Investigadores de ciberseguridad de Proofpoint han identificado una tendencia creciente en la actividad de amenazas que emplea actualizaciones falsas del navegador para difundir malware.
Se han rastreado al menos cuatro grupos de amenazas distintos utilizando esta táctica engañosa. Las actualizaciones falsas del navegador son sitios web comprometidos que muestran notificaciones falsas que imitan a navegadores populares como Chrome, Firefox o Edge, incitando a los usuarios a descargar software malicioso en lugar de actualizaciones legítimas.
En un aviso publicado hoy, Proofpoint dijo que TA569, un actor de amenazas, ha estado utilizando actualizaciones de navegador falsas durante más de cinco años para distribuir malware SocGholish. Recientemente, otros actores de amenazas han adoptado esta estrategia.
Estas amenazas se infiltran en sitios web utilizando código JavaScript o HTML inyectado para dirigir el tráfico a sus dominios controlados y descargar automáticamente cargas útiles maliciosas.
El éxito de los señuelos de actualizaciones falsas del navegador radica en explotar la confianza de los usuarios en sitios conocidos y seguros, evitando así la capacitación en concientización sobre seguridad, explicó el investigador de seguridad de Proofpoint, Dusty Miller.
Las URL comprometidas se encuentran en varias fuentes de tráfico de correo electrónico, incluidos correos electrónicos habituales y alertas de seguimiento. Las amenazas se extienden más allá del correo electrónico, ya que los usuarios también las encuentran en los motores de búsqueda, las redes sociales o las visitas directas a sitios.
Cada campaña de amenazas emplea métodos únicos para filtrar el tráfico, lo que dificulta la detección. Estas campañas constan de tres etapas: inyección en un sitio web comprometido; tráfico a dominios controlados por actores; y ejecución de carga útil en el dispositivo del usuario.
Proofpoint atribuyó SocGholish a TA569, quien observó que el actor de amenazas empleaba varios métodos para dirigir el tráfico desde sitios web comprometidos a sus dominios controlados por el actor.