Los ciberdelincuentes utilizan publicidad falsa para distribuir malware
Por qué es importante: los ciberdelincuentes analizan constantemente el espacio tecnológico en busca de nuevas formas de explotar a los usuarios y obtener sus datos personales. En el pasado, los ataques de phishing se aprovecharon para engañar a los usuarios para que proporcionaran información confidencial haciéndose pasar por una fuente creíble y solicitando los datos del usuario. Pero de acuerdo con la organización de inteligencia de amenazas Talos de Cisco, una nueva campaña maliciosa ha ido cobrando fuerza como un método eficaz para recopilar información de usuarios desconocidos.
Conocida como publicidad maliciosa, Talos Intelligence de Cisco cree que una campaña específica conocida como " Magnat " utiliza publicidad en línea fraudulenta para engañar a los usuarios que buscan instaladores de software legítimos. El equipo de inteligencia de amenazas de Cisco cree que la campaña Magnat puede haber comenzado a fines de 2018 y está dirigida a usuarios en Canadá, Estados Unidos, Australia y varias otras naciones europeas.
Una vez que se dirige a un usuario a la descarga fraudulenta, ejecuta un instalador falso que implementa tres piezas distintas de malware en su sistema. Si bien el instalador falso se pone a trabajar instalando varios componentes de malware, no instala la aplicación real que el usuario estaba buscando originalmente.
La primera pieza de malware es un ladrón de contraseñas que se utiliza para recopilar las credenciales de los usuarios, a menudo a través de una herramienta común conocida como Redline. Otra pieza de malware, conocida como MagnatBackdoor, configura el acceso remoto al dispositivo del usuario a través de Microsoft Remote Desktop. Este acceso, combinado con las credenciales de usuario robadas por Redline (o una herramienta similar), puede proporcionar acceso sin restricciones a los sistemas del usuario a pesar de estar protegido y protegido por firewall. La pieza final de la trifecta de malware es una extensión del navegador Chrome conocida como MagnatExtension, que se utiliza para el registro de teclas, la obtención de capturas de pantalla de información confidencial, etc.
Un tweet de agosto de 2021 proporcionó capturas de pantalla y muestras de descarga de una supuesta campaña de publicidad maliciosa. Talos analizó las muestras a las que se hace referencia en el tweet y verificó que al menos una muestra contenía los componentes de malware MagnatBackdoor, MagnatExtension y Redline.
Talos cree que las herramientas de Magnat se han desarrollado y mejorado a lo largo de varios años y no muestran signos de desaceleración en el corto plazo. El nombre del paquete del instalador está en constante evolución y, por lo general, hace referencia al nombre de aplicaciones populares para dar credibilidad y engañar a los usuarios para que implementen el paquete. Ejemplos de nombres de paquetes anteriores incluyen viber-25164.exe, wechat-35355.exe, build_9.716-6032.exe, setup_164335.exe, nox_setup_55606.exe y battlefieldsetup_76522.exe.