Datos Rápidos

• El malware EvilAI se disfraza como aplicaciones legítimas de IA con interfaces convincentes y firmas digitales válidas.
• Detectado en más de 10 países, siendo India, EE. UU. y Francia los más afectados en la ola inicial.
• Los objetivos incluyen los sectores de manufactura, salud, gobierno y tecnología - a menudo a través de sitios web falsos y anuncios maliciosos.
• Utiliza técnicas avanzadas de IA para evadir medidas de seguridad tradicionales y robar credenciales del navegador.
• Tácticas de persistencia y comunicaciones cifradas hacen que la detección y eliminación sean especialmente difíciles.

El Atractivo de la Inteligencia: Cómo EvilAI Se Coló por las Puertas

Imagina esto: descargas una nueva herramienta de IA prometedora - quizás un editor de PDF, un generador de recetas o un asistente de chat. Su interfaz brilla con profesionalismo, el instalador viene con una firma digital válida y se comporta como si fuera auténtica. Pero bajo esta superficie pulida, una nueva generación de malware - EvilAI - se está infiltrando silenciosamente en tu sistema, esquivando defensas que antes parecían infranqueables.

Detectado por primera vez por Trend Micro a finales de agosto de 2025, la rápida propagación de EvilAI estremeció a los círculos de ciberseguridad. En una semana, surgieron docenas de infecciones en Europa, América y Asia, siendo India, Estados Unidos y Francia los países con más casos tempranos. El alcance del malware es tan diverso como sus tácticas: fabricantes, hospitales, agencias gubernamentales y empresas tecnológicas han estado en su punto de mira.

El Malware se Renueva: La IA como Cómplice

Lo que distingue a EvilAI de anteriores oleadas de software malicioso es su uso de la inteligencia artificial - no solo como disfraz, sino como arma. Al imitar el aspecto y funcionamiento de aplicaciones reales de IA y usar modelos de lenguaje para escribir código limpio y modular, EvilAI esquiva los controles de seguridad tradicionales. Sus instaladores se ocultan bajo nombres anodinos pero plausibles - App Suite, JustAskJacky - reduciendo las sospechas.

Una vez instalado, EvilAI despliega un módulo oculto basado en Node.js, inyectando código ofuscado en carpetas temporales. Afianza su control mediante múltiples capas: tareas programadas en segundo plano, modificaciones en el registro y accesos directos, asegurando su supervivencia tras reinicios y resistiendo la eliminación. Su estructura de código, guiada por IA, es un laberinto - utilizando trucos complejos como bucles basados en MurmurHash3 y cadenas codificadas para evadir los escáneres automáticos.

Robando Secretos, Manteniéndose Invisible

EvilAI no se conforma con acechar. Busca activamente datos del navegador, usando herramientas de Windows para identificar y cerrar forzosamente Chrome o Edge, desbloqueando archivos sensibles. Copia archivos de configuración - marcados con un sutil sufijo “Sync” - y luego los envía a través de tráfico cifrado por internet. Las comunicaciones con sus servidores de comando utilizan cifrado robusto (AES-256-CBC), haciéndolo casi invisible para los espías.

Expertos en seguridad advierten que ni siquiera las firmas digitales ni la apariencia familiar son suficientes para garantizar la seguridad de una aplicación. En su lugar, instan a organizaciones e individuos a examinar cuidadosamente la fuente de las descargas y a monitorear actividades inusuales en segundo plano - especialmente lanzamientos inesperados de Node.js o tareas programadas misteriosas.

De Estafa Sofisticada a Amenaza Global: El Auge del Malware Potenciado por IA

EvilAI no es el primer malware en usar IA como disfraz - incidentes previos como DeepLocker (IBM, 2018) ya insinuaban el potencial del malware inteligente, pero pocos alcanzaron esta escala o sofisticación. El auge de aplicaciones falsas de IA también aprovecha la moda actual del mercado, explotando tanto la curiosidad como la prisa por adoptar nuevas tecnologías.

Con atacantes que ahora emplean IA para automatizar, adaptarse y superar a los defensores, la carrera armamentista en ciberseguridad ha entrado en una fase volátil. Por cada avance en la confianza digital - como firmas o escaneo de comportamiento - los autores de malware encuentran formas de usar esas mismas herramientas a su favor.

WIKICROOK

• Node.js: Node.js es una plataforma para ejecutar JavaScript fuera de los navegadores, a menudo en servidores. Puede ser explotada para ejecutar malware o automatizar ataques.
• Firma Digital: Una firma digital es un sello electrónico que prueba que un documento o software es genuino y no ha sido alterado, pero puede ser mal utilizada si se obtiene de forma fraudulenta.
• Ofuscación: La ofuscación es la práctica de disfrazar código o datos para dificultar que humanos o herramientas de seguridad los entiendan, analicen o detecten.
• Servidor de Comando y Control (C2): Un servidor de Comando y Control (C2) gestiona remotamente dispositivos infectados con malware, enviando instrucciones y recibiendo datos robados de sistemas comprometidos.
• AES: AES (Estándar de Cifrado Avanzado) es un potente método de cifrado que codifica los datos, haciéndolos ilegibles sin la clave correcta.