Se han encontrado cientos de cuentas que participan en este comportamiento malicioso

Investigadores de ciberseguridad han detectado una nueva técnica que los ciberdelincuentes han adoptado para eludir las protecciones contra publicidad maliciosa de la plataforma de redes sociales X y propagar enlaces maliciosos utilizando su asistente de inteligencia artificial (IA) Grok.

Los hallazgos fueron destacados por Nati Tal, director de Guardio Labs, en una serie de publicaciones en X. La técnica tiene el nombre en código de Grokking.

El enfoque está diseñado para eludir las restricciones impuestas por X en los anuncios promocionados que permiten a los usuarios incluir solo texto, imágenes o vídeos y, posteriormente, amplificarlos a una audiencia más amplia, atrayendo cientos de miles de impresiones a través de promociones de pago.

Para lograrlo, se ha descubierto que los anunciantes maliciosos publican publicaciones promocionadas con tarjetas de vídeo con contenido para adultos como cebo, con el enlace espurio oculto en el campo de metadatos "De:" debajo del reproductor de vídeo que aparentemente no es escaneado por la plataforma de redes sociales.

En el siguiente paso, los estafadores etiquetan a Grok en las respuestas a la publicación y preguntan algo similar a "¿de dónde es este vídeo?", lo que provoca que en la respuesta el chatbot de IA muestre visiblemente el enlace.

"Además, ahora se amplifica en el SEO y la reputación del dominio; después de todo, Grok lo repitió en una publicación con millones de impresiones", dijo Tal.

Un enlace malicioso que X prohíbe explícitamente en anuncios (¡y que debería haber sido bloqueado por completo!) aparece de repente en una publicación de la cuenta Grok, confiable para el sistema, bajo un hilo viral promocionado y se propaga directamente a millones de feeds y resultados de búsqueda.

Guardio dijo que los enlaces dirigen a los usuarios a redes publicitarias sospechosas, enviándolos a enlaces maliciosos que promueven estafas CAPTCHA falsas, malware que roba información y otro contenido sospechoso a través de monetización de enlace directo (también conocido como enlace inteligente).

Se evalúa que los dominios son parte del mismo Sistema de Distribución de Tráfico (TDS), que a menudo utilizan los proveedores de tecnología publicitaria maliciosa para dirigir el tráfico hacia contenido dañino o engañoso.

La empresa de ciberseguridad dijo que en los últimos días ha encontrado cientos de cuentas que participan en este comportamiento, y cada una de ellas publica cientos o incluso miles de publicaciones similares.

"Parecen estar publicando sin parar durante varios días hasta que suspenden la cuenta por infringir las políticas de la plataforma", añadió. "Así que definitivamente son muchos y se ve muy organizado".