Una campaña de anuncios maliciosos a gran escala difundió el malware Lumma Stealer, que roba información a través de páginas CAPTCHA falsas que solicitan a los usuarios ejecutar comandos de PowerShell para comprobar que no son robots.
La campaña utilizó la red publicitaria Monetag para distribuir más de un millón de impresiones de anuncios por día en tres mil sitios web. Se cree que la operación maliciosa, denominada «DeceptionAds» por los investigadores de Guardio Labs e Infoblox, está dirigida por el actor de amenazas conocido como «Vane Viper».
DeceptionAds puede considerarse una variante más moderna y peligrosa de los ataques «ClickFix», en los cuales se engaña a las víctimas para que ejecuten comandos maliciosos de PowerShell en su máquina, infectándose así con malware.
Los autores de ClickFix han utilizado correos electrónicos de phishing, páginas CAPTCHA falsas en sitios de software pirata, páginas maliciosas de Facebook e incluso problemas en GitHub que redirigen a los usuarios a páginas de destino peligrosas.
Lo descubierto por GuardioLabs es diferente de las operaciones anteriores, ya que emplea publicidad a gran escala en una red publicitaria legítima para dirigir a los usuarios desprevenidos que navegan casualmente por la web directamente a páginas CAPTCHA falsas.
Una vez que la víctima hace clic en el anuncio, un código ofuscado verifica si se trata de una persona real y, si se valida, redirige al visitante a una página CAPTCHA falsa a través del servicio de encubrimiento BeMob. Aunque BeMob se utiliza con fines legítimos, como el seguimiento del rendimiento de los anuncios, en «Deception Ads» se usa únicamente para evadir.
Los hallazgos clave de la investigación incluyen:
Alcance amplio: más de 1 millón de impresiones de anuncios por día, con tráfico canalizado a través de más de 3000 sitios web.
Mecanismo de distribución de malware: cadenas de redireccionamiento y scripts ofuscados distribuyen páginas CAPTCHA falsas a través de redes publicitarias.
Encubrimiento sofisticado: los atacantes utilizaron servicios como BeMob para el seguimiento de anuncios con el fin de ocultar las intenciones maliciosas de los moderadores.
La página CAPTCHA incluye un fragmento de código JavaScript que copia silenciosamente un comando malicioso de una línea de PowerShell en el portapapeles del usuario sin que este se dé cuenta.
.jpg)
A continuación, la página proporciona instrucciones a la víctima sobre cómo pegar la «solución CAPTCHA» en el cuadro de diálogo Ejecutar de Windows y ejecutarla. Este paso ejecuta el comando de PowerShell, que descarga Lumma Stealer desde un servidor remoto y lo ejecuta en el dispositivo de la víctima.
RECOMENDACIONES PARA PROTEGERTE
Aquí tienes algunas recomendaciones para evitar caer en ataques como el de Lumma Stealer y otros similares:
No ejecutar comandos desconocidos: Nunca ejecutes comandos de PowerShell, scripts o cualquier otro código que no entiendas completamente o que no provenga de una fuente confiable.
Verificar la autenticidad de las páginas CAPTCHA: Si una página CAPTCHA solicita que ejecutes comandos en tu máquina, es una señal de alerta. Verifica la URL y asegúrate de que estés en el sitio correcto antes de realizar cualquier acción.
Mantener el software actualizado: Asegúrate de que tu sistema operativo y todas las aplicaciones estén siempre actualizadas con los últimos parches de seguridad.
Usar software antivirus y antimalware: Mantén un software antivirus y antimalware actualizado y escanea regularmente tu sistema.
Ser cauteloso con los anuncios: Desconfía de los anuncios que parezcan demasiado buenos para ser verdad o que te redirijan a páginas inesperadas. Utiliza bloqueadores de anuncios confiables para reducir la exposición a anuncios maliciosos.
Activar la protección contra phishing: Muchos navegadores y servicios de correo electrónico ofrecen protección contra sitios web y correos electrónicos de phishing. Asegúrate de tener esta función activada.
Educarte sobre ciberseguridad: Mantente informado sobre las últimas amenazas y tácticas utilizadas por los atacantes. La educación es una de las mejores defensas contra el cibercrimen.
Utilizar autenticación multifactor: Añade una capa extra de seguridad a tus cuentas activando la autenticación multifactor (MFA), lo que dificulta el acceso a los atacantes incluso si logran obtener tu contraseña.
Siguiendo estos consejos, puedes reducir significativamente el riesgo de caer en este tipo de ataques.
Nuestros servicios:
