Buscar en Google para descargar software popular siempre ha conllevado riesgos, pero en los últimos meses se ha vuelto francamente peligroso según varias investigaciones. Los investigadores de amenazas están acostumbrados a ver un flujo moderado de publicidad maliciosa a través de Google Ads. Sin embargo, los voluntarios de Spamhaus señalan que el volumen de esta actividad ha aumentado significativamente.
Publicidad maliciosa y descargas de software
Dado el tamaño de la audiencia que pueden alcanzar los actores de amenazas a través de la publicidad, se espera que el malware continúe distribuyéndose mediante este método. No es difícil encontrar evidencia anecdótica de que la publicidad maliciosa en Google está fuera de control. Las búsquedas relacionadas con descargas de software son las más propensas a mostrar anuncios maliciosos.
Por ejemplo, los resultados de búsqueda para «visual studio download» incluyen un enlace patrocinado por Google que redirige a downloadstudio[.]net, marcado como malicioso por VirusTotal. Este fenómeno se debe, en parte, al bloqueo de Microsoft de las macros de Office en documentos de Internet.
Distribución de malware mediante publicidad maliciosa
Los actores de amenazas han recurrido a métodos alternativos para distribuir malware, incluida la publicidad maliciosa. Los enlaces dañinos provienen de varias familias de malware, entre ellas AuroraStealer, IcedID, Meta Stealer, RedLine Stealer, Vidar, Formbook y XLoader.
Estas familias solían recurrir al phishing y al spam con documentos de Microsoft Word que incluían macros trampa. En los últimos tiempos, Google Ads se ha convertido en el medio principal para difundir malware disfrazado de descargas legítimas, imitando marcas como Adobe Reader, Gimp, Microsoft Teams, OBS, Slack, Tor y Thunderbird.
Campañas de publicidad maliciosa detectadas
El mismo día en que Spamhaus publicó su informe, investigadores de Sentinel One documentaron una campaña avanzada de publicidad maliciosa en Google que impulsaba múltiples cargadores maliciosos implementados en .NET. Los actores de amenazas utilizan XLoader para robar datos de contactos y otra información confidencial de dispositivos infectados.
Investigaciones anteriores de Checkpoint proporcionan información detallada sobre cómo XLoader implementa esta técnica. Por ejemplo, una búsqueda en Google a principios de este año del programa gratuito FreeCAD produjo un resultado que mostraba un anuncio «patrocinado» en la parte superior de los resultados, anunciando el software disponible en freecad-us[.]org. Aunque ese sitio web afirma ser oficial, el legítimo corresponde a freecad.org.
Riesgos asociados a dominios nuevos
¿Cómo sabemos que freecad-us[.]org es malicioso? Una revisión en DomainTools.com muestra que este dominio es el más nuevo (registrado el 19 de enero de 2024) de más de 200 dominios en la dirección IP 93.190.143[.]252, confusamente similares a títulos de software populares, incluido dashlane-project[.]com, filezillasoft[.]com, keepermanager[.]com y libreofficeproject[.]com.
El experto en dominios del Proyecto Spamhaus, Carel Bitter, cuestionó por qué Google Ads aprobaba anuncios vinculados a nuevos dominios. En la industria de la seguridad, el uso inmediato de dominios recién registrados se asocia con actividades de alto riesgo. Hasta que Google diseñe nuevas defensas, los dominios señuelo y otras técnicas de ofuscación seguirán siendo una forma efectiva de ocultar los verdaderos servidores.