Los equipos de Investigación de Amenazas y Tecnología de IA de Kaspersky detectaron una campaña de malware. La misma consistía en simular ofrecer la tecnología de inteligencia artificial (IA) DeepSeek. Estaba orientada a profesionales del sector tecnológico, como administradores de sistemas, desarrolladores e investigadores técnicos.
Los atacantes promovían el despliegue local de DeepSeek. Ello tenía la intención de ejecutar sistemas de IA de forma autónoma en hardware propio.
Jonathan Munizaga
Se insertaba un archivo malicioso el cual se hacía pasar por Ollama, un marco de código abierto muy popular para ejecutar modelos de IA generativa de forma local. Esto permitió a los atacantes infiltrarse en sistemas de individuos con altos privilegios.
María Isabel Manjarrez, investigadora de seguridad en el Equipo Global de Investigación y Análisis para América Latina en Kaspersky, declaró:
"El atractivo de ejecutar herramientas de IA generativa de forma local —mayor control, menor dependencia de servicios en la nube y mejor privacidad— es comprensible entre los profesionales de TI. Al dirigirse explícitamente a estos usuarios técnicamente capacitados, los atacantes logran una vía para pasar de dispositivos personales comprometidos a entornos corporativos con altos privilegios. Lo que parece una intrusión individual puede escalar rápidamente a un incidente cibernético organizacional de gran magnitud".
Francisco Carrasco M.
Los investigadores de Kaspersky identificaron los siguientes dominios como engañosos y distribuidores de este malware especializado:
Sitios maliciosos
- app delpaseek com
- app deapseek com
- dpsk dghjwd cn
El malware generaba túneles de comunicación encubiertos mediante el protocolo KCP. Lo anterior podría dar acceso remoto persistente al sistema comprometido.
Este acceso encubierto dejaba a los atacantes extraer información sensible, capturar credenciales, monitorear la actividad del sistema y moverse dentro de las redes corporativas en las que trabajan los profesionales afectados. La Red de Seguridad de Kaspersky detectó estas amenazas como Backdoor.Win32.Xkcp.a.
Jonathan Munizaga
En una campaña paralela, se descubrieron otros dominios, como deep-seek bar y deep-seek rest. Dichos enlaces distribuían malware con técnicas avanzadas de evasión, como esteganografía (ocultar código malicioso dentro de archivos aparentemente inofensivos) e inyección de procesos. Ello permitía al malware operar dentro de procesos legítimos del sistema y dificultaba su detección. Kaspersky catalogó esta amenaza como Trojan.Win32.Agent.xbwfho.
Jonathan Munizaga
Para prevención y protección, desde Kaspersky recomiendan lo siguiente:
- Implementar controles de aplicaciones: usar soluciones con capacidades estrictas de control de aplicaciones para impedir la instalación de herramientas no autorizadas, incluso si parecen legítimas.
- Realizar capacitaciones específicas en ciberseguridad: educar a los especialistas técnicos sobre tácticas de ingeniería social centradas en la IA, destacando cómo su interés en ejecutar modelos de forma local los convierte en objetivos atractivos.
- Desplegar soluciones de seguridad empresarial: la línea de productos Kaspersky Next ofrece protección en tiempo real contra estas amenazas, lo cual es especialmente importante para los sistemas utilizados por personal técnico con privilegios elevados en la red.
Nota: Se han omitido intencionalmente los puntos y/o dominios de los sitios dañinos.
