La víctima acaba pagando por su propio hackeo: NIK C2 descubre nueva forma de usar ChatGPT

Investigadores descubrieron una plataforma operativa NIK C2, que ofrece al atacante un amplio control sobre un equipo Windows infectado y permite consultar los modelos de OpenAI directamente durante el ataque. El malware puede robar contraseñas y datos del navegador, registrar pulsaciones de teclas, supervisar la pantalla, la cámara y el micrófono, y el operador puede enviar la información recopilada a la IA para su análisis sin salir de la sesión activa.

La característica más inusual de NIK C2 se oculta en el comando ai_generate. Al recibir una instrucción del operador, el malware se comunica por sí mismo con la interfaz Chat Completions de OpenAI desde el equipo de la víctima, obtiene la respuesta del modelo y envía el resultado de vuelta a través del servidor de comando y control. El atacante puede, por ejemplo, pasar al modelo un fragmento de la información encontrada y pedir que analice el contenido mientras trabaja en el dispositivo comprometido.

Los desarrolladores contemplaron otro escenario preocupante. Normalmente el operador proporciona a NIK C2 su propia clave API, pero en su ausencia el malware busca la variable de entorno OPENAI_API_KEY en el equipo de la víctima. Si la clave está allí, el programa usa la cuenta ajena. En ese caso, las solicitudes las paga el propietario de la clave, y en los registros de OpenAI las llamadas aparecen con sus credenciales. Por defecto, las muestras halladas seleccionan GPT-4, aunque el operador puede indicar otro modelo disponible sin actualizar el propio malware.

La IA ocupa solo una pequeña parte del arsenal de NIK C2. Los investigadores contaron más de 52 comandos. El programa extrae contraseñas guardadas, cookies y datos de autocompletado de Chrome, Edge, Brave, Opera y Firefox; busca tokens de Discord, contraseñas de redes Wi‑Fi y contenido de monederos de criptomonedas. Un módulo separado examina archivos en busca de frases de recuperación, claves privadas y otros secretos.

El registrador de teclas integrado envía al operador cada pulsación casi inmediatamente después de que se produce. NIK C2 también puede interceptar y suplantar el contenido del portapapeles, tomar capturas de pantalla, transmitir la imagen del escritorio, grabar audio desde el micrófono y obtener datos de la cámara.

Tras comprometer el equipo, el operador puede usarlo como punto de entrada hacia la red. El malware inicia un servidor proxy, establece túneles hacia otros sistemas, gestiona sesiones de escritorio remoto y mantiene control oculto del escritorio. Para evadir defensas, los desarrolladores integraron evasiones de AMSI, eludir el control de cuentas de Windows, detección de depuradores y ejecución de código malicioso dentro de otro proceso.

NIK C2 se comunica con la infraestructura de mando de varias maneras. El canal principal funciona mediante WebSocket con TLS en el puerto 443; el redundante utiliza HTTP. Los datos transmitidos se cifran además con AES-256-GCM, y la lista de direcciones de control está organizada en varios niveles para que la pérdida de un servidor no prive al operador del acceso a la máquina infectada.

NIK C2 también puede extorsionar dinero, aunque el módulo encontrado no cifra los archivos de usuario. El bloqueador extorsivo crea una página a pantalla completa que exige el pago en Bitcoin o USDT, se añade al inicio de Windows y vuelve a abrir la ventana aproximadamente cinco segundos después de cerrarse. El operador puede cambiar la cantidad, la dirección de la cartera, el texto de la demanda y el temporizador.

Junto al bloqueador, los investigadores encontraron preparativos para trabajar con el área de arranque del equipo. NIK C2 determina si la máquina usa UEFI o BIOS, comprueba el estado de Secure Boot y crea un archivo con la etiqueta NIK_BOOTKIT_PREP. Sin embargo, no hubo un malware de arranque listo en las muestras encontradas: el programa solo escribe un esqueleto de 16 bytes que luego se puede reemplazar por otro archivo.

Los investigadores analizaron al menos tres versiones de NIK C2. Todas las muestras halladas fueron compiladas con Go 1.23.4, publicado en diciembre de 2024, por lo que la rama actual del programa no pudo aparecer antes de finales de 2024. Los desarrolladores añadieron gradualmente nuevos comandos y mecanismos de sigilo, lo que indica un desarrollo continuo de la plataforma.

Durante el análisis, los especialistas también encontraron un servidor NIK C2 activo. El nombre nik-panel en su certificado TLS coincidía con cadenas dentro del programa malicioso. La infraestructura operativa proporcionó a los investigadores motivos para considerar, con confianza moderada, que NIK C2 es una herramienta plena para ataques reales y no un proyecto de demostración. No obstante, no hay por ahora información sobre víctimas concretas, el número de equipos infectados ni ataques confirmados que utilicen el módulo extorsivo.