Un esquema de redirección sofisticado
Investigadores han detallado una versión actualizada del kit de herramientas WOOFLocker, diseñado para realizar estafas de soporte técnico. Este mecanismo de redirección de tráfico fue documentado por primera vez en enero de 2020 y utiliza JavaScript incrustado en sitios web comprometidos para realizar comprobaciones de filtrado de tráfico web y anti-bot, con el fin de servir JavaScript de próxima etapa que redirige a los usuarios a un casillero del navegador (browlock).
Técnicas esteganográficas
El mecanismo de redirección utiliza trucos esteganográficos para ocultar el código JavaScript dentro de una imagen PNG que se muestra solo cuando la fase de validación es exitosa. Si un usuario es detectado como bot o como tráfico no interesante, se utiliza un archivo PNG señuelo sin el código malicioso.
Nombre y características
WOOFLocker también se conoce como 404Browlock debido al hecho de que visitar la URL de browlock directamente sin la redirección adecuada o el token de sesión única da como resultado una página de error 404. El último análisis muestra que la campaña aún está en curso.
Objetivo principal
El objetivo principal del bloqueador de navegador es lograr que las víctimas específicas soliciten asistencia para resolver problemas inexistentes de la computadora y obtener control remoto sobre la misma, con el fin de redactar una factura que recomiende a las personas afectadas pagar por una solución de seguridad.
Infraestructura y ubicación
La mayoría de los sitios que cargan WOOFLocker son sitios web para adultos cuya infraestructura utiliza proveedores de alojamiento en Bulgaria y Ucrania, brindando a los actores de amenazas una mayor protección contra las eliminaciones.
Identidad del autor
La identidad exacta del autor de la amenaza sigue siendo desconocida. Hay pruebas de que los preparativos para la campaña ya estaban en marcha en 2017.
Estabilidad y mantenimiento
Según Jérôme Segura, director de inteligencia de amenazas de Malwarebytes, WOOFLocker es un negocio muy estable y de bajo mantenimiento. Los sitios web que alojan el código malicioso se han visto comprometidos durante años, mientras que la infraestructura de registro de huellas y bloqueo del navegador parece estar utilizando proveedores sólidos de registro y alojamiento.
Uso de API para identificación
Lo que distingue a esta campaña es su capacidad para tomar huellas de los visitantes utilizando la API WEBGL_debug_renderer_info, con el fin de recopilar las propiedades del controlador de gráficos de la víctima y separar los navegadores reales de los rastreadores y las máquinas virtuales.
Impacto en la infraestructura
Al usar un mejor filtrado antes de redirigir a las víctimas potenciales al malware, los actores de amenazas se aseguran de que sus anuncios e infraestructura maliciosos permanezcan en línea por más tiempo. Esto hace que sea más difícil para los defensores identificar e informar tales eventos.
Conexión con otras campañas
La revelación se produce cuando la compañía detalló una nueva cadena de infección de publicidad maliciosa que implica el uso de anuncios falsos en los motores de búsqueda para dirigir a los usuarios que buscan programas de acceso remoto a sitios web que descarga malware. Muchas de estas estafas están dirigidas a niños e intentan engañarlos para que descarguen aplicaciones, malware o envíen datos personales a cambio de recompensas inexistentes en plataformas de juegos en línea como Fortnite y Roblox.
