Avast descubre sistema que intenta entregar malware a más de 600,000 usuarios

Los investigadores de amenazas de Avast descubrieron un nuevo sistema de dirección de tráfico (TDS por sus siglas en inglés) malicioso, Parrot TDS, el cual ha infectado varios servidores web que albergan más de 16,500 sitios web. Los sitios web afectados van desde sitios de contenido para adultos, páginas personales y sitios webs de universidades hasta sitios gubernamentales, y su apariencia se modifica para mostrar una página de phishing que afirma que el usuario necesita actualizar su navegador. Cuando un usuario ejecuta el archivo de actualización del navegador que se ofrece, se descarga una herramienta de acceso remoto (RAT), lo que brinda a los atacantes acceso completo a las computadoras de las víctimas.

"Los sistemas de dirección de tráfico sirven como puerta de entrada para la entrega de varias campañas maliciosas a través de los sitios infectados”, comentó Jan Rubin, investigador de malware de Avast. "En este momento, se está distribuyendo una campaña maliciosa llamada 'FakeUpdate' (también conocida como SocGholish) a través de Parrot TDS, pero se podrían realizar otras actividades maliciosas en el futuro a través de TDS".

Jan Rubin y Pavel Novak, investigadores de Avast, creen que los atacantes están explotando los servidores web de los sistemas de administración de contenido poco seguros, como los sitios de WordPress y Joomla, al iniciar sesión en cuentas con credenciales débiles para obtener acceso de administrador a los servidores.

“Lo único que tienen en común los sitios es que son sitios de WordPress y, en algunos casos, de Joomla. Por lo tanto, sospechamos que se aprovechan de las credenciales de inicio de sesión débiles para infectar los sitios con código malicioso”, mencionó Pavel Novak, analista de ThreatOps en Avast. “La robustez de Parrot TDS y su gran alcance lo hacen único”.

Parrot TDS permite a los atacantes establecer parámetros para mostrar solo páginas de phishing a víctimas potenciales que cumplen ciertas condiciones, que analizan el tipo de navegador de los usuarios, las cookies y el sitio web del que proceden. Estos parámetros están configurados para que a cada usuario solo se le muestre una vez una página de phishing, para evitar que los servidores de Parrot TDS se sobrecarguen.

Desde el 1 de marzo de 2022 hasta el 29 de marzo de 2022, Avast detectó estos ataques en más de 600,000 de sus usuarios que visitaron sitios infectados con Parrot TDS. De esos 600 mil usuarios a nivel mundial, se detectó que 73.000 son usuarios únicos de Brasil; casi 55.000 son usuarios únicos en la India; más de 31,000 en Estados Unidos, y más de 15,000 son de México.