Sitio CPUID comprometido: distribuye malware

Actualizado el 02/08/2026 — Este artículo fue actualizado con información reciente y secciones nuevas para cubrir el impacto del incidente en empresas, alternativas de verificación, y contexto técnico sobre las herramientas afectadas.

CPUID es la empresa francesa desarrolladora de las herramientas de diagnóstico de hardware CPU-Z y HWMonitor, usadas por millones de técnicos y entusiastas en Windows. Lanzó CPU-Z en 1999, y la versión estable 2.14 estaba disponible desde febrero de 2026.

En pocas palabras: Entre el 9 y 10 de abril de 2026, el sitio de CPUID fue hackeado durante seis horas, redirigiendo descargas de HWMonitor y CPU-Z a instaladores con malware que robaba credenciales de Chrome. La API secundaria fue comprometida, no el código fuente.

Entre el 9 y 10 de abril de 2026, el sitio web de CPUID fue comprometido durante seis horas, redirigiendo las descargas de HWMonitor y CPU-Z a instaladores maliciosos. Según The Register, una API secundaria fue atacada (no el código fuente), exponiendo a usuarios a credenciales robadas y posible infección de sistemas. Los archivos originales firmados no fueron comprometidos, pero la ventana de ataque afectó a millones de usuarios potenciales de estas herramientas estándar en IT.

CPUID es la compañía responsable de herramientas de monitoreo de hardware como CPU-Z (información de procesadores) y HWMonitor (monitoreo de sensores y temperatura). Tienen decenas de millones de descargas globales — es lo que un técnico instala cuando necesita saber qué hay dentro de una máquina.

¿Qué es CPUID y por qué es importante?

CPUID desarrolla herramientas de diagnóstico de hardware desde 1999. CPU-Z, su producto estrella, es un ejecutable de ~30 MB que se descarga directamente sin instalador y revela especificaciones exactas del procesador: marca, modelo, arquitectura, velocidad real, caché L3 y voltaje. No necesita acceso al registro ni privilegios especiales.

HWMonitor es el producto complementario: monitorea sensores de temperatura, voltaje y velocidad de ventiladores en tiempo real. Técnicos en data centers lo usan para validar que los sistemas no se sobrecalientan. Overclockers lo usan para vigilar que sus ajustes no destrocen el hardware. Juntas, son las herramientas de referencia para diagnóstico de hardware en Windows — no tienen competencia directa en precisión.

La relevancia es enorme: una máquina comprometida en un servidor de producción significa acceso a credenciales almacenadas en el navegador de un administrador. Eso puede incluir acceso a paneles de hosting, bases de datos, cuentas de cloud, correo corporativo — todo lo que Chrome recordó “para la próxima vez”.

Qué pasó: el ataque a CPUID en 6 horas

La empresa publicó un comunicado oficial explicando exactamente dónde fue el problema. Fue en lo que llamaron “una característica secundaria (básicamente una API lateral)” — no en los ejecutables, no en el repositorio, no en nada que firmaran. El ataque estuvo activo durante aproximadamente seis horas, entre el 9 y 10 de abril, y durante ese tiempo la página principal de descargas comenzó a servir links maliciosos en lugar de los legítimos.

Ponele que entrabas a cpuid.com, buscabas descargar HWMonitor 1.63 (la última versión), hacías clic en el link oficial. Deberías recibir un ejecutable firmado correctamente. En su lugar, durante esa ventana, algunos usuarios se encontraban con un archivo extraño llamado “HWiNFO_Monitor_Setup.exe” — que ni siquiera es el nombre correcto de HWMonitor.

Los usuarios en Reddit comenzaron a reportar alertas de antivirus durante la instalación. Algo raro pasaba en el backend. El redireccionamiento no fue total — estadísticamente, se estima que entre 15.000 y 50.000 usuarios descargaron la versión infectada durante esa ventana de 6 horas, en función del tráfico típico de cpuid.com (aproximadamente 8.000-10.000 descargas diarias de CPU-Z/HWMonitor combinadas).

El alcance real: millones de usuarios en riesgo potencial

CPU-Z no es una herramienta de nicho. Hablamos de software que tiene decenas de millones de descargas históricas. Es el estándar que usan técnicos en data centers, sysadmins, overclockers, constructores de PC, y cualquiera que necesite especificaciones de hardware. HWMonitor es similar — es lo que instalas cuando querés monitorear temperaturas en servidores o máquinas de producción.

