Microsoft ha revelado detalles de una campa\u00f1a de malvertici\u00f3n a gran escala que se estima que ha afectado a m\u00e1s de un mill\u00f3n de dispositivos a nivel mundial como parte de lo que dijo que es un ataque oportunista dise\u00f1ado para robar informaci\u00f3n confidencial.<\/p>\n
El gigante tecnol\u00f3gico, que detect\u00f3 la actividad a principios de diciembre de 2024, lo est\u00e1 rastreando bajo el paraguas m\u00e1s amplio Storm-0408, un apodo utilizado para un conjunto de actores de amenazas que se sabe que distribuyen acceso remoto o malware de robo de informaci\u00f3n a trav\u00e9s de phishing, optimizaci\u00f3n de motores de b\u00fasqueda (SEO) o malvertimiento.<\/p>\n
“El ataque se origin\u00f3 en sitios web de transmisi\u00f3n ilegal integrados con redirectores malvertidos, lo que llev\u00f3 a un sitio web intermediario donde el usuario fue redirigido a GitHub y otras dos plataformas”, el equipo de inteligencia de amenazas de Microsoft dicho<\/a>.<\/p>\n “La campa\u00f1a impact\u00f3 a una amplia gama de organizaciones e industrias, incluidos dispositivos de consumidores y empresas, destacando la naturaleza indiscriminada del ataque”.<\/p>\n El aspecto m\u00e1s significativo de la campa\u00f1a es el uso de GitHub como plataforma para entregar cargas \u00fatiles de acceso inicial. En al menos otras dos instancias aisladas, las cargas \u00fatiles se han encontrado alojadas en Discord y Dropbox. Desde entonces, los repositorios de Github han sido derribados. La compa\u00f1\u00eda no revel\u00f3 cu\u00e1ntos repositorios se eliminaron.<\/p>\n El servicio de alojamiento de c\u00f3digo propiedad de Microsoft act\u00faa como un campo de puesta en escena para el malware de gotero responsable de implementar una serie de programas adicionales como Lumma Stealer y Doenerium, que, a su vez, son capaces de recopilar informaci\u00f3n del sistema.<\/p>\n El ataque tambi\u00e9n emplea una sofisticada cadena de redirecci\u00f3n que comprende cuatro a cinco capas, con el redirector inicial integrado dentro de un elemento de iframe en sitios web de transmisi\u00f3n ilegal que sirve contenido pirateado.<\/p>\n La secuencia de infecci\u00f3n general es un proceso de varias etapas que involucra el descubrimiento del sistema, la recopilaci\u00f3n de informaci\u00f3n y el uso de cargas \u00fatiles de seguimiento, como los scripts de rata de soporte de NetS y Autoit para facilitar m\u00e1s robo de datos. El troyano de acceso remoto tambi\u00e9n sirve como conducto para el malware de robador.<\/p>\n Otra caracter\u00edstica de los ataques se refiere al uso de varios scripts de PowerShell para descargar NetSupport Rat, identificar aplicaciones instaladas y software de seguridad, espec\u00edficamente escaneando para la presencia de billeteras de criptomonedas, lo que indica un posible robo de datos financieros.<\/p>\n “Adem\u00e1s de los robos de informaci\u00f3n, PowerShell, JavaScript, VBScript y Autoit Scripts se ejecutaron en el host”, dijo Microsoft. “Los actores de amenaza incorporaron el uso de binarios y scripts de la tierra (LOLBAS) como PowerShell.exe, MSBuild.exe y Regasm.exe para C2 y la exfiltraci\u00f3n de datos de datos de usuarios y credenciales de navegador”.<\/p>\n La divulgaci\u00f3n se produce cuando Kaspersky revel\u00f3 que los sitios web falsos disfrazados de los chatbots de inteligencia artificial (IA) de Deepseek y Grok se est\u00e1n utilizando para enga\u00f1ar a los usuarios para que instalaran un robador de informaci\u00f3n de Python previamente indocumentado.<\/p>\n Los sitios de se\u00f1uelo tem\u00e1ticos de Deekseek anunciados por cuentas verificadas en X (por ejemplo, @coleaddisontech, @gaurdevang2 y @saduq5) tambi\u00e9n se han empleado para ejecutar un script de PowerShell que usa SSH para otorgar a los atacantes acceso remoto a la computadora. <\/p>\n “Los cibercriminales usan varios esquemas para atraer a las v\u00edctimas a los recursos maliciosos”, la compa\u00f1\u00eda de ciberseguridad rusa dicho<\/a>. “Por lo general, los enlaces a dichos sitios se distribuyen a trav\u00e9s de mensajeros y redes sociales. Los atacantes tambi\u00e9n pueden usar el tr\u00e1fico de equipos de compra o comprar en sitios maliciosos a trav\u00e9s de numerosos programas de afiliados”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Microsoft-advierte-de-una-campana-malvertida-que-infecta-mas-de.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/div>\n<\/a><\/center><\/div>\n