La barra de direcciones decía chatgpt.com, y ahí estaba todo el truco
Todo consejo sobre cómo evitar software falso empieza por mirar la barra de direcciones. Aquí la barra de direcciones tenía razón. La página estaba de verdad en chatgpt.com, porque los atacantes habían montado su cebo dentro de la propia función Custom GPT de OpenAI, que permite a cualquiera publicar una versión configurada de ChatGPT en el dominio auténtico.
Huntress publicó el análisis el 28 de septiembre. Quien buscaba "chatgpt" en Google se topaba con un resultado patrocinado que llevaba a un Custom GPT llamado "Plus 5.6", elegido para sonar a modelo oficial. Escribe cualquier cosa y responde que el uso en el dominio principal está restringido, ofreciendo un dominio de respaldo. Ese respaldo es una página de Google Sites con una verificación de Cloudflare falsificada, y la verificación pide pegar una línea en Windows PowerShell para demostrar que eres humano. El Cloudflare de verdad nunca ha pedido eso a nadie.
Lo que viene después es largo y calculado. El comando descarga un script ofuscado, que instala un MSI, que deja un programa firmado por Canon junto a una DLL manipulada para que Windows cargue la mala a cuenta de la reputación de la buena. La herramienta de acceso remoto viaja dentro de un archivo llamado Common.Integrator.Preview.wav. Una vez en marcha ofrece escritorio remoto, captura de pantalla, cámara y micrófono, búsqueda de archivos y la posibilidad de traer más. Huntress contó al menos 40 incidentes rastreados hasta esa única página de Google Sites. OpenAI retiró el primer Custom GPT el 25 de septiembre; los investigadores encontraron un segundo todavía activo el 27. La función se retira igualmente el 11 de diciembre.
La regla que sobrevive a todo esto es estrecha y conviene memorizarla: ningún sitio legítimo, ningún captcha y ninguna página de descarga te pedirá jamás que copies algo en PowerShell o en el cuadro Ejecutar. Si ya lo has hecho una vez, da por supuesto que algo se ejecutó. La comprobación de seguridad de Tendvane repasa lo que está instalado y lo que arranca con Windows, que es donde una cosa así acaba asomando.