NUEVA CAMPAÑA VASTFLUX DISTRIBUYE JAVASCRIPT MALICIOSO

23/01/2023

BOLETÍN NRO 2023-053

Investigadores de seguridad han comunicado una campaña de fraude publicitario llamado VASTFLUX el cual inyectaba código JavaScript malicioso en sitios webs, lo que permitía a los ciberdelincuentes apilar numerosos reproductores de anuncios de vídeo invisibles unos detrás de otros y registrar las visualizaciones de los anuncios.

Servicios Afectados

• Sistemas operativos Windows
• Sistemas operativos Android
• Sistemas operativos iOS

Detalles Tecnicos

CVE: ---                                    Severidad:   MEDIA

La operación debe su nombre al uso de una técnica de evasión de DNS denominada Fast Flux y VAST, una plantilla de publicación de anuncios en vídeo digital que se emplea para publicar anuncios en los reproductores de vídeo.

La sofisticada operación aprovechaba en particular los entornos restringidos dentro de las aplicaciones que ejecutan anuncios en iOS para realizar subastas de banners publicitarios. Si se gana la subasta, se aprovecha el espacio publicitario para inyectar JavaScript malicioso que establece contacto con un servidor remoto para recuperar la lista de aplicaciones a las que se dirige el ataque.

Esto incluye los ID de paquetes que pertenecen a aplicaciones legítimas para llevar a cabo, lo que se denomina un ataque de suplantación de aplicaciones, en el que una aplicación fraudulenta se hace pasar por una aplicación de gran prestigio en un intento de engañar a los anunciantes para que compren el espacio publicitario.

El objetivo final, según los expertos de seguridad, era registrar visualizaciones de hasta 25 anuncios de vídeo, superponiéndolos de forma totalmente invisible para los usuarios y generando ingresos ilícitos.

Los ciberdelincuentes a cargo de la campaña VASTFLUX conocen perfectamente el ecosistema de la publicidad digital, según un informe, afirmando que la campaña también ofrecía una lista de reproducción interminable de anuncios para engañar tanto a las empresas anunciantes como a las aplicaciones que los mostraban.

El desmantelamiento de VASTFLUX se produce tres meses después de la desarticulación de Scylla, una operación fraudulenta dirigida contra kits de desarrollo de software publicitario (SDK) dentro de 80 aplicaciones Android y 9 aplicaciones iOS.

VASTFLUX es solo la última de una serie de botnets de fraude publicitario que han sido desmanteladas en los últimos años, después de 3ve, PARETO y Methbot.

Indicadores de Compromiso

Dominio

trktrk222[.]com

servrpp[.]com

merthub[.]com

datahubserv[.]com

bidderev[.]com

servioum[.]com

trackingkey3[.]com

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Massive Ad Fraud Scheme Targeted Over 11 Million Devices with 1,700 Spoofed Apps
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​