Los hackers han encontrado una forma bastante sucia, llamativa como poco, de aprovecharse del boom de la IA: usar chatbots y resultados de búsqueda envenenados para colar malware disfrazado de utilidades muy conocidas de PC. Microsoft ha detectado una campaña de cryptojacking de hackers mediante chatbots que apunta directamente a usuarios con equipos potentes, especialmente gamers y entusiastas del hardware, porque ahí es donde hay GPU capaces de minar criptomonedas sin que el atacante tenga que pagar la factura de la luz.
Dado que Irán era el paraíso de la criptominería por su energía baratísima, entendiendo todo lo que está pasando con el país y EE.UU., ahora los hackers tienen que buscar maneras de ahorrarse ese coste energético del resto del planeta para poder mantener su ratio de mining, y eso pasa por PC de jugadores de todo el planeta.
Hackers están usando chatbots para introducir malware y así usar las GPU de los gamers para minar
La trampa empieza con algo muy cotidiano que seguramente estés haciendo a diario. Buscamos una herramienta como HWMonitor, CrystalDiskInfo, Display Driver Uninstaller, FurMark, Pack o PDFgear, acabamos sin saberlo en una web falsa que parece legítima, incluso un clon de la original, descargamos un archivo ZIP y creemos que estamos instalando el software oficial y normal.
El problema es que ese paquete viene preparado para ejecutar código malicioso mediante DLL sideloading, una técnica que aprovecha ejecutables legítimos para cargar una DLL colocada al lado y arrancar la infección sin levantar tantas sospechas. Hace no mucho vimos algo similar con CPUID y el hackeo que sufrieron, solo que en este caso, lo que hacen normalmente es un clon de la web con la descrita descarga con malware.
Microsoft explica que la campaña se apoya en más de 150 dominios maliciosos y que lleva activa desde marzo de 2026, así que es realmente reciente y coincide, como decíamos, con la desesperación de haberse terminado la fiesta de la energía barata de Irán.
ScreenConnect para desplegar gminer, lolMiner y SRBMiner en tu PC sin tu permiso
Lo más delicado es que algunos enlaces no llegan solo desde Google o buscadores tradicionales, sino también desde respuestas generadas por herramientas de IA cuando el usuario pide recomendaciones de descarga. No hablamos de una IA “infectada”, sino de atacantes colocando páginas falsas con suficiente visibilidad para que terminen apareciendo como opciones aparentemente válidas.
Una vez dentro del sistema, el malware instala ScreenConnect, una herramienta legítima de acceso remoto que aquí se usa de forma abusiva. Después despliega mineros como gminer, lolMiner y SRBMiner-MULTI, todos orientados a exprimir la GPU. Para mantenerse en el equipo, añade tareas programadas, claves Run en el registro de Windows y accesos directos en la carpeta de inicio, lo que le permite volver a ejecutarse aunque reiniciemos el PC.
La parte más trabajada está en la evasión, la cual, es brillante como poco. El malware comprueba si estamos usando el equipo, si hay carga alta en la GPU, si hay juegos en marcha, si estamos haciendo streaming o si la temperatura puede delatar la actividad. Cuando detecta algo sospechoso para sus intereses, pausa la minería para que no notemos caídas de FPS, ventiladores disparados o tirones raros. También busca entornos de análisis, máquinas virtuales, depuradores y herramientas como Wireshark, ProcMon, x64dbg, dnSpy, IDA o Ghidra.
La recomendación práctica es descargar siempre desde la web oficial del desarrollador, evitar enlaces recomendados sin verificar por chatbots, desconfiar de dominios raros y revisar cualquier ZIP que prometa herramientas populares. En un PC gaming, una descarga mal elegida ya no solo puede robar datos: también puede convertir nuestra GPU en una pequeña granja de minería al servicio de otro hacker, y detectarlo no te va a ser tan fácil como parece.