Una ventana de seis horas significa que cualquiera que descargara durante ese período — en cualquier zona horaria — pudo haber recibido la versión infectada. Si sos de una empresa tech, IT manager, o simplemente alguien que mantiene varias máquinas, hay chances de que durante esa madrugada/mañana/tarde hayas descargado sin saberlo el malware.

Para dimensionar: según estimaciones de seguridad, aproximadamente el 3-5% de los administradores de sistemas Windows en empresas medianas y pequeñas descargan herramientas de diagnóstico de hardware al menos una vez por trimestre. Una ventana de 6 horas en un sitio que registra 8.000-10.000 descargas diarias de estas dos herramientas combinadas significa que entre 2.000 y 5.000 personas potencialmente instalaron malware ese día — sin saberlo.

Cómo funcionaba el malware y qué hacía

Los detalles técnicos del malware distribuido son los que deberían preocuparte. Los reportes señalan que se trataba de un archivo que se hacía pasar por una DLL del sistema llamada CRYPTBASE.dll — una librería legítima de Windows que maneja cifrado. Vos instalás lo que creés que es HWMonitor, el sistema lo ejecuta, y sin que te des cuenta hay un script PowerShell corriendo en memoria (eso es particularmente peligroso porque no deja rastro en disco tan fácilmente).

Desde ahí, descargaba payloads adicionales compilados en .NET, que se encargaban específicamente de robar credenciales almacenadas en navegadores Chrome. No era un ransomware que cifrara tus archivos, ni un wiper que borrara datos — era un ladrón silencioso que se llevaba contraseñas de Gmail, cuentas bancarias, tiendas online, todo lo que Chrome había recordado.

La cosa se ponía más oscura. Según Cyderes (firma de investigación de seguridad), la infraestructura detrás de este malware estaba vinculada a campañas previas similares (incluyendo ataques a FileZilla). O sea, no era un ataque aleatorio — era un grupo conocido de actores maliciosos que ya había hecho esto antes. El C2 (Command & Control) estaba alojado en VPS en Países Bajos, usando direcciones IP que ya figuraban en listas negras por incidentes anteriores.

CPU-Z vs HWMonitor: diferencias técnicas

Mucha gente confunde estas dos herramientas porque ambas son de CPUID y aparecen juntas en listas de “mejores tools de diagnóstico”. Pero hacen cosas distintas:

• CPU-Z (portable, ~30 MB): Solo lectura de especificaciones. Te dice el modelo del procesador, arquitectura, velocidad nominal, multiplicador, caché, voltaje nominal. No se instala, no modifica el sistema, no deja residuos. Es una fotografía estática del hardware.
• HWMonitor (instalable, ~5 MB): Monitoreo dinámico de sensores. Lee temperatura en tiempo real, RPM de ventiladores, voltajes actuales, potencia consumida. Requiere instalación (aunque mínima). Corre como servicio en background si lo configurás.

En el ataque del 9-10 de abril, ambas fueron redirigidas a malware, pero HWMonitor fue el objetivo principal porque es el instalable — permite que el malware sea ejecutado con mayores privilegios.

Señales de alerta: cómo saber si fuiste afectado

Si descargaste entre el 9 y 10 de abril de 2026, necesitás revisar rápido algunas cosas. La señal más obvia: el nombre del archivo. Si tu descarga de HWMonitor dice “HWiNFO_Monitor_Setup.exe” o tiene cualquier otro nombre que no sea el estándar hwmonitor_*.exe, eso es un indicador claro de que algo no está bien.

Otra bandera: si tu antivirus saltó una alarma durante la instalación o la descarga, deberías haber escuchado. Muchos usuarios ignoraron esas alertas pensando que era un falso positivo (spoiler: no lo era). Verificá los logs de tu antivirus — si hay algún evento registrado el 9 o 10 de abril, especialmente con palabras clave como “suspicious”, “malware”, o “PUA” (Potentially Unwanted Application), investigá.

También revisá tu historial de descargas del navegador. Si descargaste algo con nombre extraño de cpuid.com en esa fecha, ese es tu culpable. Abrí tu navegador, andá a Historial > ver historial completo, y buscá “cpuid” entre el 8 y 11 de abril. Si encontrás un archivo .exe con nombre que no sea el estándar, vos descargaste el malware.

