Investigadores de la empresa de seguridad ThreatNix descubrieron una nueva campaña a gran escala abusando de los anuncios de Facebook. Los actores de amenazas están utilizando anuncios de Facebook para redirigir a los usuarios a cuentas de Github que albergan páginas de phishing usadas para robar las credenciales de inicio de sesión de las víctimas.
La campaña se dirigió a más de 615.000 usuarios en varios países, entre ellos Egipto, Filipinas, Pakistán y Nepal.
Las páginas de aterrizaje son páginas de phishing que suplantan a las empresas legítimas. Una vez que las víctimas proporcionaron las credenciales, éstas serán enviadas a los atacantes a través de una base de datos Firestore y un dominio alojado en GoDaddy.
«Nuestros investigadores se enteraron de la campaña por primera vez a través de un post patrocinado en Facebook que ofrecía datos móviles de 3 GB de Nepal Telecom y redirigía a un sitio de phishing alojado en las páginas de GitHub», dice el post publicado en Threatnix.
El plan parece bien orquestado, ya que los actores de la amenaza usaron publicaciones y páginas localizadas de Facebook que imitan a las organizaciones legítimas y anuncios dirigidos a países específicos.
Los estafadores utilizaron un intrigante truco para evitar la detección, la URL acortada utilizada que inicialmente apunta a una página benigna que se modifica después de la aprobación de los anuncios.
Los atacantes detrás de esta campaña utilizaron al menos 500 depósitos Github que albergan páginas de phishing, algunas de las cuales ya están inactivas. La primera página de phishing fue creada en GitHub hace 5 meses.
Traducción realizada con la versión gratuita del traductor www.DeepL.com/Translator