Bitdefender Labs acaba de publicar una investigación que advierte sobre una campaña de malvertising que sigue activa. Esta campaña se aprovecha de la infraestructura publicitaria de Google y de múltiples cuentas de anunciantes pirateadas para distribuir una nueva variante del malware MacSync Stealer a usuarios de Mac. Este malware está diseñado para recopilar credenciales y sesiones de navegador, así como para robar cuentas y datos de monederos de criptomonedas.
La campaña se dirige a usuarios que buscan herramientas de software populares para Mac, como 7-Zip, Notepad++, LibreOffice, Microsoft Office y Final Cut Pro. Los anuncios maliciosos (más de 200 hasta la fecha) aparecen como los principales resultados patrocinados. Al hacer clic, las víctimas son redirigidas a páginas compartidas de Evernote donde se los engaña para que ejecuten comandos de Terminal peligrosos.
En la investigación de Bitdefender se ha detectado:
- Al menos dos cuentas de Google Ads pirateadas (previamente vinculadas a un bufete de abogados y una organización benéfica estadounidenses) distribuyen activamente anuncios maliciosos.
- Los anuncios suplantan software fiable, como 7-Zip, Notepad++, LibreOffice, Microsoft Office, OBS Studio, Final Cut Pro y otros.
- La investigación ha identificado al menos 35 cuentas de anunciantes de Google pirateadas, procedentes de países como Estados Unidos, Canadá, Italia, Polonia, Brasil, India, Arabia Saudí, Japón, China, Rumanía, Malta, Eslovenia, Alemania, Reino Unido y Emiratos Árabes Unidos.
- En estas cuentas, Bitdefender ha detectado más de 200 anuncios maliciosos que suplantaban software legítimo de macOS.
- Las víctimas son redirigidas a páginas compartidas de Evernote que contienen comandos maliciosos de Terminal.
- La carga útil es una variante más reciente de MacSync Stealer (v1.1.2_release, «symbiot»).
- El malware está diseñado para lograr el robo de cuentas y el robo financiero, dirigiéndose a monederos de criptomonedas, gestores de contraseñas, datos de navegador y Telegram.
- Los patrones de infraestructura sugieren solapamiento con campañas anteriores de malvertising de ClickFix en Meta.
Más información en: https://www.bitdefender.com/en-us/blog/hotforsecurity/hijacked-google-ads-push-fake-7-zip-notepad-and-office-downloads-to-mac-users-via-evernote-pages
