Investigadores han descubierto una campaña maliciosa que utiliza técnicas de envenenamiento de la optimización del motor de búsqueda (SEO) para entregar un malware denominado Oyster, también conocido como Broomstick o CleanuplOADER.
Malvertising y herramientas falsificadas
Según Artic Wolf, esta actividad se clasifica como malvertising, promoviendo sitios web falsos que alojan versiones troyanizadas de herramientas legítimas como Putty y Winscp. El objetivo es engañar a profesionales de IT que buscan estos programas.
«Tras la ejecución, se instala una puerta trasera conocida como Oyster/Broomstick», dijo la compañía en un breve publicado recientemente.
Persistencia mediante registro de DLL
La persistencia se establece mediante la creación de una tarea programada que se ejecuta cada tres minutos, ejecutando una DLL maliciosa (TWAIN_96.DLL) a través de RunDll32.exe utilizando la exportación DllRregisterServer.
Sitios web falsos
Algunos de los sitios web falsos incluyen:
- updaterputty[.]com
- zephyrhype[.]com
- putty[.]run
- putty[.]bet
- puttyy[.]org
Se sospecha que los actores detrás de la campaña también pueden estar apuntando a otras herramientas de TI para entregar el malware, lo cual hace necesario que los usuarios se adhieran a fuentes confiables y sitios oficiales.
Difusión de malware mediante SEO
La divulgación se produce cuando las técnicas de envenenamiento de Blackhat SEO se están utilizando para los resultados de búsqueda de juegos asociados con palabras clave relacionadas con la inteligencia artificial (IA), difundiendo malware como Vidar, Lumma y Legion Loader.
Estos sitios web vienen equipados con código JavaScript que verifica la presencia de bloqueadores de anuncios y reúne información del navegador antes de iniciar una cadena de redirección que lleva a una página de phishing que aloja un archivo ZIP.
Entrega de malware mediante instaladores
«Las páginas de descarga finales en esta campaña entregan Vidar Stealer y Lumma Stealer como archivos ZIP protegidos con contraseña, con la contraseña proporcionada en la página de descarga final», dijo Zscaler.
«Una vez extraídos, contienen un instalador NSIS de 800 MB, un tamaño engañosamente grande destinado a parecer legítimo y los sistemas de detección de derivación con limitaciones del tamaño del archivo».
El instalador NSIS se utiliza para ejecutar un script Autoit que finalmente es responsable de iniciar las cargas útiles de Stealer. El mecanismo de entrega para Legion Loader también aprovecha un instalador MSI para implementar el malware a través de un script en un archivo BAT.
Campañas similares y técnicas de inyección de parámetros de búsqueda
Se ha observado que una campaña de envenenamiento de SEO similar lleva a páginas de phishing cuando los usuarios buscan nombres de aplicaciones populares. Estos sitios falsifican páginas de control de Cloudflare Captcha que utilizan la estrategia de ClickFix para descargar malware como RedLine Stealer y Hijack Loader.
Según datos recopilados por Kaspersky, las empresas pequeñas y medianas (PYME) están siendo atacadas cada vez más por ataques cibernéticos que ofrecen malware disfrazado de AI y herramientas como OpenAI ChatGPT, Cisco AnyConnect, Google Drive, Microsoft Office, Microsoft Teams, Salesforce y Zoom.
«Entre enero y abril de 2025 solo, alrededor de 8.500 usuarios fueron atacados por software potencialmente no deseado que estaban disfrazados de estas herramientas populares», dijo la compañía rusa.
Zoom representó aproximadamente el 41% del número total de archivos únicos, seguido de Outlook y PowerPoint con el 16% cada uno, 12% de Excel, 9% de Word y 5% de Teams. El número de archivos maliciosos únicos que imitan el ChatGPT aumentó en un 115% a 177% en los primeros cuatro meses de 2025.
Ataques mediante inyección de parámetros de búsqueda
La tendencia de abusar de resultados falsos en motores de búsqueda para aprovecharse de marcas populares es una táctica bien conocida. Las campañas recientes han secuestrado búsquedas de páginas de soporte técnico vinculadas a Apple, Bank of America, Facebook, HP, Microsoft, Netflix y PayPal para mostrar páginas legítimas mediante los resultados patrocinados en Google.
«Los visitantes son llevados a la sección de Ayuda/Soporte del sitio web de la marca, pero en lugar del número de teléfono genuino, los secuestradores muestran su número de estafa», dijo Malwarebytes.
Anuncios falsos en Facebook y redes de fraude
No es solo la plataforma publicitaria de Google. Los actores de amenaza también han sido atrapados sirviendo anuncios falsos en Facebook para frases de recuperación de billetera de criptomonedas, difundiendo malware junto con PI2day, un evento anual vinculado a la comunidad de la red PI.
Estas campañas van de la mano con un fenómeno donde los estafadores y ciberdelincuentes establecen redes en expansión que comprenden miles de sitios web para falsificar marcas populares y cometer fraude financiero al anunciar productos reales que nunca se entregan.
Una de esas redes, denominada Ghostvendors por Silent Push, compra espacio de anuncios de Facebook para promover más de 4.000 sitios falsos.
Los anuncios maliciosos del mercado de Facebook se ejecutan durante unos días, después de lo cual se detienen, eliminando efectivamente todos los rastros de ellos de la biblioteca de Meta anuncios. Vale la pena señalar que Meta solo ha retenido anuncios sobre asuntos sociales, elecciones y política durante los últimos siete años.
«Esto ayudó a confirmar que existía una política conocida de la biblioteca de meta publicidad, y destacó que potencialmente estos actores de amenazas estaban aprovechando esto al lanzar y detener rápidamente anuncios para productos similares en diferentes páginas», dijeron los investigadores de Silent Push.