admin
¿Qué harías si, después de pulsar un anuncio en una web legítima, apareciera una alerta de seguridad a pantalla completa que te pide llamar a un servicio técnico? Esa es la situación que recrea una sofisticada campaña de fraude analizada por Netskope Threat Labs.
La cadena comienza con anuncios, principalmente de Google Ads, publicados en sitios legítimos de gran tráfico, como páginas de mapas, meteorología, deportes o inmobiliarias. Según Netskope, la presencia de estos anuncios no significa que las webs hayan sido comprometidas, ya que se distribuyen a través del inventario publicitario ordinario. Tras hacer clic sobre el anuncio, el usuario ve una pantalla de carga y, a continuación, es redirigido a ShopEase, una tienda electrónica ficticia que parece inofensiva.
La falsa alerta aparece al mover el ratón
La tienda sirve de fachada comercial hasta que el usuario mueve el ratón. Al esperar a detectar ese movimiento para mostrar la falsa alerta, la campaña intenta eludir los rastreadores automatizados que, al inspeccionar la página, no generan esa interacción, explica Netskope.
«Solo cuando detecta ese movimiento, el kit descifra la dirección oculta de un servidor de mando y control (C2), descarga una carga cifrada –adaptada según la víctima utilice Windows o Mac– y genera la falsa alerta en la memoria del navegador. Así, no se transmite por la red ningún archivo que pueda inspeccionarse», detalla Netskope en su informe sobre la campaña.
Un bloqueo aparente para provocar una llamada
Para reforzar la sensación de que el equipo ha sufrido un problema, la página entra en pantalla completa, oculta la barra de direcciones, las pestañas y el cursor, e intenta impedir el uso de teclas y atajos habituales para salir. También reproduce alarmas sonoras, ralentiza la navegación y muestra mensajes intermitentes y advertencias que instan al usuario a no reiniciar el equipo y a llamar de inmediato al número que aparece en pantalla.
Todo sucede dentro del navegador: la campaña no cifra archivos ni toma el control efectivo del sistema. Su objetivo es que la víctima crea que necesita asistencia urgente y llame al supuesto servicio técnico. Durante esa conversación, los atacantes pueden tratar de cobrar por una asistencia inexistente, obtener credenciales o datos financieros, o convencer a la víctima de que instale una herramienta de acceso remoto.
Alcance de la campaña y recomendaciones
El equipo de Netskope Threat Labs ha estado rastreando la campaña durante dos semanas. En ese periodo, ha detectado al menos 619 organizaciones afectadas, 457 hosts asociados a la infraestructura fraudulenta, más de 250 identificadores de campañas y presencia en 284 sitios legítimos. Por países, Estados Unidos concentró cerca del 62% de las organizaciones afectadas, seguido de Japón (16%) y Australia (14%).
Ante una alerta de este tipo, la compañía aconseja no llamar al número indicado, no facilitar datos ni instalar herramientas. Para cerrar el aviso, recomienda mantener pulsada la tecla Escape durante unos segundos; o cerrar el navegador desde el Administrador de tareas de Windows o con la opción Forzar salida de macOS. Al abrir de nuevo el navegador, conviene evitar la restauración automática de la sesión anterior.
Además, Netskope recuerda que una alerta legítima del sistema operativo o del navegador nunca exige llamar a un número mostrado en una ventana emergente.
