La víctima paga por su propio hackeo: NIK C2 encuentra nueva forma de aprovechar ChatGPT

Los investigadores encontraron una plataforma operativa NIK C2, que otorga al atacante un amplio control sobre un equipo Windows infectado y permite consultar modelos de OpenAI directamente durante el ataque. El malware puede robar contraseñas y datos de navegadores, registrar pulsaciones de teclas, supervisar la pantalla, la cámara y el micrófono, y el operador puede enviar la información recopilada a la IA para su análisis sin salir de la sesión activa.

La característica inusual principal de NIK C2 se oculta en el comando ai_generate. Tras recibir una orden del operador, el malware accede por sí mismo a la interfaz Chat Completions de OpenAI desde el equipo de la víctima, obtiene la respuesta del modelo y devuelve el resultado a través de servidor de comando y control. El atacante puede, por ejemplo, enviar al modelo un fragmento de información encontrado y pedir que analice el contenido mientras trabaja en el equipo comprometido.

Los desarrolladores previeron otro escenario preocupante. Normalmente el operador proporciona a NIK C2 su propia clave API, pero en ausencia de esta el malware busca la variable de entorno OPENAI_API_KEY en el equipo de la víctima. Si encuentra una clave, el programa usa la cuenta ajena. En ese caso, las consultas las paga el propietario de la clave, y en los registros de OpenAI las llamadas aparecen con sus credenciales. Por defecto las muestras analizadas seleccionan GPT-4, aunque el operador puede indicar otro modelo disponible sin actualizar el propio malware.

La IA ocupa solo una pequeña parte del arsenal de NIK C2. Los investigadores han contado más de 52 comandos. El programa extrae contraseñas guardadas, cookies y datos de autocompletado de Chrome, Edge, Brave, Opera y Firefox, busca tokens de Discord, contraseñas de Wi-Fi y contenido de monederos de criptomonedas. Un módulo separado analiza archivos en busca de frases de recuperación, claves privadas y otros secretos.

El registrador de teclas integrado envía al operador cada pulsación casi inmediatamente después de producirse. NIK C2 también puede interceptar y suplantar el portapapeles, tomar capturas de pantalla, transmitir la imagen del escritorio, grabar audio desde el micrófono y obtener datos de la cámara.

Tras comprometer el equipo, el operador puede usarlo como punto de entrada más profundo en la red. El malware inicia un servidor proxy, crea túneles hacia otros sistemas, gestiona sesiones de escritorio remoto y mantiene el control oculto del escritorio. Para evadir las defensas, los desarrolladores añadieron interferencias en AMSI, eludir el Control de cuentas de Windows, detección de depuradores y ejecución de código malicioso dentro de otro proceso.

La infraestructura de control de NIK C2 se comunica por varios canales. El canal principal funciona mediante WebSocket con TLS en el puerto 443, el de reserva utiliza HTTP. Los datos transmitidos se cifran adicionalmente con AES-256-GCM, y la lista de direcciones de control está organizada en varios niveles para que la pérdida de un servidor no prive al operador del acceso al equipo infectado.

NIK C2 también puede extorsionar dinero, aunque el módulo encontrado no cifra los archivos de usuario. El bloqueador extorsivo crea una página a pantalla completa exigiendo el pago en Bitcoin o USDT, se añade al inicio automático de Windows y vuelve a abrir la ventana aproximadamente cinco segundos después de cerrarse. El operador puede cambiar la cantidad, la dirección del monedero, el texto de la exigencia y el temporizador.

Junto al bloqueador, los investigadores hallaron preparativos para trabajar con el área de arranque del equipo. NIK C2 determina si la máquina usa UEFI o BIOS, comprueba el estado de Secure Boot y crea un archivo con la etiqueta NIK_BOOTKIT_PREP. Sin embargo, en las muestras encontradas no había un bootkit completo: el programa solo escribe un esbozo de 16 bytes que más tarde se puede reemplazar por otro archivo.

Los investigadores analizaron al menos tres versiones de NIK C2. Todas las muestras halladas se compilaron con Go 1.23.4, publicado en diciembre de 2024, por lo que la rama actual del programa no apareció antes de finales de 2024. Los desarrolladores fueron añadiendo gradualmente nuevos comandos y medidas de sigilo, lo que indica que la plataforma sigue en desarrollo.

Durante el análisis los especialistas también hallaron un servidor NIK C2 activo. El nombre nik-panel en su certificado TLS coincidía con cadenas dentro del malware. La infraestructura operativa llevó a los investigadores a considerar, con moderada confianza, que NIK C2 es una herramienta completa para ataques reales y no un proyecto demostrativo. No obstante, no hay datos sobre víctimas concretas, el número de equipos infectados ni ataques confirmados que usaran el módulo extorsionador.