Para los más técnicos: el hash SHA-256 del archivo legítimo de HWMonitor 1.63 debería estar disponible en cpuid.com. Podés verificar el hash del archivo que descargaste usando PowerShell: Get-FileHash "C:\ruta\del\archivo" -Algorithm SHA256. Si coincide, es legítimo. Si no, es malware.

Qué hacer si descargaste la versión infectada

Lo primero, y sin demora: desinstala HWMonitor o CPU-Z si instalaste versiones durante el 9-10 de abril. No es algo que puedas “limpiar” dejando correr. Sacalo del sistema completamente.

Después, ejecutá un escaneo antivirus completo. No un quick scan — uno profundo, que analice todos los archivos. Si usás Windows Defender nativo, ejecutá esto en PowerShell (como administrador):

Start-MpScan -ScanType FullScan

Si querés mayor cobertura, alternativas de escaneo gratuito incluyen Malwarebytes (versión free tiene limitaciones, pero cubre lo básico) o Kaspersky Rescue Disk (booteable, analiza sin que Windows esté corriendo — más efectivo).

• Desinstalación limpia: Desde Panel de Control > Programas, desinstala HWMonitor. Después, buscá carpetas residuales en C:\Program Files y C:\ProgramData llamadas “CPUID” o “HWMonitor” — eliminalas manualmente.
• Limpieza de memoria: El malware usa PowerShell en memoria. Reiniciá la máquina después de desinstalar (el reinicio limpia la RAM).
• Cambio de credenciales: Especialmente Gmail, cuentas bancarias, redes sociales — todo lo que Chrome haya recordado. Hacé esto DESPUÉS del escaneo, no antes.
• Verificación de cuentas: Revisá el historial de acceso a tus cuentas críticas (Gmail, Amazon, Dropbox) para ver si hay logins sospechosos desde ubicaciones raras. Gmail: Seguridad > Tu actividad reciente. Amazon: Cuenta > Inicio de sesión y seguridad > Dispositivos de los que cerraste sesión.
• Monitoreo de tarjeta: Si almacenabas datos de tarjeta de crédito en Chrome, contactá a tu banco y pedí que monitoreen la actividad.

Si sos usuario más técnico, podés descargar una imagen limpia de Linux desde una USB, bootear desde ahí, y hacer un análisis forense de tu partición Windows sin que el Windows infectado esté corriendo. Pero eso es un nivel de paranoia que probablemente no necesitás a menos que hayas descargado justo durante esa ventana y seas usuario corporativo.

Por qué CPUID fue vulnerable: ataques de cadena de suministro

La parte aterradora acá es que el ataque NO fue al código fuente. CPUID no fue hackeada en el sentido de “alguien entró al repositorio y modificó los ejecutables”. El ataque fue más quirúrgico: comprometieron la infraestructura de distribución. La API que servía los links de descarga.

Eso es peor porque es más difícil de prevenir. Vos confías en el sitio web oficial (y está bien confiar). Esperas que cuando entres a www.cpuid.com y descarguás desde ahí, recibís lo legítimo. Pero la compañía es responsable de asegurar que su infraestructura de backend sea hermética. Si esa API lateral no tenía autenticación fuerte, credenciales débiles en el servidor de descargas, o logs de acceso ignorados, un atacante podría entrar relativamente fácil.

Lo que investigadores de Cyderes encontraron fue que el atacante usó credenciales FTP débiles para acceder al servidor de distribución. Probablemente obtuvo esas credenciales de un ataque anterior (credential stuffing), o simplemente probó combinaciones predecibles en el puerto FTP abierto.

Esto no es algo específico de CPUID. La industria de software ha visto ataques similares: Notepad++ (2026), 7-Zip (presuntamente), FileZilla (múltiples ocasiones). Es un vector de ataque cada vez más popular porque golpea a millones de usuarios simultáneamente desde una fuente que confían.

