Los investigadores de ciberseguridad han arrojado luz sobre un aspecto previamente no documentado asociado con ataques de estilo ClickFix que dependen del aprovechamiento de un único servicio de red publicitaria como parte de una campaña de ladrón de información impulsada por publicidad maliciosa denominada Anuncios de engaño.
“Esta campaña, que depende totalmente de una única red publicitaria para su propagación, muestra los mecanismos centrales de la publicidad maliciosa: genera más de 1 millón de ‘impresiones publicitarias’ diarias. [in the last ten days] y provocando que miles de víctimas diarias pierdan sus cuentas y dinero a través de una red de más de 3.000 sitios de contenido que canalizan el tráfico”, dijo Nati Tal, directora de Guardio Labs, dicho en un informe compartido con The Hacker News.
Las campañas, documentadas por varias empresas de ciberseguridad en los últimos meses, implican dirigir a los visitantes de sitios de películas pirateadas y otros a páginas de verificación CAPTCHA falsas que les indican que copien y ejecuten un comando PowerShell codificado en Base64, lo que en última instancia conduce al despliegue de ladrones de información como Luma.
Los ataques ya no se limitan a un solo actor, y Proofpoint afirmó recientemente que múltiples grupos de amenazas “no atribuidas” han adoptado el inteligente enfoque de ingeniería social para ofrecer troyanos de acceso remoto, ladrones e incluso marcos de trabajo posteriores a la explotación como Brute Ratel C4.
Guardio Labs dijo que pudo rastrear los orígenes de la campaña hasta Monetag, una plataforma que afirma ofrecer varios formatos de anuncios para “monetizar sitios web, tráfico social, Telegram Mini Apps”, y los actores de amenazas también aprovechan servicios como el seguimiento de anuncios de BeMob para encubrir sus intenciones maliciosas. Infoblox también realiza un seguimiento de Monetag con los nombres Vane Viper y Omnatuor.
La campaña efectivamente se reduce a esto: los propietarios de sitios web (es decir, los actores de amenazas) se registran en Monetag, después de lo cual el tráfico se redirige a un Sistema de Distribución de Tráfico (TDS) operado por la red de publicidad maliciosa, lo que finalmente lleva a los visitantes a la página de verificación CAPTCHA.
“Al proporcionar una URL benigna de BeMob al sistema de gestión de anuncios de Monetag en lugar de la página captcha falsa directa, los atacantes aprovecharon la reputación de BeMob, complicando los esfuerzos de moderación de contenido de Monetag”, explicó Tal. “Este BeMob TDS finalmente redirige a la página CAPTCHA maliciosa, alojada en servicios como Oracle Cloud, Scaleway, Bunny CDN, EXOScale e incluso Cloudflare’s R2”.
Tras una divulgación responsable, Monetag eliminó más de 200 cuentas vinculadas al actor de amenazas. BeMob, en un esfuerzo similar, eliminó las cuentas que se utilizaban para el encubrimiento. Dicho esto, hay indicios de que la campaña se ha reanudado nuevamente a partir del 5 de diciembre de 2024.
Los hallazgos resaltan una vez más la necesidad de moderación del contenido y validación sólida de la cuenta para evitar registros falsos.
“Desde sitios editoriales engañosos que ofrecen contenido pirateado o clickbait hasta complejas cadenas de redireccionamiento y técnicas de encubrimiento, esta campaña subraya cómo las redes publicitarias, diseñadas con fines legítimos, pueden usarse como armas para actividades maliciosas”, dijo Tal.
“El resultado es una cadena fragmentada de responsabilidades, en la que las redes publicitarias, los editores, los servicios de estadísticas publicitarias y los proveedores de alojamiento desempeñan cada uno un papel, pero a menudo evitan la rendición de cuentas”.
About the Author
