Sin exploits, solo un README: hackers ocultaron instrucciones para que una IA active acceso remoto en el equipo.

Los atacantes aprendieron a insertar proyectos maliciosos en asistentes de inteligencia artificial (IA) directamente a través de los resultados de búsqueda. Investigadores de AIR Security descubrieron en GitHub un conjunto de herramientas falso para Solana que obliga al agente a instalar en el equipo del desarrollador un programa de acceso remoto.

La trampa está pensada para una petición habitual de crear una aplicación para la blockchain Solana. El agente de IA busca una plantilla lista, abre el repositorio SolanaUpdateTools/solana-starter-kit y lee el archivo README. Según los investigadores, el proyecto apareció primero en los resultados de búsqueda, tenía 286 estrellas y parecía una plantilla completa con Anchor, TypeScript y Next.js.

Sin embargo, en lugar de los componentes prometidos, en las instrucciones había un comando de PowerShell. Ensamblaba la dirección de descarga a partir de varios fragmentos, descargaba un script externo y lo ejecutaba directamente en memoria. El desarrollador podría ni siquiera ver el comando peligroso si permitía que la IA por sí misma seleccionara dependencias y ejecutara acciones en la terminal.

Los especialistas reconstruyeron la carga útil mediante el archivo web, ya que la dirección de descarga devolvía un error 404. El script, de alrededor de 21 MB, descomprimía 14 archivos en una carpeta oculta de Windows. Trece eran componentes firmados auténticos de NetSupport Manager 12.10 y otro contenía la configuración del atacante.

NetSupport Manager suele ayudar a los administradores del sistema a gestionar equipos de forma remota. La configuración maliciosa desactivaba las notificaciones visibles, el chat y la posibilidad de cortar la conexión. El programa se conectaba al servidor maxwintodaybtc.com en el puerto 443, permitía controlar la pantalla, transferir archivos y ejecutar comandos.

Para sobrevivir a un reinicio, el instalador registraba SecureModule en la sección de inicio automático del registro de Windows. Luego iniciaba el cliente de acceso remoto y eliminaba parte de las huellas, incluida la historia de comandos ejecutados. Ese acceso potencialmente permite robar claves de carteras criptográficas, pero AIR Security no presentó casos confirmados de robo de fondos.

Los investigadores relacionaron la configuración del programa con el clúster EVALUSION, que antes apareció en campañas con NetSupport. Un instalador similar se encontró en materiales falsos sobre TradingView ya en 2025. En el análisis de SolanaCry publicado el 29 de octubre, AIR Security mostró cómo se adaptó el método previo de infección para asistentes de IA.

El peligro no surge por una vulnerabilidad de un modelo concreto, sino por la confianza en instrucciones de terceros. Ataques similares a través de GitHub ya habían hecho que la IA recomendara descargas maliciosas. Los investigadores recomiendan comprobar los repositorios y no permitir que los agentes ejecuten comandos que descarguen y ejecuten código sin confirmación. Si se detectan signos de infección, conviene aislar el equipo y reemplazar las claves de acceso.