Entender cómo se manifiesta el malvertising en ataques reales ayuda a ilustrar por qué esta amenaza preocupa tanto a los profesionales de ciberseguridad.
Campaña del Angler Exploit Kit
Este ataque sofisticado demostró el poder del malvertising de tipo drive-by. El Angler Exploit Kit redirigía automáticamente a los visitantes del sitio web hacia páginas maliciosas sin necesidad de ningún clic ni descarga. Una vez redirigido, el kit explotaba vulnerabilidades comunes en Adobe Flash, Microsoft Silverlight y Oracle Java para instalar malware en silencio.
El ataque fue especialmente efectivo porque apuntaba a complementos de navegador muy utilizados que muchos usuarios no habían actualizado. Según el Internet Crime Complaint Center del FBI, los exploit kits como Angler fueron responsables de una parte importante de las infecciones de malware durante su período de mayor actividad.
Campaña RoughTed
La campaña de malvertising RoughTed mostró cómo los atacantes pueden evadir las medidas de seguridad tradicionales. Esta operación eludía tanto los bloqueadores de anuncios como las soluciones antivirus mediante la generación dinámica de URL y un enrutamiento de tráfico sofisticado.
Lo que hacía a RoughTed especialmente preocupante era su uso de infraestructura legítima. Los atacantes aprovecharon los servicios en la cloud de Amazon y su red de entrega de contenido para que sus anuncios maliciosos parecieran más confiables y fueran más difíciles de bloquear. Esto se conoce ahora como domain fronting, donde un atacante usa infraestructura legítima como AWS y Cloudflare para disfrazar sus servidores y dominios maliciosos.
Malvertising móvil de KS Clean
Esta campaña apuntaba específicamente a usuarios móviles mediante anuncios dentro de aplicaciones. Los anuncios maliciosos activaban falsas alertas de seguridad, afirmando que el dispositivo estaba infectado y necesitaba una "actualización de seguridad" urgente. Los usuarios que aceptaban la actualización en realidad instalaban malware que daba a los atacantes acceso administrativo a sus dispositivos.
Estos ejemplos comparten características comunes: apuntaban a plataformas confiables, usaban ingeniería social para aumentar su efectividad y aprovechaban infraestructura legítima para evitar la detección.
