«Tag Barnakle» protagoniza un ataque masivo de malvertising

Siempre he pensado que el malvertising es una técnica singularmente ingeniosa de ataque. Y es que, por norma general, la publicidad no es un elemento que los usuarios analicen con especial suspicacia. Sí que es cierto que muchos intentan eludirla, pero raramente se duda de su legitimidad cuando se muestra en una página web. En todo caso lo que suscita dudas es su contenido, es decir, lo que promociona, pero no así su intencionalidad. Dicho de otra manera: por norma general cuando la gente sospecha de los ads, no lo hace pensando en su potencial peligrosidad.

Sin embargo el uso de los elementos publicitarios de una página web para la transmisión de malware no es algo nuevo. Desde la popularización misma de la publicidad en internet, los ciberdelincuentes pusieron sus ojos en estos elementos que se mostraban en todo tipo de páginas web. Y pronto se empezó a saber de los primeros ataques en los que los banners eran, en realidad, enlaces a patógenos.

Confiant, empresa tecnológica especializada en ciberseguridad, acaba de publicar en su blog una interesantísima entrada sobre un ataque de malvertising ejecutado sobre servidores de ads que emplean Revive Adserver, una popular y veterana solución de código abierto para servir contenido publicitario a terceros. En un ataque, que es explicado en detalle técnico en la publicación, los atacantes, a los que la empresa de seguridad ha denominado Tag Barnakle, han logrado hacerse con el control de una enorme lista de servidores y, desde allí, están llevando a cabo sus ataques.

No hablamos de un ataque que se acabe de iniciar. En realidad Confiant empezó a rastrear esta campaña de malvertising en agosto de 2019, si bien este es el momento en el que han logrado recopilar toda la información necesaria como para hacerlo público. Además, antes de publicar toda la información, han contactado con los servidores que han detectado que habían sido atacados, con el fin de informarles de esta circunstancia para que pudieran tomar las medidas oportunas.

Técnicamente hablando, el malvertising de Tag Barnakle muestra un nivel de complejidad destacable, pues realiza múltiples comprobaciones para evitar su detección, además de limitar las actuaciones en cada cliente concreto, para evitar que una sobreexposición de los mismos en los sistemas atacados pueda facilitar su detección. Además, a diferencia de otros ataques en los que el propio elemento publicitario es malicioso, en este caso lo que se muestra es legítimo, pero lleva asociado el patógeno que infectará el sistema atacado, o mostrará los elementos del ataque para intentar engañar a la víctima.

Imagen: Marco Verch