Los investigadores de ciberseguridad han arrojado luz sobre un aspecto previamente no documentado asociado con ataques de estilo ClickFix que dependen del rendimiento de un único servicio de red publicitaria como parte de una campaña de atracador de información impulsada por publicidad maliciosa denominada Anuncios de disimulo.
«Esta campaña, que depende totalmente de una única red publicitaria para su propagación, muestra los mecanismos centrales de la publicidad maliciosa: genera más de 1 millón de ‘impresiones publicitarias’ diarias (en los últimos diez días) y provoca que miles de víctimas diarias pierdan sus cuentas y su cuartos a través de una red de más de 3.000 sitios de contenido que canalizan el tráfico», dijo Nati Tal, directora de Guardio Labs, en un mensaje compartido con The Hacker News.
Las campañas, documentadas por varias empresas de ciberseguridad en los últimos meses, implican dirigir a los visitantes de sitios de películas pirateadas y otros a páginas de demostración CAPTCHA falsas que les indican que copien y ejecuten un comando PowerShell codificado en Base64, lo que en última instancia conduce al despliegue de ladrones de información como Luma.
Los ataques ya no se limitan a un solo actor, y Proofpoint afirmó recientemente que múltiples grupos de amenazas «no atribuidas» han prohijado el inteligente enfoque de ingeniería social para ofrecer troyanos de acercamiento remoto, ladrones e incluso marcos de trabajo posteriores a la explotación como Brute Ratel C4.
Guardio Labs dijo que pudo rastrear los orígenes de la campaña hasta Monetag, una plataforma que afirma ofrecer varios formatos de anuncios para «monetizar sitios web, tráfico social, Telegram Mini Apps», y los actores de amenazas incluso aprovechan servicios como el seguimiento de anuncios de BeMob para encubrir sus intenciones maliciosas. Infoblox incluso rastrea a Monetag con los nombres Vane Viper y Omnatuor.
La campaña efectivamente se reduce a esto: los propietarios de sitios web (es afirmar, los actores de amenazas) se registran en Monetag, luego de lo cual el tráfico se redirige a un Sistema de Distribución de Tráfico (TDS) operado por la red de publicidad maliciosa, lo que finalmente lleva a los visitantes a la página de demostración CAPTCHA.
«Al proporcionar una URL benigna de BeMob al sistema de administración de anuncios de Monetag en espacio de la página captcha falsa directa, los atacantes aprovecharon la reputación de BeMob, complicando los esfuerzos de moderación de contenido de Monetag», explicó Tal. «Este BeMob TDS finalmente redirige a la página CAPTCHA maliciosa, alojada en servicios como Oracle Cloud, Scaleway, Bunny CDN, EXOScale e incluso Cloudflare’s R2».
Tras una divulgación responsable, Monetag eliminó más de 200 cuentas vinculadas al actor de amenazas. BeMob, en un esfuerzo similar, eliminó las cuentas que se utilizaban para el encubrimiento. Dicho esto, hay indicios de que la campaña se ha reanudado nuevamente a partir del 5 de diciembre de 2024.
Los hallazgos resaltan una vez más la obligación de moderación del contenido y energía sólida de la cuenta para evitar registros falsos.
«Desde sitios editoriales engañosos que ofrecen contenido pirateado o clickbait hasta complejas cadenas de redireccionamiento y técnicas de encubrimiento, esta campaña subraya cómo las redes publicitarias, diseñadas con fines legítimos, pueden estilarse como armas para actividades maliciosas», dijo Tal.
«El resultado es una esclavitud fragmentada de responsabilidades, en la que las redes publicitarias, los editores, los servicios de estadísticas publicitarias y los proveedores de alojamiento desempeñan cada uno un papel, pero a menudo evitan la rendición de cuentas».
