PLANETA CANARIO
Una sofisticada campaña de ciberestafa dirigida específicamente a España está utilizando la imagen y las comunicaciones de OpenAI (ChatGPT) como señuelo para infectar equipos corporativos y robar información sensible.
Así lo ha alertado la empresa TNEcom tras un análisis técnico realizado por el experto en ciberseguridad Tomás Pérez, quien advierte de que hasta el 60% de las empresas podría estar en riesgo debido al uso de técnicas avanzadas de evasión.
El ataque se basa en una campaña de phishing, una modalidad de fraude digital que busca engañar al usuario para que pulse un enlace o facilite datos confidenciales.
En este caso, los delincuentes envían correos electrónicos que simulan ser notificaciones oficiales de OpenAI, como avisos de “pago de suscripción rechazado” en ChatGPT, con un diseño muy similar al original.
Sin embargo, el mensaje no procede de los dominios legítimos de OpenAI. Mientras las comunicaciones auténticas se envían desde direcciones como noreply@tm.openai.com , los correos fraudulentos llegan desde servidores externos, por ejemplo postmaster@07ce464afe.nxcli.io, una diferencia clave que suele pasar desapercibida para muchos usuarios.
Uso de infraestructuras legítimas para evadir la seguridad
Uno de los aspectos más preocupantes de esta campaña es su capacidad para eludir los sistemas de seguridad tradicionales. Para ello, los atacantes utilizan enlaces que redirigen a dominios de confianza, como notifications.googleapis.com, un servicio legítimo de Google. Esta técnica permite superar filtros antiphishing y listas negras, ya que el enlace aparenta ser seguro.
Una vez que la víctima hace clic, se activa un proceso de infección avanzado. El análisis ha detectado el uso de la técnica MITRE ATT&CK T1027, un estándar internacional que clasifica métodos de ataque informático. En este caso, se trata de una técnica de ofuscación, es decir, de ocultación del comportamiento real del software malicioso para evitar su detección.
Malware camuflado como procesos del sistema
El malware emplea el proceso identity_helper.exe, haciéndolo pasar por una función legítima del sistema operativo Windows. A través de este proceso, se cargan librerías críticas del sistema como dbghelp.dll, utilizada habitualmente para depuración de programas, pero que en este ataque se usa para maniobras de evasión, y rpcrt4.dll, una librería que permite realizar llamadas a procedimientos remotos y que facilita el control externo del equipo infectado.
Además, el software malicioso establece conexiones cifradas por el puerto 443, el mismo que se utiliza para la navegación web segura (HTTPS), con direcciones IP externas que actúan como centros de control. Entre ellas figuran 23.33.40.143 y otros rangos asociados a infraestructuras globales, lo que dificulta identificar el tráfico malicioso como anómalo.
“Esta campaña demuestra que los atacantes ya no solo buscan que el usuario haga clic; están diseñando procesos que imitan el comportamiento legítimo del sistema operativo para pasar desapercibidos”, explica Tomás Pérez. Según el experto, el uso de procesos como identity_helper.exe indica intentos claros de escalada de privilegios, es decir, de obtener más control del sistema, o de exfiltración de datos, la extracción silenciosa de información confidencial.
Recomendaciones urgentes para las empresas
Ante esta amenaza, los especialistas recomiendan a los departamentos de seguridad adoptar medidas inmediatas. Entre ellas, bloquear y monitorizar el tráfico hacia las direcciones IP identificadas (23.33.40.143, 142.250.72.10 y 142.251.45.164), vigilar la ejecución de procesos sospechosos como identity_helper.exe cuando invoquen librerías de depuración o llamadas remotas, y verificar cuidadosamente el origen de los correos electrónicos, desconfiando de cualquier mensaje que supuestamente proceda de OpenAI pero no use exclusivamente el dominio @openai.com, incluso si el enlace apunta a servicios de Google.
La campaña pone de relieve cómo el auge de la Inteligencia Artificial se ha convertido en un cebo perfecto para ataques altamente dirigidos, que combinan ingeniería social —el engaño al usuario— con técnicas de evasión propias de amenazas de alto nivel, tradicionalmente asociadas a operaciones gubernamentales o grupos muy especializados.