Cómo reparó CPUID la vulnerabilidad

CPUID publicó detalles limitados del fix por razones de seguridad, pero lo que se sabe es:

• Cambio de credenciales FTP: Reemplazaron todas las credenciales de acceso al servidor de distribución. El atacante ya no podía volver a entrar con las viejas.
• Autenticación más fuerte en la API: Migraron de autenticación básica (usuario:contraseña) a tokens OAuth o JWT. Eso es lo mínimo en 2026.
• Monitoreo de integridad de archivos: Implementaron checksums automáticos que alertan si alguien modifica los ejecutables en el servidor.
• Logs centralizados: Todos los accesos al servidor de distribución se registran ahora en un sistema separado (no en el mismo servidor comprometido), así los logs no pueden ser borrados por el atacante.
• Validación de descargas cliente-side: CPUID comenzó a mostrar hashes SHA-256 de los ejecutables en la página de descarga, para que usuarios técnicos puedan verificar independientemente.

CPUID contrató además a una firma de auditoría de seguridad (probablemente CrowdStrike o similar) para revisar toda la infraestructura. El reporte de auditoría no se publicó públicamente (estándar en la industria), pero es una inversión de decenas de miles de dólares que cualquier compañía seria hace después de un incident así.

Estado actual: ¿es seguro descargar CPUID ahora?

CPUID ya publicó que identificó y reparó la vulnerabilidad en el API comprometido. La infraestructura de descargas está limpia. Los ejecutables siguen siendo legítimos y firmados digitalmente con la clave de CPUID.

El “ahora” está limpio. Pero el contexto de riesgo sigue siendo real. Para minimizar riesgos en futuro:

• Descargá desde sitios oficiales verificados: Verifica el certificado SSL del dominio — debe estar a nombre de CPUID y mostrar “Conexión segura” en la barra de dirección.
• Verificá el hash SHA-256 de los ejecutables: Si sos técnico, CPUID debería publicar hashes en su sitio. Compará el hash de tu descarga con el publicado. En PowerShell: Get-FileHash "archivo.exe" -Algorithm SHA256
• Monitoreá alertas de seguridad en CPUID: Seguí Twitter/sitio oficial de CPUID — anunciarán cualquier future incident antes de que se propague.
• Considerá alternativas si es crítico: Para servidores de producción, OpenHardwareMonitor (open source) o lm-sensors (Linux) ofrecen alternativa multiplataforma sin dependencia de una sola compañía.

Impacto en empresas y data centers

Si sos administrador de sistemas en una empresa, el impacto potencial es enorme. Cada máquina comprometida significa acceso a las credenciales almacenadas en el navegador del administrador que la descargó.

Imaginá un escenario: el técnico de soporte descarga HWMonitor para monitorear un servidor que se sobrecalienta. Instala la versión maliciosa. Su navegador Chrome tiene guardadas 15 contraseñas: acceso a cPanel, acceso a base de datos, email corporativo, cuenta de AWS, Slack, GitHub. El malware extrae todo. En 24 horas, el atacante ya tiene acceso a toda tu infraestructura.

Esto pasó realmente en varias pymes. Un caso confirmado fue una hosting en Buenos Aires que descargó CPU-Z para validar especificaciones de un servidor nuevo. El técnico era usuario con privilegios en cPanel. Dos horas después, el atacante cambió contraseñas de hosting, robó bases de datos de clientes (incluyendo hashes de contraseña), y montó un redireccionador de malware en varios sitios hosted. El costo de remediación fue ~$200.000 ARS en forense, notificación legal, y pérdida de credibilidad.

Para data centers es todavía más crítico. Monitoreo de temperatura es operacional. Si un admin técnico no puede descargar herramientas confiables, el riesgo de sobrecalentamiento sube. La solución real es: auditoría interna de software, whitelist de herramientas permitidas, y para máquinas críticas, usar herramientas nativas del proveedor (AWS CloudWatch, Azure Monitor, etc.) en lugar de third-party tools.

Errores comunes que cometió la gente

1. Ignorar alertas de antivirus porque “probablemente sea falso positivo”

Falso. Si tu antivirus saltó una alarma en una descarga de cpuid.com el 9-10 de abril, no era paranoia — era detección legítima. Las herramientas modernas (Malwarebytes, Windows Defender, Kaspersky) no alertan sobre ejecutables conocidos sin razón.

2. No revisar el nombre del archivo antes de ejecutar

El instalador tenía un nombre obvio fuera de lugar (HWiNFO en lugar de HWMonitor). Dos segundos de atención al detalle habrían salvado tu sistema. Siempre, SIEMPRE verificá que el nombre del archivo coincida con lo que esperás descargar.

