Microsoft ha alertado sobre una nueva campaña de malvertising que ha logrado robar las credenciales de casi un millón de dispositivos. Utilizando técnicas de ingeniería social, los ciberdelincuentes han distribuido malware a través de sitios web de descarga de películas y repositorios en GitHub, engañando a los usuarios para que ejecuten archivos maliciosos sin sospecharlo.
Métodos de propagación del malware
Este ataque se basa en la combinación de software malicioso e ingeniería social para engañar a los usuarios y hacer que descarguen archivos infectados sin sospecharlo. Los delincuentes han utilizado principalmente dos canales para propagar el malware: sitios web de descarga de películas y repositorios en GitHub.
En el primer caso, crean páginas fraudulentas que simulan ser plataformas confiables y ofrecen películas, programas o cracks de software gratuito. Para atraer a las víctimas, utilizan nombres llamativos como “Película_HD_Gratis.exe” o “Crack_Office2025.zip”. Una vez que el usuario descarga y ejecuta el archivo, el malware se instala en el sistema sin levantar sospechas y comienza a recopilar información. Además, para reforzar la credibilidad de estos sitios, los atacantes publican comentarios falsos en foros y redes sociales, generando la impresión de que muchas personas han descargado los archivos sin problemas.
En GitHub, han alojado archivos con código malicioso en repositorios públicos, clonando proyectos legítimos o utilizando nombres similares a herramientas populares. También han manipulado el sistema de puntuación de la plataforma para hacer que estos archivos parezcan confiables. Muchos desarrolladores y usuarios interesados los descargan sin sospechar que están comprometidos, activando el malware en sus dispositivos y facilitando el robo de credenciales.
Proceso de ataque
- Inicio en sitios de descargas ilegales: Los atacantes insertaron anuncios maliciosos en páginas de descargas de películas y series. Estos anuncios, disfrazados de botones o banners, redirigían a las víctimas sin que lo notaran.
- Redireccionamientos encadenados: Al hacer clic en los anuncios, los usuarios eran enviados a través de múltiples sitios antes de llegar a una página que promovía una descarga desde GitHub.
- Uso de GitHub como anzuelo: Los atacantes manipularon el sistema de puntuación de GitHub para hacer que los archivos maliciosos parecieran confiables, induciendo a las víctimas a descargarlos.
- Descarga e infección inicial: Al ejecutar el archivo descargado, se activaba un primer payload, diseñado para recopilar información del sistema y desplegar más cargas maliciosas.
- Conexión con servidores de ataque: El malware se comunicaba con servidores de comando y control (C2), permitiendo a los atacantes descargar más archivos, extraer credenciales, cookies de sesión, contraseñas almacenadas en navegadores y aplicaciones, historial de navegación y evadir sistemas de seguridad.
Microsoft ha confirmado que los repositorios maliciosos de GitHub ya han sido eliminados. Sin embargo, aquellos usuarios que descargaron y ejecutaron estos archivos antes de su eliminación aún podrían estar comprometidos, por lo que se recomienda realizar un análisis de seguridad en sus dispositivos.
Recomendaciones
- Evitar la descarga de archivos desde fuentes no verificadas: No descargar software, películas o herramientas desde sitios de dudosa procedencia. En su lugar, utilizar plataformas oficiales y seguras.
- Verificar repositorios en GitHub antes de descargar archivos: Comprobar la reputación del desarrollador, la cantidad de estrellas y los comentarios de otros usuarios para evitar descargar contenido malicioso.
- Implementar autenticación en dos pasos (2FA): Activar esta capa de seguridad en todas las cuentas importantes para evitar accesos no autorizados en caso de filtración de credenciales.
- Utilizar herramientas de seguridad actualizadas: Mantener un antivirus y software antimalware actualizado para detectar amenazas potenciales en tiempo real.
- Configurar bloqueadores de anuncios y protección contra malvertising: Utilizar extensiones en los navegadores para bloquear anuncios y scripts maliciosos que podrían redirigir a sitios de descargas fraudulentos.
- Actualizar constantemente navegadores y aplicaciones: Mantener el software al día para evitar vulnerabilidades que puedan ser explotadas por atacantes.
