Investigadores de ciberseguridad han revelado una nueva y sofisticada campaña de malware denominada GPUGate. Esta campaña utiliza anuncios pagados en motores de búsqueda como Google para distribuir malware a usuarios que buscan herramientas populares como GitHub Desktop. La técnica innovadora reside en la inserción de un commit de GitHub en la URL, alterando los enlaces para redirigir a la infraestructura controlada por los atacantes.

El malware se dirige exclusivamente a empresas de TI y desarrollo de software en Europa Occidental desde diciembre de 2024. Los enlaces dentro del commit de GitHub fraudulento redirigen a los usuarios a una descarga maliciosa alojada en un dominio similar al legítimo (“gitpage[.]app”). La actividad se detectó por primera vez el 19 de agosto de 2025.

El malware de primera etapa, un instalador de Microsoft Software (MSI) de 128 MB, evade la mayoría de las sandboxes de seguridad en línea debido a su tamaño. Además, incorpora una rutina de descifrado GPU-gated que mantiene la carga útil encriptada en sistemas sin una GPU real, dificultando el análisis y la detección en entornos virtualizados o sistemas de análisis.

El ataque implica la ejecución de un script de Visual Basic que lanza un script de PowerShell. Este script se ejecuta con privilegios de administrador, añade exclusiones en Microsoft Defender, configura tareas programadas para la persistencia y finalmente ejecuta archivos extraídos de un archivo ZIP descargado. El objetivo final es facilitar el robo de información y entregar cargas útiles secundarias, evitando la detección. Se presume que los actores de amenazas detrás de la campaña tienen dominio nativo del idioma ruso, dado la presencia de comentarios en ruso en el script de PowerShell.

Un análisis adicional del dominio del actor de amenazas ha revelado que actúa como un punto de partida para el ladrón de macOS Atomic (AMOS), lo que sugiere un enfoque multiplataforma.

Además, se ha detectado una campaña que utiliza versiones troyanizadas de ConnectWise ScreenConnect para distribuir AsyncRAT y PureHVNC RAT, afectando a organizaciones en Estados Unidos.

Se ha descubierto que el malware GPUGate también se dirige a desarrolladores, ampliando el alcance de la campaña.

En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la protección de su infraestructura IT. La sofisticación de amenazas como GPUGate subraya la importancia de una estrategia de ciberseguridad robusta y multicapa. Si desea proteger su empresa contra este tipo de ataques y asegurar la continuidad de su negocio, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente. Nuestros servicios de firewall, EDR/XDR, SOC, protección de correo electrónico y soluciones de nube segura están diseñados para mitigar los riesgos y proteger sus activos críticos.

Fuente original: Ver aquí