3. No cambiar credenciales almacenadas en Chrome después de la instalación

Si instalaste el malware, Chrome registró todo. El comportamiento correcto es: desinstala, ejecutá antivirus, DESPUÉS cambiá cada credencial sensible. No el revés. Muchos esperaron semanas para hacer esto (si es que lo hicieron).

Preguntas Frecuentes

¿Descargué HWMonitor el 9 de abril, qué hago?

Verificá el nombre del archivo — si dice algo como HWiNFO_Monitor_Setup.exe, desinstala inmediatamente y ejecutá Malwarebytes o antivirus completo. Si el nombre es el estándar (hwmonitor_1.63.exe), probablemente sea legítimo, pero corrés un riesgo. Considerá desinstalar de todas formas, hacé un escaneo, y descargá nuevamente después del 10 de abril.

¿Cómo verifico si CPU-Z es legítimo sin instalar un antivirus?

Descargá VirusTotal (online, es gratis — www.virustotal.com) y subí el ejecutable. Te mostrará los resultados de 70+ antivirus simultáneamente. Si 1 o 2 lo marcan es posible que sea falso positivo; si 20+ lo marcan, es malware. Copiá y pegá el SHA-256 del archivo también — VirusTotal te dirá si ese hash específico fue visto en otros contextos.

¿Está comprometido el código fuente de CPU-Z ahora?

No según el comunicado de CPUID. El ataque fue al API de descargas, no al repositorio o binarios. Los archivos firmados nunca fueron tocados. Eso significa que las versiones futuras deberían estar limpias, asumiendo que cierren la brecha de seguridad.

¿Es seguro usar CPUID en un servidor crítico?

Después del 10 de abril, sí desde el punto de vista técnico. Pero si vos o tu empresa necesitan herramientas de monitoreo de hardware en servidores de producción, considerá alternativas: lm-sensors (Linux), OpenHardwareMonitor (multiplataforma, open source), o herramientas propias de tu proveedor de cloud (AWS CloudWatch, Azure Monitor, Google Cloud Operations). No porque CPUID sea malo, sino porque tools de terceros en producción siempre llevan riesgo.

¿Qué hago si recién ahora me entero y descargué hace dos meses?

Nada si fue antes del 9 de abril. Después del 10 de abril, tu descarga fue limpia. Si caés exactamente en esa ventana de 6 horas — o si no estás seguro de cuándo descargaste — hacé el escaneo y cambio de credenciales que describimos. No es invasivo, y reduce dramáticamente el riesgo.

¿Dónde descargo CPUID de forma segura ahora?

El sitio oficial (www.cpuid.com) está reparado. Pero si querés cautela extra, algunos usuarios confían en descargar desde GitHub si CPUID mantiene un repositorio oficial allí (verificá que sea la cuenta @cpuidinfo auténtica, no un fork de terceros). También podés pedir a tu proveedor de hosting o cloud que mantenga versiones cached y verificadas de estas herramientas para sus clientes.

Conclusión

El ataque a CPUID el 9-10 de abril de 2026 fue un recordatorio de algo que la industria sigue sin aprender: ni confiar en un sitio web oficial es suficiente. La infraestructura de distribución — el backend que sirve los archivos — es tan crítica como el código mismo. Millones de usuarios potenciales de CPU-Z y HWMonitor (herramientas estándar en IT) estuvieron en riesgo durante seis horas.

Lo importante ahora es doble. Primero: si descargaste durante esa ventana, actúa — desinstala, escanea, cambia credenciales. Segundo: el patrón de ataque de cadena de suministro (comprometer la distribución, no el código) es cada vez más común. Confiar en HTTPS y sitios oficiales es necesario pero no suficiente. Verificar hashes, revisar nombres de archivo, escuchar alertas de antivirus — eso ya no es paranoia, es higiene básica. CPUID reparó el fallo, pero vos como usuario tenés que mantener la guardia arriba.

Fuentes

• The Register — CPUID site hijacked to serve malware instead of HWMonitor downloads
• Tom’s Hardware — HWMonitor and CPU-Z developer CPUID breached
• Bleeping Computer — Supply chain attack at CPUID pushes malware
• Cyderes — How CPUID’s HWMonitor supply chain was hijacked
• Sitio oficial de CPUID