Un grupo de piratas informáticos, presuntamente de Vietnam, ha estado utilizando anuncios en redes sociales que promocionan herramientas de IA generativa para distribuir malware desde al menos mediados de 2024, según Mandiant, propiedad de Google Cloud.
El 27 de mayo, Google Cloud publicó un nuevo informe que detalla los hallazgos de una investigación de Mandiant Threat Defense iniciada en noviembre de 2024.
La campaña maliciosa, que comenzó al menos a mediados de 2024, aprovecha el interés en las herramientas de IA, en particular en los servicios de generación de videos basados en IA, para distribuir malware que conduce a la implementación de cargas útiles como ladrones de información basados en Python y varias puertas traseras.
La campaña se atribuyó a un grupo identificado como UNC6032, al que el Grupo de Inteligencia de Amenazas de Google (GTIG) evaluó como vinculado con Vietnam.
Los hallazgos de este informe coinciden con un informe de Morphisec del 8 de mayo sobre Noodlophile Stealer, un ladrón de información recién descubierto, probablemente de origen vietnamita.
En la campaña descubierta por Mandiant, UNC6032 utilizó sitios web falsos de «generadores de vídeos con IA» para distribuir malware.
Esta es la cadena de infección típica:
Las víctimas son redirigidas a sitios web falsos a través de anuncios maliciosos en redes sociales como Facebook (ya sea desde una página creada por un atacante o una cuenta comprometida) y LinkedIn, que se hacen pasar por herramientas legítimas de generación de videos con IA, como Luma AI, Canva Dream Lab y Kling AI, entre otras.
Al hacer clic en uno de los anuncios maliciosos, son redirigidas a sitios web falsos que ofrecen supuestas funcionalidades, como la generación de texto a video o de imagen a video.
Cuando el usuario proporciona una solicitud para generar un video, independientemente de la entrada, el sitio web mostrará una de las cargas útiles estáticas alojadas en la misma infraestructura (o en una relacionada).
Las cargas útiles incluyen el dropper STARKVEIL, que implementa las puertas traseras XWORM y FROSTRIFT, y el descargador GRIMPULL.