Uma campanha de cryptojacking foi identificada pela Microsoft, utilizando interações com chatbots de inteligência artificial (IA) para direcionar usuários a sites de download maliciosos. Segundo a Microsoft Defender, essa técnica emergente amplia o alcance da engenharia social além dos resultados de busca convencionais, aumentando a visibilidade de recomendações de software malicioso.
Os atacantes estão se passando por utilitários de sistema legítimos, como CrystalDiskInfo e HWMonitor, com o objetivo de comprometer sistemas que possuem GPUs de alto desempenho. A campanha não visa apenas ganhos financeiros, mas também estabelece acesso remoto persistente aos dispositivos comprometidos, utilizando o ScreenConnect para possíveis atividades subsequentes, como roubo de dados ou ransomware.
O ataque começa quando usuários buscam por softwares de monitoramento de hardware em motores de busca, que exibem sites maliciosos manipulados por técnicas de SEO. Em abril de 2026, foi observado que as redireções para esses sites ocorrem através de interações com ferramentas baseadas em modelos de linguagem de grande escala (LLM), onde chatbots de IA fornecem links para domínios controlados por atacantes.
Os sites maliciosos apresentam um botão de download que recupera um arquivo ZIP de um subdomínio específico, hospedado por uma infraestrutura associada a um provedor de DNS dinâmico. O arquivo contém um executável legítimo e uma DLL maliciosa (“autorun.dll”), que instala uma segunda DLL (“vcredist_x64.dll”) usando “msiexec.exe”. Após a instalação do ScreenConnect, o cliente tenta continuamente estabelecer contato com um servidor controlado pelos atacantes.
O malware suporta programas de mineração como gminer, lolMiner e SRBMiner-MULTI, garantindo a persistência e reconfigurando exclusões do Microsoft Defender. A Microsoft recomenda que os defensores adotem uma postura de verificação deliberada, validando o comportamento de fornecedores e ferramentas dentro do ambiente para mitigar riscos.
Fonte:https://thehackernews.com/2026/05/ai-chatbot-recommendations-redirect.html
