NUEVA CAMPAÑA DE ICEDID USA ANUNCIOS DE PAGO PARA DISTRIBUIR MALWARE

23/12/2022

BOLETÍN NRO 2022-750

Recientemente se ha detectado nueva actividad de la botnet IcedID, que usa anuncios de pago por clic de Google para distribuir malware.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: ---                                    Severidad:   ALTA

Las plataformas publicitarias como Google Ads permiten a las empresas mostrar anuncios al público objetivo con el fin de impulsar el tráfico y aumentar las ventas. Los ciberdelincuentes aprovechan de la misma funcionalidad en una técnica conocida como malvertising, en la que las palabras claves elegidas son utilizadas para mostrar anuncios maliciosos que atraen a los usuarios desprevenidos de los motores de búsqueda hacia la descarga de malware.

En una investigación, los ciberdelincuentes utilizaron la publicidad maliciosa para distribuir el malware IcedID a través de páginas web clonadas de organizaciones legítimas y aplicaciones conocidas.

Los resultados de búsqueda orgánicos son los generados por el algoritmo PageRank de Google, mientras que los anuncios de Google aparecen en ubicaciones más destacadas encima, al lado, debajo o con los resultados de búsqueda orgánicos. Cuando estos anuncios son obtenidos por los atacantes a través de malvertising, pueden llevar a los usuarios a sitios web maliciosos. Entre las marcas objetivos tenemos: Adobe, AnyDesk, Brave Browser, Chase Bank, Discord, Fortinet, GoTo, Libre Office, OBS Project, Ring, Sandboxie, Slack, Teamviewer, Thunderbird, US Internal Revenue Service (IRS)

Un usuario busca una aplicación introduciendo un término de búsqueda en Google. En este ejemplo concreto, el usuario desea descargar la aplicación AnyDesk e introduce el término de búsqueda "AnyDesk" en la barra de búsqueda de Google. Encima de los resultados de búsqueda orgánicos aparece un anuncio malicioso de la aplicación AnyDesk que conduce a un sitio web malicioso.

Los ciberdelincuentes de IcedID abusan del sistema legítimo Keitaro Traffic Direction System (TDS), para filtrar el tráfico de investigadores y del sandbox. En cambio la víctima es redirigida a un sitio web malicioso. Una vez que el usuario selecciona el botón "Descargar", se descarga un archivo malicioso Microsoft Software Installer (MSI) o Windows Installer dentro de un archivo ZIP en el sistema del usuario.

El nuevo payload de la botnet IcedID se envía a través de un archivo MSI, algo atípico en IcedID. El instalador suelta varios archivos e invoca la función de exportación "init" a través de rundll32.exe, que a su vez ejecuta la rutina maliciosa del payload. 

IcedID es una familia de malware notable que es capaz de entregar otros payloads, incluyendo Cobalt Strike y otro malware. IcedID permite a los ciberdelincuentes realizar ataques de seguimiento de gran impacto que conducen al compromiso total del sistema, el robo de datos, incluso hacer uso de ransomware para encriptar la información.

Indicadores de Compromiso

IP

143[.]198[.]92[.]88

Dominio

cryptobrowser[.]top

dlscordcom[.]top

fortlnet[.]top

irs-forms[.]top

irsform[.]top

irsforms[.]top

irsgov[.]top

llbreoffice[.]top

llbreofflce[.]top

microsoft-teams[.]top

postbox-inc[.]top

sandboxie-plus[.]top

sandboxieplus[.]top

thunderbird[.]top

thunderblrd[.]top

webeex[.]top

www-adobe[.]top

www-anydesk[.]top

www-basecamp[.]top

www-brave[.]top

www-chase[.]top

www-citrix[.]top

www-discord[.]top

www-discordcom[.]top

www-dlscord[.]top

www-docker[.]top

www-fortinet[.]top

www-fortlnet[.]top

www-goto[.]top

www-irs-forms[.]top

www-irs[.]top

www-libreofflce[.]top

www-obsproject[.]top

www-realvnc[.]top

www-ringcentral[.]top

www-slack[.]top

www-teamviewer[.]top

www-teamvlewer[.]top

www-thunderblrd[.]top

www-torproject[.]top

www-vmware[.]top

www-webex[.]top

www-whatsapp[.]top

wwwadobe[.]top

wwwanydesk[.]top

wwwchase[.]top

wwwdiscordcom[.]top

wwwebex[.]top

wwwfortinet[.]top

wwwfortlnet[.]top

wwwslack[.]top

wwwteamviewer[.]top

wwwvmware[.]top

wwww-adobe[.]top

wwww-anydesk[.]top

wwww-discord[.]top

wwww-discordcom[.]top

wwww-dlscord[.]top

wwww-dlscordcom[.]top

wwww-irs-forms[.]top

wwwwadobe[.]top

wwwwanydesk[.]top

wwwwebex[.]top

wwwwslack[.]top

estrabornhot[.]com

klepdrafooip[.]com 

trbiriumpa[.]com 

lilsakainrot[.]com

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Considerar el uso de bloqueadores de anuncios para minimizar los ataques de malvertising.

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: IcedID Botnet Distributors Abuse Google PPC to Distribute Malware
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​