Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Archivo cifrado y persistencia del malware ClickFix.

Síntesis y análisis propios a partir de la cobertura de BleepingComputer; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

BleepingComputer atribuye a Huntress al menos 40 incidentes conectados a la página de Google Sites empleada en la campaña, pero solo dos con vínculo confirmado a un GPT personalizado.

Huntress identificó un segundo GPT vinculado a la campaña el 27 de septiembre, dos días después de que OpenAI retirara el primero, según la publicación.

La página de destino simulaba una verificación de Cloudflare y pedía ejecutar una orden de PowerShell que iniciaba la cadena de infección.

Si el usuario ejecutaba la orden, se instalaba un MSI malicioso que cargaba una aplicación firmada junto con una DLL modificada para introducir un troyano de acceso remoto.

La persistencia observada incluía una clave Run y una tarea programada de Windows, ambas llamadas Canon Configuration Reader.

En ataques más recientes, los investigadores observaron el paso de una aplicación firmada por Canon a otra firmada por Stardock y cambios en la ocultación del cargador, mientras la carga final se mantenía.

Huntress describe un sistema de archivos cifrado propio dentro de la cadena, con un índice de 1.128 entradas, destinado a ocultar el script de persistencia y el troyano.

Análisis de Defensops

La precisión de los recuentos importa: los incidentes relacionados con la página de destino no equivalen a cuarenta infecciones originadas por un GPT personalizado. La investigación confirma ese vínculo solo en dos casos. El abuso de un dominio legítimo de conversación es una vía de captación dentro de una campaña más amplia, y el punto que transforma el engaño en ejecución sigue siendo la orden que la víctima introduce en su propio equipo.

Los artefactos de persistencia y la sustitución de la aplicación firmada aportan criterios observables para buscar actividad en endpoints. Al mismo tiempo, la variación del cargador limita el valor de una detección basada solo en un nombre de archivo o fabricante. La estructura cifrada descrita por Huntress explica por qué parte del contenido malicioso puede no resultar evidente al revisar archivos individuales, mientras que la secuencia de procesos y tareas ofrece contexto verificable.

Prioridades de revisión

Con urgencia, localizar equipos en los que usuarios hayan ejecutado órdenes de PowerShell sugeridas por una falsa verificación al seguir enlaces de GPT personalizados o de la página de Google Sites descrita.

En esos equipos, revisar la creación de instaladores MSI desde directorios temporales, la clave Run y la tarea programada Canon Configuration Reader, conservando registros y copias de los artefactos.

Comprobar si aplicaciones firmadas por terceros se ejecutaron desde ubicaciones inusuales bajo el perfil de usuario y correlacionarlas con cargas de DLL y actividad posterior.

Actualizar las búsquedas para incluir tanto la variante Canon como la Stardock y dar prioridad a la cadena de procesos, ya que el cargador cambió entre muestras.

Corregir cualquier informe interno que haya presentado los 40 incidentes conectados a la página como 40 infecciones confirmadas mediante GPT personalizados.

Qué no se ha confirmado

La publicación no establece cuántos de los al menos 40 incidentes terminaron en infección efectiva.

No se conoce el alcance completo de los GPT creados por el atacante ni si el segundo seguía activo después de la publicación del informe.

No se atribuye públicamente la campaña a un actor identificado.

Fuente

BleepingComputer. Fecha indicada: 2026-09-29.