Malware FakeBat distribuido en campaña de publicidad maliciosa

Ha surgido nueva información sobre una campaña de publicidad maliciosa que explota Google Ads para dirigir a los usuarios que buscan software popular a páginas de destino fabricadas y distribuir cargas útiles maliciosas posteriores.

Malwarebytes, la entidad que descubrió esta actividad, la caracterizó como "única en su enfoque para identificar usuarios y entregar cargas útiles urgentes".

Este ataque se dirige específicamente a personas que buscan software como Notepad++ y convertidores de PDF. Presenta anuncios falsos en la página de resultados de búsqueda de Google que, al hacer clic, filtra los robots automatizados y las direcciones IP no deseadas mostrando un sitio engañoso.

Si el visitante se considera de interés para el actor de la amenaza, se le redirige a un sitio web falso que promociona el software deseado mientras se toman huellas dactilares encubiertas del sistema para determinar si la solicitud se origina en una máquina virtual.

Los usuarios que no pasan esta verificación son redirigidos al sitio web legítimo de Notepad++, mientras que a los objetivos potenciales se les asigna un identificador distinto para fines de seguimiento y para garantizar que cada descarga sea única y urgente.

El malware de etapa final toma la forma de una carga útil HTA, que establece una conexión con un dominio remoto, "mybigeye[.]icu", en un puerto personalizado y distribuye más malware.

La campaña maliciosa FakeBat elige a sus víctimas

Jerome Segura, director de inteligencia de amenazas, afirmó que los actores de amenazas están empleando eficazmente técnicas de evasión para eludir los controles de verificación de anuncios y centrarse en tipos de víctimas específicos.

Esta revelación coincide con una campaña similar dirigida a usuarios que buscan el administrador de contraseñas KeePass. Emplea anuncios maliciosos para dirigir a las víctimas a un dominio que utiliza Punycode (keepass[.]info frente a ķeepass[.]info), una codificación especial que convierte caracteres Unicode a ASCII.

Segura explicó que las personas que hagan clic en el anuncio serán redirigidas a través de un servicio de encubrimiento diseñado para excluir entornos de prueba, bots automatizados y cualquier persona que no esté identificada como una víctima genuina. Explicó además que los actores de amenazas han configurado un dominio temporal en el sitio keepastacking[.] que organiza la redirección condicional al destino final.

Las personas que llegan al sitio engañoso son engañadas para que descarguen un instalador malicioso, lo que en última instancia conduce a la ejecución de FakeBat (también conocido como EugenLoader), un cargador diseñado para descargar otros códigos maliciosos.

El uso de Punycode no es del todo nuevo, pero su combinación con anuncios fraudulentos de Google indica una creciente sofisticación en la publicidad maliciosa a través de los motores de búsqueda. Este enfoque aprovecha Punycode para registrar nombres de dominio similares a sitios legítimos, con el objetivo de ejecutar ataques homógrafos y atraer a las víctimas para que instalen malware.