Minería de GPU Oculta Detrás de Búsquedas Falsas y Respuestas de IA

Un nuevo esfuerzo organizado de SEO poisoning y manipulación de recomendaciones de asistentes de inteligencia artificial está siendo utilizado por actores maliciosos para distribuir malware de criptominería dirigido a equipos con potentes GPUs. Investigadores de Microsoft describen cómo páginas de descarga falsas para utilidades legítimas —programas comunes entre jugadores, entusiastas del hardware y administradores de sistemas— se posicionan artificialmente en resultados de búsqueda y, en algunos casos, aparecen dentro de respuestas generadas por chatbots, redirigiendo a usuarios hacia archivos ZIP que combinan binarios legítimos con DLLs maliciosas. Más detalles técnicos están disponibles en el informe de Microsoft: Microsoft Security Blog.

La técnica que describen los analistas es doblemente peligrosa: primero, aprovecha la confianza del usuario en nombres de utilidades conocidas (p. ej. CrystalDiskInfo, HWMonitor, FurMark) para inducir la descarga; segundo, utiliza side‑loading de DLL y process hollowing para ejecutar el código malicioso dentro de binarios firmados por Microsoft, reduciendo la probabilidad de detección. El atacante instala además la herramienta legítima de acceso remoto ScreenConnect para mantener persistencia y desplegar otros componentes, y finalmente descarga motores de minería GPU como gminer, lolMiner o SRBMiner‑MULTI para exprimir la capacidad gráfica de la máquina.

La campaña no es un simple spam masivo: está calculada para maximizar el rendimiento de minería por dispositivo comprometido, atacando equipos con tarjetas gráficas potentes en lugar de infectar grandes volúmenes de PCs con CPUs débiles. Los adversarios también intentan evadir el análisis mediante comprobaciones de entornos virtualizados y la exclusión de procesos de herramientas forenses de las comprobaciones, e incluso manipulan configuraciones de Microsoft Defender para añadir exclusiones y ocultar su rastro. El dominio implicado en al menos una familia de archivos sospechosos, gleeze.com, ya había sido señalado por investigaciones anteriores: Malwarebytes sobre gleeze[.]com.

¿Qué implicaciones tiene esto para usuarios y organizaciones? Además del consumo de recursos y el impacto en la factura eléctrica, una infección de este tipo abre la puerta a compromisos más serios: ScreenConnect o cualquier herramienta de acceso remoto instalada de forma clandestina puede permitir a los atacantes ejecutar ransomware, exfiltrar datos o pivotar lateralmente dentro de una red. Para centros de datos, estaciones de trabajo para diseño 3D o laboratorios de investigación que dependen de GPUs, la afectación puede ser especialmente costosa y disruptiva.

En términos de detección, hay señales que conviene monitorizar: crecimientos súbitos en el uso de GPU, procesos firmados por Microsoft que actúan como contenedores (sospecha de process hollowing), actividad inusual de msiexec.exe vinculada a instalaciones no autorizadas, la presencia de ScreenConnect o archivos que se manifiestan en ubicaciones de autoinicio y entradas en la lista de exclusiones de Defender que el equipo no ha añadido conscientemente. El análisis del código mostró además un componente parecido a una implementación pública de runPE; quienes quieran revisar esa técnica pueden consultar recursos abiertos como este repositorio técnico: Simple‑RunPE (GitHub).

Las acciones concretas y prioritarias que recomendamos implementar inmediatamente son claras: primero, no fiarse ciegamente de enlaces generados por buscadores o asistentes IA; verifique siempre los sitios oficiales del desarrollador y las firmas/ hashes digitales de los instaladores. Segundo, restringir permisos de instalación a usuarios no administrativos y aplicar listas blancas de aplicaciones (AppLocker/WDAC) en entornos críticos para impedir la ejecución de binarios no autorizados. Tercero, para equipos con GPUs críticos, instrumentar alertas específicas por uso anómalo de GPU y tráfico saliente hacia pools de minería, y bloquear dominios y subdominios identificados como maliciosos en el proxy o firewall.

Para defensores y administradores, conviene añadir controles adicionales: auditar la lista de exclusiones de antivirus, monitorizar procesos padres y cadenas de invocación para detectar hollowing, bloquear msiexec.exe y otras utilidades de instalación para no ser invocadas por procesos no esperados, y aplicar segmentación de red para que cualquier acceso remoto inesperado no permita movimiento lateral. Microsoft publica indicadores de compromiso y reglas de detección asociadas que pueden consumirse para ajustes de EDR/IDS; consulte el informe y aplique esas IOC en su entorno: informe de Microsoft.

Finalmente, si sospecha que un equipo fue comprometido, desconéctelo de la red y preserve evidencias: volcar procesos y listados de autostart, revisar servicios instalados y claves de registro, y comprobar la presencia de ScreenConnect o ejecutables con nombres suplantados (p. ej. vlc.exe en rutas inesperadas). Notifique al equipo de seguridad y considere una reinstalación limpia si la persistencia es compleja. La combinación de ingeniería social vía búsqueda y recomendaciones generadas por IA demuestra que la higiene digital y la validación de fuentes siguen siendo la mejor defensa; desconfíe de atajos y confirme con las fuentes oficiales.