Quien busca una versión de escritorio de ChatGPT o Claude y la descarga desde un resultado de Google puede terminar con un programa que no tiene nada que ver con inteligencia artificial. Check Point Research (CPR) identificó una campaña activa desde hace al menos dos meses en la que se distribuyen clientes apócrifos de ambos asistentes alojados en GitHub, bajo nombres como GPT-5.6 Sol, GPT-6 Astra y Claude Opus. Al ejecutarse, esos instaladores no abren ningún chat: despliegan un minero de criptomonedas que trabaja con los recursos del equipo de la víctima.

Un atajo distinto para llegar al usuario

La particularidad de esta operación está en cómo los atacantes consiguen que sus páginas aparezcan arriba en las búsquedas. No inflaron descargas, no usaron bots para sumar estrellas en los repositorios ni publicaron reseñas falsas. Apostaron al envenenamiento de SEO (Search Engine Optimization): compraron cientos o miles de artículos y publicaciones en blogs y redes sociales de la dark web, y los difundieron masivamente con enlaces a las páginas de GitHub que querían promocionar.

Ese volumen de menciones le indica al algoritmo de Google que el contenido es relevante y popular, aunque sea artificial. El buscador termina mostrando esos repositorios entre los primeros puestos para ciertas palabras clave, sin advertir que conduce a material malicioso. Los responsables también crearon sitios auxiliares en GitHub que describen las supuestas aplicaciones y ofrecen enlaces directos a los archivos de instalación.

La técnica no nació con la IA generativa, pero hoy es más barata de ejecutar: las propias herramientas de inteligencia artificial permiten producir artículos de baja calidad en grandes cantidades y a costo mínimo. Google trabaja en detectar y etiquetar ese contenido como spam, aunque el proceso sigue en desarrollo.

Qué hace el malware en la computadora

El programa que se instala se llama Yoba. Para sobrevivir a los reinicios, crea un mecanismo que lo vuelve a activar cada vez que la máquina arranca, y se disfraza como software legítimo de Windows para pasar desapercibido. Antes de actuar, comprueba que el equipo no esté dentro de un entorno de análisis (sandbox) y que no pertenezca a lo que los atacantes consideran un país "amigo".

También revisa la configuración del teclado para no infectar sistemas de Rusia, Bielorrusia, Kazajistán y Uzbekistán, y puede demorar hasta dos semanas su ejecución para complicar el trabajo de los investigadores. CPR no determinó el origen geográfico de los responsables, aunque ese patrón de exclusiones podría ser una pista.

El objetivo: Monero sin pagar la factura

Una vez instalado, Yoba se conecta a un servidor de comando y control para bajar la carga final. Esa infraestructura sirve para distribuir casi cualquier amenaza, desde robo de datos hasta ransomware, pero en esta campaña se usa para desplegar XMRig, un minero de código abierto pensado para la criptomoneda Monero.

XMRig es una herramienta legítima en sí misma. Resulta atractiva para los delincuentes porque Monero fue diseñada con un enfoque de privacidad que dificulta rastrear las operaciones en la cadena de bloques, a diferencia de Bitcoin o Ethereum. Minar exige capacidad de cómputo, electricidad y conexión permanente a internet: al instalar el programa en muchos dispositivos sin permiso, los atacantes generan criptomonedas gratis mientras las víctimas pagan el consumo energético.

La campaña sigue activa y se apoya en un vector difícil de bloquear: la confianza en los primeros resultados del buscador. CPR recomienda descargar clientes de IA solo desde los sitios oficiales de sus desarrolladores y revisar qué se instala cuando una aplicación llega desde un repositorio de terceros.