Entre abril y junio, HP descubrió una campaña que utilizaba agentes de inteligencia artificial como cebo para cometer fraude financiero. (Biblioteca de imágenes ilustrativas)
Los ciberdelincuentes utilizan agentes falsos de inteligencia artificial (IA) para engañar a los usuarios para que instalen malware que reemplaza las extensiones legítimas de billeteras de criptomonedas y roba sus contraseñas.
HP descubrió el comportamiento entre abril y junio, cuando los agentes de IA (sistemas que pueden realizar tareas en nombre de los usuarios) se convirtieron en un nuevo señuelo para el fraude financiero.
Esta actividad es parte del informe Threat Insights de HP, que analiza millones de dispositivos protegidos por HP Wolf Security para identificar actividad reciente y métodos utilizados para evadir los sistemas de detección.
El ataque se considera una alternativa a los asesores financieros tradicionales: los ciberdelincuentes prometen una herramienta para monitorear automáticamente las carteras y transacciones de criptomonedas.
El sitio web Tradingclaw se posicionó como un asistente de inteligencia artificial para el comercio de activos digitales, pero difundió el malware Needle Stealer. (Biblioteca de imágenes ilustrativas)
El sitio web Tradingclaw pretende ser un asistente de inteligencia artificial para el comercio de activos digitales, pero difunde una serie de malware llamado Needle Stealer. Una vez instalado, el programa escanea su navegador en busca de extensiones de billetera, incluidas Coinbase y MetaMask.
Cuando el programa los encuentra, los reemplaza con copias visualmente similares; Al ingresar sus datos de inicio de sesión, la víctima entrega sus credenciales al atacante, quien puede acceder a sus fondos.
Patrick Schläpfer, investigador principal de HP Security Labs, advirtió que los atacantes «están utilizando herramientas de inteligencia artificial proxy para desarrollar nuevos honeypots para engañar a los usuarios para que descarguen malware de apariencia legítima». En su opinión, esta táctica hace que la distribución de estos programas sea «más compleja y difícil de detectar».
La segunda campaña combinó Phantom Gate y Phantom Stealer para implementar una cadena de infección diseñada para robar información y datos financieros. (Biblioteca de imágenes ilustrativas)
La segunda campaña detectada combina el cargador de malware Phantom Gate con Phantom Stealer, una herramienta diseñada para robar información, incluidas credenciales y datos financieros.
Phantom Stealer se promociona como un programa legítimo de pruebas de penetración, mientras que Phantom Gate permite a los delincuentes implementar y ampliar campañas de infección.
Schlapfer cree que estas herramientas reflejan «un panorama de amenazas ampliado» porque permiten que se establezcan «cadenas de infección peligrosas». El resultado es un mayor riesgo de daño tisular.
El phishing con códigos QR redirige a las víctimas desde un archivo PDF a una página fraudulenta en su teléfono móvil para obtener credenciales de acceso. (Biblioteca de imágenes ilustrativas)
El tercer método utiliza el phishing, una práctica engañosa que utiliza un código QR para hacerse pasar por una página o servicio para obtener información personal. Las víctimas reciben un archivo PDF oscuro que, según afirman, está oculto «por razones de seguridad» y se les pide que escaneen un código con su teléfono para acceder a la información.
El código redirige al usuario desde el dispositivo a una página fraudulenta. Estas direcciones se bloquean cuando se abren desde una computadora, pero se pueden usar en teléfonos móviles, que están menos protegidos y exponen las credenciales de acceso.
HP Wolf Security puede observar estos ataques porque ejecuta programas sospechosos dentro de contenedores protegidos. Este aislamiento nos permite entender el comportamiento de los delincuentes sin que el dispositivo se vea afectado.
Los usuarios protegidos por el servicio han abierto 60 mil millones de archivos adjuntos de correo electrónico, páginas web y archivos descargados sin ninguna violación de seguridad.
En el 40% de los casos, los archivos ejecutables provocaron la propagación del malware. (Biblioteca de imágenes ilustrativas)
Los datos muestran que al menos el 10% de las amenazas detectadas en el correo electrónico mediante HP Sure Click pueden eludir uno o más escáneres de puerta de enlace de correo electrónico.
Asimismo, los ejecutables son el mecanismo de distribución más común, apareciendo en el 40% de los casos. Los archivos comprimidos representaron el 38%, mientras que los PDF alcanzaron el 7,5%.
James Wright, director global de seguridad de sistemas personales de HP, dijo que los usuarios «se mueven constantemente entre dispositivos y aplicaciones» a través de navegadores y herramientas de inteligencia artificial, y los delincuentes están actualizando rápidamente sus tácticas para mantenerse al día con ellos.
Por lo tanto, pide a las organizaciones que adopten un modelo de confianza cero basado en aislar y contener clics y descargas que no sean de confianza.
