Elimina ya mismo estas apps que suplantan a ChatGPT y a Claude

Un grupo de ciberdelincuentes desconocidos distribuye desde hace al menos dos meses clientes falsos de ChatGPT y Claude que, en lugar de ofrecer acceso a estos asistentes de inteligencia artificial, instalan un programa de minería de criptomonedas en las computadoras de las víctimas.

El hallazgo pertenece a Check Point Research (CPR), firma de ciberseguridad que detectó aplicaciones falsas con nombres como GPT-5.6 Sol, GPT-6 Astra y Claude Opus alojadas en GitHub .

A diferencia de otras campañas similares, los responsables no recurrieron a métodos habituales para simular legitimidad , como inflar artificialmente el número de descargas, usar bots para sumar estrellas o publicar comentarios falsos en los repositorios.

En su lugar, apostaron por una estrategia distinta para captar víctimas: posicionar sus páginas en los primeros resultados de Google mediante envenenamiento de SEO .

Cómo logran aparecer primero en Google El envenenamiento de SEO (Search Engine Optimization) consiste en comprar cientos o miles de artículos , publicaciones de blog y contenidos en redes sociales en la dark web, para luego difundirlos masivamente en internet.

Cada publicación incluye un enlace a la página de GitHub que los atacantes quieren promocionar, lo que genera una señal artificial de popularidad y relevancia frente al algoritmo de Google.

Como resultado, el buscador posiciona esas páginas entre los primeros resultados para determinadas palabras clave, sin saber que está facilitando el acceso de las víctimas a contenido malicioso .

Los atacantes además crearon sitios adicionales en GitHub para describir las supuestas aplicaciones, con enlaces directos a los archivos de instalación.

Esta técnica existía antes de la llegada de la inteligencia artificial generativa, pero ahora resulta más sencilla de ejecutar : las mismas herramientas de IA permiten generar grandes cantidades de artículos de baja calidad a un costo mínimo.

Google trabaja en identificar y etiquetar este tipo de contenido como spam, aunque el proceso continúa en desarrollo.

El malware que se oculta tras las apps falsas Quienes descargan estos instaladores no obtienen un cliente independiente de IA, sino un programa malicioso bautizado Yoba .

Una vez ejecutado, el malware se asegura persistencia en el sistema al crear un mecanismo que lo vuelve a activar automáticamente cada vez que la computadora se reinicia.

Para dificultar su detección, se presenta como un software legítimo de Windows.

Yoba también verifica que el equipo infectado no se encuentre en un entorno de análisis (sandbox) ni pertenezca a lo que los atacantes consideran un país “amigo”.