Han surgido detalles sobre una campa\u00f1a de publicidad maliciosa que aprovecha Google Ads para dirigir a los usuarios que buscan software popular a p\u00e1ginas de destino ficticias y distribuir cargas \u00fatiles de la siguiente etapa.<\/p>\n
Malwarebytes, que descubri\u00f3 la actividad, dicho<\/a> es “\u00fanico en su forma de tomar huellas dactilares de los usuarios y distribuir cargas \u00fatiles urgentes”.<\/p>\n El ataque se\u00f1ala a los usuarios que buscan convertidores Notepad++ y PDF para publicar anuncios falsos en la p\u00e1gina de resultados de b\u00fasqueda de Google que, al hacer clic en ellos, filtra los bots y otras direcciones IP no deseadas mostrando un sitio se\u00f1uelo.<\/p>\n Si se considera que el visitante es de inter\u00e9s para el actor de la amenaza, la v\u00edctima es redirigida a un sitio web r\u00e9plica que anuncia el software, mientras toma silenciosamente las huellas dactilares del sistema para determinar si la solicitud se origina en una m\u00e1quina virtual.<\/p>\n Los usuarios que no pasan la verificaci\u00f3n son dirigidos al sitio web leg\u00edtimo de Notepad++, mientras que a un objetivo potencial se le asigna una identificaci\u00f3n \u00fanica para “fines de seguimiento, pero tambi\u00e9n para hacer que cada descarga sea \u00fanica y urgente”.<\/p>\n El malware de etapa final es una carga \u00fatil HTA que establece una conexi\u00f3n a un dominio remoto (“mybigeye[.]icu”) en un puerto personalizado y sirve malware de seguimiento.<\/p>\n “Los actores de amenazas est\u00e1n aplicando con \u00e9xito t\u00e9cnicas de evasi\u00f3n que eluden los controles de verificaci\u00f3n de anuncios y les permiten apuntar a ciertos tipos de v\u00edctimas”, afirm\u00f3 J\u00e9r\u00f4me Segura, director de inteligencia de amenazas.<\/p>\n “Con una cadena de entrega de malware confiable, los actores maliciosos pueden concentrarse en mejorar sus p\u00e1ginas se\u00f1uelo y crear cargas \u00fatiles de malware personalizadas”.<\/p>\n La divulgaci\u00f3n se superpone con una campa\u00f1a similar dirigida a los usuarios que buscan el administrador de contrase\u00f1as KeePass con anuncios maliciosos que dirigen a las v\u00edctimas a un dominio usando c\u00f3digo puny<\/a> (guardar[.]info vs \u0137eepass[.]info), una codificaci\u00f3n especial utilizada para convertir caracteres Unicode a ASCII.<\/p>\n “Las personas que hagan clic en el anuncio ser\u00e1n redirigidas a trav\u00e9s de un servicio de encubrimiento destinado a filtrar zonas de pruebas, bots y cualquier persona que no se considere una v\u00edctima genuina”, Segura anotado<\/a>. “Los actores de amenazas han creado un dominio temporal en keepastacking[.]sitio que realiza la redirecci\u00f3n condicional al destino final.”<\/p>\n Los usuarios que llegan al sitio se\u00f1uelo son enga\u00f1ados para que descarguen un instalador malicioso que, en \u00faltima instancia, conduce a la ejecuci\u00f3n de FakeBat (tambi\u00e9n conocido como EugenLoader), un cargador dise\u00f1ado para descargar otro c\u00f3digo malicioso.<\/p>\n El abuso de Punycode no es del todo novedoso, pero combinarlo con Google Ads deshonestos es una se\u00f1al de que la publicidad maliciosa a trav\u00e9s de los motores de b\u00fasqueda se est\u00e1 volviendo m\u00e1s sofisticada. Al emplear Punycode para registrar nombres de dominio similares como sitios leg\u00edtimos, el objetivo es lograr una ataque hom\u00f3grafo<\/a> y atraer a las v\u00edctimas para que instalen malware.<\/p>\n “Si bien los actores de amenazas han utilizado Punycode con nombres de dominio internacionalizados durante a\u00f1os para atacar a las v\u00edctimas de phishing, esto demuestra cu\u00e1n efectivo sigue siendo en el contexto de la suplantaci\u00f3n de marcas a trav\u00e9s de publicidad maliciosa”, dijo Segura.<\/p>\n Hablando de enga\u00f1os visuales, se ha observado que m\u00faltiples actores de amenazas (TA569 (tambi\u00e9n conocido como SocGholish), RogueRticate (FakeSG), ZPHP (SmartApeSG), ClearFake y EtherHiding aprovechan temas relacionados con actualizaciones falsas del navegador para propagar Cobalt Strike, cargadores y ladrones. y troyanos de acceso remoto, una se\u00f1al de que estos ataques son una amenaza constante y en evoluci\u00f3n.<\/p>\n “Las actualizaciones falsas del navegador abusan de la confianza del usuario final con sitios web comprometidos y un se\u00f1uelo personalizado para el navegador del usuario para legitimar la actualizaci\u00f3n y enga\u00f1ar a los usuarios para que hagan clic”, dijo el investigador de Proofpoint, Dusty Miller. dicho<\/a> en un an\u00e1lisis publicado esta semana.<\/p>\n “La amenaza est\u00e1 s\u00f3lo en el navegador y puede iniciarse con un clic desde un correo electr\u00f3nico leg\u00edtimo y esperado, un sitio de redes sociales, una consulta en un motor de b\u00fasqueda o incluso simplemente navegando al sitio comprometido”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Anunciantes-malintencionados-que-utilizan-anuncios-de-Google-para-dirigirse-a.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n