Estafa de publicidad maliciosa en Google Ads

Los investigadores de ciberseguridad han descubierto una nueva campaña de publicidad maliciosa dirigida a personas y empresas que se anuncian a través de Google Ads. Este esquema implica anuncios engañosos que se hacen pasar por Google Ads y atraen a las víctimas a trampas de phishing diseñadas para robar sus credenciales.

Con el objetivo de apoderarse de la cuenta

El objetivo principal de los atacantes es secuestrar tantas cuentas de Google Ads como sea posible. Al redirigir a las víctimas a páginas de inicio de sesión falsas, roban credenciales que podrían reutilizarse para expandir sus campañas. Además, es probable que estas cuentas malversadas se vendan en foros clandestinos. Los informes en Reddit, Bluesky y los foros de soporte de Google indican que esta actividad ha estado en curso desde al menos mediados de noviembre de 2024.

Similitudes con las tácticas de cuentas comerciales de Facebook

Las tácticas utilizadas en esta campaña se parecen mucho a las empleadas en ataques anteriores contra cuentas comerciales y publicitarias de Facebook. En esos casos, los cibercriminales implementaron malware de robo de identidad para obtener acceso no autorizado y usar las cuentas pirateadas para campañas publicitarias falsas que difundían aún más el malware.

Explotación de motores de búsqueda y tácticas de redireccionamiento

Los actores de amenazas diseñaron su campaña para que aparezca cuando los usuarios busquen "Google Ads" en el motor de búsqueda de Google. Al hacer clic en estos anuncios fraudulentos, los usuarios son llevados a sitios de phishing alojados en Google Sites. Estos sitios luego dirigen a los visitantes a páginas de phishing externas que capturan credenciales de inicio de sesión y códigos de autenticación de dos factores (2FA). Los datos recopilados luego se transmiten a través de WebSocket a un servidor externo administrado por los atacantes.

Cómo aprovechar las políticas de URL de Google Ads

Una estrategia clave que permite este ataque es la política de Google Ads, que permite que la URL final (la página de destino después de hacer clic en un anuncio) sea diferente de la URL visible siempre que los dominios coincidan. Esta laguna permite a los atacantes alojar páginas de phishing intermediarias en Google Sites mientras muestran URL que parecen ser enlaces legítimos de Google Ads.

Técnicas avanzadas de evasión

Para evitar ser detectados, los atacantes emplean varias técnicas, como la toma de huellas digitales, la detección de bots, el encubrimiento, los señuelos inspirados en CAPTCHA y los métodos de ofuscación que ocultan la verdadera naturaleza de su infraestructura de phishing. Estas tácticas les ayudan a eludir las medidas de seguridad y evitar ser detectados por sistemas automatizados.

Utilizando cuentas comprometidas como arma

Una vez que una cuenta se ve comprometida, los atacantes inician sesión, agregan un nuevo administrador y explotan el presupuesto publicitario de la víctima para ejecutar anuncios fraudulentos de Google. Esto les permite expandir aún más sus operaciones de phishing, lo que crea un ciclo en el que las cuentas pirateadas se utilizan para atraer a aún más víctimas.

Posibles vínculos con actores amenazantes radicados en Brasil

Las pruebas sugieren que detrás de estas campañas hay varios individuos o grupos. Cabe destacar que muchos de ellos hablan portugués y probablemente operan desde Brasil. La infraestructura de phishing utiliza dominios intermediarios con el dominio de nivel superior (TLD) .pt de Portugal, lo que respalda aún más esta hipótesis.

La respuesta de Google a los anuncios fraudulentos

Google ha reconocido estas campañas maliciosas y está supervisando activamente su red publicitaria para evitar abusos. La empresa aplica medidas estrictas contra los anunciantes engañosos que intentan engañar a los usuarios sobre sus empresas, productos o servicios.

Miles de millones de anuncios eliminados para combatir las amenazas

Solo en 2023, Google eliminó más de 3400 millones de anuncios, restringió más de 5700 millones de anuncios y suspendió aproximadamente 5,6 millones de cuentas de anunciantes. De estos, 206,5 millones de anuncios fueron bloqueados explícitamente por violar la Política de tergiversación de Google. Estas cifras ponen de relieve la lucha continua contra la publicidad fraudulenta y el compromiso de Google de mantener la integridad de los anuncios.