Los investigadores de ciberseguridad han alertado sobre una nueva campa\u00f1a de publicidad maliciosa dirigida a personas y empresas que anuncian a trav\u00e9s de Google Ads intentando obtener sus credenciales mediante anuncios fraudulentos en Google.<\/p>\n
“El esquema consiste en robar tantas cuentas de anunciantes como sea posible haci\u00e9ndose pasar por Google Ads y redirigiendo a las v\u00edctimas a p\u00e1ginas de inicio de sesi\u00f3n falsas”, explic\u00f3 J\u00e9r\u00f4me Segura, director senior de inteligencia de amenazas de Malwarebytes. dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n Se sospecha que el objetivo final de la campa\u00f1a es reutilizar las credenciales robadas para perpetuar a\u00fan m\u00e1s las campa\u00f1as, y al mismo tiempo venderlas a otros actores criminales en foros clandestinos. Residencia en publicaciones<\/a> compartido<\/a> en Reddit<\/a>, cielo azul<\/a>y el propio Google foros de soporte<\/a>la amenaza ha estado activa desde al menos mediados de noviembre de 2024. <\/p>\n El grupo de actividad es muy similar a las campa\u00f1as que aprovechan el malware ladr\u00f3n para robar datos relacionados con la publicidad de Facebook y las cuentas comerciales con el fin de secuestrarlas y utilizar las cuentas para campa\u00f1as de publicidad maliciosa que propaguen a\u00fan m\u00e1s el malware.<\/p>\n La campa\u00f1a recientemente identificada se\u00f1ala espec\u00edficamente a los usuarios que buscan Google Ads en el propio motor de b\u00fasqueda de Google para publicar anuncios falsos de Google Ads que, cuando se hace clic en ellos, redirigen a los usuarios a sitios fraudulentos alojados en Google Sites.<\/p>\n Luego, estos sitios sirven como p\u00e1ginas de destino para llevar a los visitantes a sitios de phishing externos que est\u00e1n dise\u00f1ados para capturar sus credenciales y c\u00f3digos de autenticaci\u00f3n de dos factores (2FA) a trav\u00e9s de un WebSocket y exfiltrarlos a un servidor remoto bajo el control del atacante. <\/p>\n “Los anuncios falsos de Google Ads provienen de una variedad de personas y empresas (incluido un aeropuerto regional), en varias ubicaciones”, dijo Segura. “Algunas de esas cuentas ya ten\u00edan cientos de otros anuncios leg\u00edtimos ejecut\u00e1ndose”.<\/p>\n Un aspecto ingenioso de la campa\u00f1a es que aprovecha el hecho de que Google Ads no requiere<\/a> la URL final (la p\u00e1gina web a la que llegan los usuarios cuando hacen clic en el anuncio) debe ser la misma que la URL visible, siempre que los dominios coincidan.<\/p>\n Esto permite a los actores de amenazas alojar sus p\u00e1ginas de destino intermedias en sites.google.[.]com manteniendo las URL visibles como ads.google[.]com. Es m\u00e1s, el modus operandi implica el uso de t\u00e9cnicas como huellas dactilares, detecci\u00f3n de tr\u00e1fico anti-bot, un se\u00f1uelo inspirado en CAPTCHA, encubrimiento y ofuscaci\u00f3n para ocultar la infraestructura de phishing.<\/p>\n Malwarebytes dijo que posteriormente se abusa de las credenciales recopiladas para iniciar sesi\u00f3n en la cuenta de Google Ads de la v\u00edctima, agregar un nuevo administrador y utilizar sus presupuestos para anuncios falsos de Google.<\/p>\n En otras palabras, los actores de amenazas se est\u00e1n apoderando de las cuentas de Google Ads para publicar sus propios anuncios con el fin de agregar nuevas v\u00edctimas a un grupo cada vez mayor de cuentas pirateadas que se utilizan para perpetuar a\u00fan m\u00e1s la estafa. <\/p>\n “Parece haber varios individuos o grupos detr\u00e1s de estas campa\u00f1as”, dijo Segura. “En particular, la mayor\u00eda de ellos hablan portugu\u00e9s y probablemente operan desde Brasil. La infraestructura de phishing se basa en dominios intermediarios con el dominio de nivel superior (TLD) .pt, indicativo de Portugal”.<\/p>\n “Esta actividad publicitaria maliciosa no viola Las reglas publicitarias de Google<\/a>. A los actores de amenazas se les permite mostrar URL fraudulentas en sus anuncios, lo que los hace indistinguibles de los sitios leg\u00edtimos. Google a\u00fan tiene que demostrar que toma medidas definitivas para congelar dichas cuentas hasta que se restablezca su seguridad”.<\/p>\n La revelaci\u00f3n se produce cuando Trend Micro revel\u00f3 que los atacantes est\u00e1n utilizando plataformas como YouTube y SoundCloud para distribuir enlaces a instaladores falsos de versiones pirateadas de software popular que, en \u00faltima instancia, conducen a la implementaci\u00f3n de varias familias de malware como Amadey, Lumma Stealer, Mars Stealer, Pennish. , PrivateLoader y Vidar Stealer.<\/p>\n “Los actores de amenazas suelen utilizar servicios de alojamiento de archivos de buena reputaci\u00f3n como Mediafire y Mega.nz para ocultar el origen de su malware y dificultar la detecci\u00f3n y eliminaci\u00f3n”, dijo la empresa. dicho<\/a>. “Muchas descargas maliciosas est\u00e1n protegidas y codificadas con contrase\u00f1a, lo que complica el an\u00e1lisis en entornos de seguridad como sandboxes y permite que el malware evada la detecci\u00f3n temprana”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/Usuarios-de-Google-Ads-blanco-de-estafas-de-publicidad-maliciosa.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n