación deliberada. Confíe en sus proveedores y herramientas, pero valide su comportamiento dentro de su entorno. Las organizaciones que operan en sectores sensibles deben asumir que los actores de amenazas con este nivel de habilidad continuarán refinando el abuso de terceros, la interceptación de credenciales y los mecanismos de persistencia sigilosos para mantener el acceso estratégico».
