Un falso ChatGPT «Plus 5.6» usa anuncios de Google para instalar un troyano en Windows
Buscar ChatGPT en Google parece una tarea de lo más inocente, pero algunos anuncios patrocinados están aprovechando ese gesto para tender una trampa. El detalle que hace especialmente convincente esta estafa es que el primer destino puede ser el auténtico chatgpt.com, con una conversación que aparenta ofrecer un modelo llamado «Plus 5.6».
Detrás de ese nombre no hay una nueva versión oficial de la IA, sino un GPT personalizado creado por atacantes. Su objetivo es convencerte de que visites un supuesto dominio de respaldo y completes una falsa verificación que termina instalando un troyano de acceso remoto en Windows, capaz de abrir la puerta a la vigilancia y a nuevas descargas maliciosas.
Las investigaciones de Huntress e Island muestran cómo los delincuentes encadenan anuncios, contenido alojado en servicios conocidos y mensajes de apariencia técnica. La infección descrita requiere que la víctima ejecute una orden en su ordenador: abrir una conversación en ChatGPT no equivale, por sí solo, a infectar el equipo.
El falso «Plus 5.6» se aprovecha de la confianza en ChatGPT
El punto de entrada observado en algunos casos es un anuncio que aparece al buscar «chatgpt» en Google. Al pulsarlo, el usuario llega a una página del dominio real de OpenAI, pero el contenido que encuentra corresponde a un GPT personalizado controlado por terceros, no a la experiencia oficial que esperaba abrir.
Estos GPTs permiten adaptar el comportamiento de un chatbot con instrucciones, archivos y herramientas, y compartirlo con otras personas. Los atacantes utilizaron esa posibilidad para presentar «Plus 5.6» con un nombre que suena a producto oficial, aprovechando que muchos visitantes no distinguen entre el nombre de un asistente personalizado y el de un modelo.
La página mostraba que el asistente procedía de un creador de la comunidad, una pista útil para reconocer su origen. Sin embargo, esa indicación puede pasar desapercibida si alguien solo comprueba la dirección del navegador y ve chatgpt.com, una web a la que ya concede confianza.
Según la investigación de Huntress, publicada el 28 de septiembre, el GPT respondía a las peticiones con un aviso de disponibilidad limitada. En lugar de ayudar con la consulta, proponía mejorar la suscripción a Plus o continuar en un supuesto dominio de respaldo, introduciendo así el siguiente paso de la estafa.
La supuesta verificación de Cloudflare es el paso peligroso
La excusa del servicio saturado resulta familiar y ayuda a que el cambio de página parezca razonable. El enlace de respaldo llevaba a un sitio alojado en Google Sites, donde los atacantes imitaban una comprobación de Cloudflare y mantenían la apariencia de estar resolviendo un problema de acceso a ChatGPT.
La falsa prueba pedía copiar una orden y pegarla en una terminal para demostrar que el visitante era una persona. En el recorrido documentado por Island, las instrucciones indicaban pulsar Windows + R, pegar el contenido del portapapeles y presionar Intro; detrás de esa secuencia aparentemente administrativa estaba la ejecución de código en el ordenador.
Este método se conoce como ClickFix: el engaño presenta una acción peligrosa como una solución o una verificación necesaria. La víctima acaba poniendo en marcha la infección con sus propias manos, convencida de que está completando un requisito para utilizar el servicio.
Por eso, el cambio decisivo ocurre cuando una página te pide salir del navegador y ejecutar algo en Windows. Una comprobación de identidad o una prueba contra bots no necesita que pegues comandos en PowerShell, Terminal o la ventana Ejecutar, por muy cuidado que esté el diseño y por muchos logotipos conocidos que incluya.
Un troyano que puede observar la pantalla, la cámara y los archivos
En la campaña analizada por Huntress, la orden iniciaba PowerShell y desencadenaba una cadena de infección de ocho etapas. El proceso acababa desplegando un troyano de acceso remoto, conocido por las siglas RAT, que permite al atacante actuar sobre el equipo de la víctima.
Para disimular la actividad, el malware se apoyaba en una aplicación legítima firmada por Canon y utilizaba un archivo de audio para ocultar parte de la carga. La firma de un programa conocido no convertía en seguro al conjunto: los delincuentes aprovechaban ese ejecutable para cargar componentes maliciosos colocados junto a él.
Huntress también documentó una variante posterior que utilizaba una aplicación firmada por Stardock y cambiaba el archivo empleado para esconder el cargador. El troyano final era el mismo, lo que muestra que los atacantes podían renovar el disfraz de la instalación mientras conservaban su capacidad de control remoto.
