Un GPT falso llamado «Plus 5.6» infecta PCs haciéndose pasar por ChatGPT

La firma de ciberseguridad Huntress descubrió una campaña de malware que usa anuncios patrocinados de Google y un GPT personalizado alojado dentro del dominio oficial chatgpt.com para engañar a los usuarios. El falso GPT, llamado «Plus 5.6», avisa de que el dominio principal tiene problemas y ofrece un «dominio de respaldo» que lleva a una página creada con Google Sites. Allí aparece una falsa comprobación CAPTCHA de Cloudflare que, mediante la técnica conocida como ClickFix, induce a la víctima a ejecutar un comando malicioso de PowerShell. Ese comando instala un troyano de acceso remoto (RAT) que permite a los atacantes controlar el escritorio, explorar archivos, ver qué programas hay instalados y acceder a la cámara, el micrófono y el audio del equipo, además de descargar nuevas cargas maliciosas y mantenerse activo tras reiniciar. Según Huntress, respondió a al menos 40 incidentes vinculados a la página de Google Sites usada en esta campaña, de los que dos se originaron directamente en uno de los GPT personalizados de los atacantes.

El caso muestra que los ciberdelincuentes están usando servicios legítimos como ChatGPT, Google Ads y Google Sites para ganarse la confianza de la víctima, en lugar de crear páginas falsas desde cero. Esto hace más difícil detectar el engaño a simple vista, porque el usuario parte de un dominio real antes de ser redirigido. El troyano instalado da acceso a información sensible, desde documentos personales hasta credenciales de otros servicios.