Un grupo de ciberdelincuentes está utilizando anuncios publicitarios en motores de búsqueda para promover sitios web falsos que ofrecen descargas de PuTTY y WinSCP. Los anuncios redirigen a dominios maliciosos que distribuyen archivos comprometidos, incluyendo un instalador legítimo de Python (pythonw.exe) y un archivo DLL malicioso (python311.dll).
Técnicas empleadas en la campaña
La campaña utiliza una técnica conocida como DLL Sideloading para cargar el archivo malicioso al ejecutar el instalador. El malware permite que se instale un toolkit de explotación llamado Sliver, facilitando la entrada en sistemas vulnerables.
Dominios falsos y errores tipográficos
Los dominios falsos utilizados contienen errores tipográficos como «puutty.org» y «wnscp.net». La amenaza se expande rápidamente en redes corporativas, robando datos y tratando de desplegar ransomware, según un informe reciente de Rapid7.
Archivos infectados y su comportamiento
Los archivos infectados vienen empaquetados en formatos ZIP y contienen un ejecutable Setup.exe. Al ser ejecutado, este archivo carga la versión legítima de pythonw.exe junto con el archivo malicioso python311.dll.
Intentos de exfiltración de datos
Rapid7 ha observado que los atacantes intentaron exfiltrar datos usando la utilidad de respaldo Restic antes de intentar desplegar ransomware. Los atacantes intentaron exfiltrar datos usando la utilidad de respaldo Restic, aunque este intento fue bloqueado.
Relación con campañas anteriores
Las técnicas utilizadas recuerdan a campañas anteriores del grupo BlackCat/ALPHV. Los administradores de sistemas Windows son los más afectados, ya que suelen descargarse estos programas.
Tendencias y programas afectados
Esta tendencia de utilizar anuncios publicitarios para distribuir malware ha crecido en los últimos años. Se han afectado programas populares como Keepass, VLC y TeamViewer, entre otros.
Casos específicos de suplantación
La situación se agrava con anuncios que redirigen a sitios de phishing, como el caso reciente de un anuncio de Google que conducía a una versión falsa del sitio de criptomonedas Whales Market.