Entre las capacidades descritas figuran observar la pantalla, capturar imágenes de la cámara y audio del micrófono, explorar archivos y desplegar más malware. Se trata de funciones que el atacante puede activar tras la infección; el informe no permite afirmar que todas ellas se hayan utilizado contra cada una de las víctimas identificadas.
Qué significan los 40 incidentes y las 850 visitas a anuncios
Huntress contabilizó al menos 40 incidentes asociados al sitio de Google Sites utilizado en esta operación. En dos de ellos pudo confirmar que el recorrido había pasado por un GPT personalizado, una distinción importante para no atribuir automáticamente todos los casos a ese mismo punto de entrada.
Tras recibir el aviso de Huntress, OpenAI retiró el primer GPT, que ya no estaba disponible el 25 de septiembre. Sin embargo, los investigadores encontraron otro asistente con el mismo nombre vinculado a la campaña el día 27, de modo que la retirada de una página no detuvo definitivamente el intento de engaño.
La investigación de Island, publicada el 1 de octubre, siguió una actividad similar desde finales de mayo hasta el 24 de agosto de 2026. En ese periodo identificó unas 850 llegadas desde anuncios de pago, 26 destinos que imitaban ChatGPT y 71 identificadores de campañas de Google Ads, dentro de un conjunto más amplio de distribución.
Esas 850 llegadas no son 850 infecciones, y solo una parte de los destinos se confirmó como emisora del señuelo concreto del dominio de respaldo. Island observó un comportamiento compatible con la distribución de NetSupport RAT, una herramienta legítima de asistencia remota que los delincuentes pueden utilizar indebidamente; los informes no establecen que ambas operaciones pertenezcan a los mismos responsables.
Por qué un dominio auténtico ya no basta para detectar el engaño
El atractivo de esta técnica está en pedir prestada la reputación de una plataforma conocida. Un contenido creado por terceros puede vivir dentro de un dominio legítimo y aun así contener instrucciones o enlaces peligrosos, por lo que comprobar la URL sigue siendo útil, pero no basta para confiar en lo que aparece en pantalla.
Ya se vio una idea parecida en julio, cuando un anuncio de Bing dirigía a un Artifact alojado en el auténtico claude.ai que imitaba una descarga de Claude. El salto al malware se producía después, mediante un enlace externo, de manera que la primera página actuaba como aval aparente de lo que venía a continuación.
El abuso de la publicidad para distribuir malware tampoco se limita a los asistentes de IA. En Teknofilo ya explicamos cómo los anuncios falsos en Facebook pueden servir para infectar ordenadores con Windows; en estos casos, la familiaridad con el servicio ayuda a que el usuario baje la guardia.
Por otra parte, OpenAI tiene prevista la retirada de los GPTs personalizados y su migración a plugins. Su calendario oficial sitúa la retirada general el 11 de diciembre de 2026, aunque determinados espacios Enterprise con un aplazamiento aprobado podrán mantenerlos hasta el 11 de febrero de 2027.
En los entornos Enterprise afectados, el cierre de la creación de nuevos GPTs está previsto para el 26 de octubre, con fechas sujetas a cambios y avisos específicos para cada cuenta o espacio. Ese cambio no debe interpretarse como el final de este tipo de engaños: las conversaciones compartidas también han sido utilizadas como señuelo.
Cómo evitar la estafa y qué hacer si ya ejecutaste la orden
La regla más fácil de recordar es también la que rompe esta cadena de ataque: no pegues ni ejecutes un comando para demostrar que eres humano. Si una web o un chatbot te lo pide como parte de una verificación, cierra la pestaña y accede al servicio por una vía que conozcas.
Para utilizar ChatGPT, abre directamente chatgpt.com desde un marcador o utiliza su aplicación oficial. Así evitas depender de un anuncio en el buscador, que puede situar un enlace engañoso por delante del resultado que realmente querías visitar.
Si un asistente asegura que hay demasiados usuarios y te envía a un dominio de respaldo, trata ese mensaje como una señal de alarma. Puedes comprobar las incidencias del servicio en status.openai.com, en lugar de seguir una dirección proporcionada por un GPT de origen desconocido.
Si ya has ejecutado la orden, desconecta el ordenador de Internet para interrumpir la comunicación con el atacante y realiza un análisis completo con tu solución de seguridad. Desde otro dispositivo de confianza, cambia las contraseñas de tus cuentas más importantes y revisa sus sesiones abiertas para cerrar accesos que no reconozcas.
Conviene pedir ayuda técnica si se confirma la infección o no puedes verificar que el equipo haya quedado limpio. Un troyano de acceso remoto puede dejar mecanismos para volver a ejecutarse, por lo que borrar una descarga o cerrar la página no demuestra que el problema esté resuelto.
