Ataque a la cadena de suministro en CPUID: enlaces de CPU-Z y HWMonitor habrían distribuido malware
CPUID confirmó una intrusión en una API secundaria que afectó durante unas horas los enlaces de descarga de CPU-Z y HWMonitor. El incidente redirigió a algunos usuarios hacia binarios maliciosos alojados fuera del sitio oficial, mientras los archivos firmados originales no habrían sido comprometidos.
CPUID, desarrollador de herramientas ampliamente utilizadas como CPU-Z y HWMonitor, sufrió un ataque a su cadena de suministro tras el acceso no autorizado a una API asociada al proyecto. Según la información publicada, los atacantes modificaron los enlaces de descarga del sitio oficial para servir ejecutables maliciosos en lugar de las versiones legítimas de estas utilidades.
CPU-Z y HWMonitor cuentan con millones de usuarios y son herramientas de referencia para consultar especificaciones de hardware y monitorizar el estado físico de componentes internos del equipo. Por eso, cualquier alteración en su canal de distribución tiene un impacto potencial elevado.
Los reportes de usuarios en Reddit indicaron que el portal de descargas oficial apuntaba a almacenamiento en Cloudflare R2 y obtenía una versión troyanizada de HWiNFO, otra herramienta de diagnóstico y monitorización desarrollada por un tercero. El archivo malicioso fue identificado como HWiNFO_Monitor_Setup y, al ejecutarlo, iniciaba un instalador ruso encapsulado con Inno Setup, un comportamiento poco habitual y altamente sospechoso.
De acuerdo con los testimonios recogidos, seguir siendo posible descargar la versión limpia hwmonitor_1.63.exe desde una URL directa sugiere que los binarios originales no fueron alterados, pero sí los enlaces de distribución expuestos en el sitio web. Ese detalle apunta a un compromiso de la capa de entrega y no necesariamente de los artefactos firmados.
La cadena de descarga externa también fue verificada por Igor’s Labs y por la cuenta @vxunderground, que describieron la participación de un loader con técnicas, tácticas y procedimientos ya conocidos. Según su análisis, el malware presenta características más avanzadas de lo habitual: está profundamente troyanizado, se distribuye desde un dominio comprometido, realiza suplantación de archivos, opera en varias etapas, ejecuta casi todo en memoria y emplea métodos para evadir EDR y antivirus, incluyendo el proxy de funcionalidades de NTDLL desde un ensamblado .NET.
vxunderground señaló además que el mismo grupo de amenazas habría apuntado el mes anterior a usuarios de FileZilla, lo que refuerza la hipótesis de una campaña orientada a herramientas muy difundidas. En VirusTotal, el ZIP descargado fue detectado por 20 motores antivirus, aunque sin una clasificación unificada; algunas firmas lo identifican como Tedy Trojan y otras como Artemis Trojan. Otros investigadores sugieren que la variante falsa de HWiNFO podría tratarse de un infostealer.
BleepingComputer contactó a CPUID para obtener detalles sobre el incidente, la fecha exacta del compromiso, las versiones afectadas y las acciones recomendadas para los usuarios. La empresa respondió que la investigación sigue en curso, pero que todo apunta a la compromisión de una función secundaria o API lateral durante aproximadamente seis horas, entre el 9 y el 10 de abril, lo que provocó que el sitio principal mostrara enlaces maliciosos de forma aleatoria. CPUID aclaró que sus archivos originales firmados no fueron comprometidos y que la brecha ya fue corregida.
La compañía también indicó que el ataque se produjo mientras el desarrollador principal estaba de vacaciones. En este momento, CPUID asegura que el problema fue solucionado y que el sitio ya distribuye versiones limpias de CPU-Z y HWMonitor.
El caso vuelve a poner en primer plano el riesgo de los ataques a la cadena de suministro en software legítimo, especialmente cuando el vector compromete mecanismos de distribución y no el producto final en sí. Para los usuarios, la recomendación inmediata es verificar siempre las descargas, preferir URLs directas o repositorios oficiales confirmados y prestar atención a cualquier comportamiento anómalo en instaladores de herramientas de confianza.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario