Qué es la publicidad maliciosa y cómo evitarla

La publicidad maliciosa (en inglés malwaretising) utiliza anuncios en línea para propagar malware.Los atacantes inyectan código malicioso en banners publicitarios aparentemente inocuos, envian estos anuncios dañinos a las empresas de publicidad y estas últimas los distribuyen a los sitios web que lo solicitan.

¿Por qué funciona la publicidad maliciosa?

Cada día se envían una gran cantidad de anuncios a las distintas redes publicitarias de todo el mundo (por ejemplo a Google, Commission Junction y otros no tan conocidos) lo que dificulta que las compañías puedan realizar un análisis exhaustivo de cada uno de ellos.

A menudo, estas empresas trabajan con un sistema de reputación: solo si se presentan muchas quejas contra un anuncio procedente de una empresa específica, se realiza una revisión en profundidad del mismo.

Muchos sitios web, dependen de proveedores de terceros y sistemas de afiliados para insertar anuncios en sus páginas, lo que dificulta su supervisión directa por parte de sus administradores.

Especialmente si se trata de sitios que incorporan cantidades ingentes de publicidad: obiamente no es lo mismo llevar el control de cinco anuncios que de cien.

Esta automatización hace que los sitios web legítimos inserten publicidad maliciosa sin ser conscientes de ello.

Algunos anuncios contienen una codificación muy compleja. Los anunciantes adaptan sus anuncios para mostrar diferentes contenidos y diseños en función de la máquina, el navegador, la ubicación y las preferencias del usuario.

La complejidad del código dificulta la detección de scripts maliciosos inyectados en los anuncios por piratas informáticos.

Además, la mayoría de los propietarios de sitios web no sospecharán que estan mostrando anuncios maliciosos porque confían en las redes publicitarias a las que están suscritos.

Los perpetradores, incluso han llegado a apuntar a usuarios de sitios web de gran reputación, como por ejemplo The New York Times Online, The London Stock Exchange, Spotify y The Atlantic, los cuales han estado expuestos a publicidad maliciosa.

Cómo funciona la publicidad maliciosa

Los delincuentes ocultan un pequeño fragmento de código dentro de un anuncio de apariencia legítima, que puede dirigir el navegador del usuario a un servidor malicioso.

Cuando la máquina del usuario se conecta con éxito al servidor, se ejecuta un kit de explotación alojado en el mismo.

Un kit de explotación (kit de exploits) es un conjunto de herramientas que los ciberdelincuentes utilizan para buscar y explotar vulnerabilidades en los sistemas de los usuarios para distribuir malware o realizar otras actividades maliciosas.

Generalmente proporcionan una consola de administración y varias funciones complementarias que facilitan que un ciberdelincuente lance un ataque, incluso sin necesidad de tener grandes conocimientos técnicos.

Algunos incluso cuentan con un servicio de atención al cliente.

Este tipo de malware, emplea una serie de técnicas de evasión para evitar ser detectado por los complementos de seguridad de los navegadores. Por ejemplo, la URL de la página de destino donde está alojado el kit de explotación a menudo se genera de forma dinámica.

Esto hace que sea difícil de detectar porque cambia constantemente.

También utilizan múltiples capas de ofuscación, construidas una encima de la otra con varios esquemas de codificación (base64, RC4, etc.) para ocultar el código que se ejecuta cuando el usuario visita el servidor.

Puede permitir a un villano acceso completo a un sistema, exfiltrar información, bloquear el ordenador o los archivos cifrándolos mediante ransomware o agregarlo a una botnet para que participe en un ataque de denegación de servicio distribuido.

Todo ello fuera de la vista del usuario y sin ninguna interacción por su parte.

El malwaretising también puede redirigir a la víctima a un sitio web malicioso, en lugar de al contenido sugerido por el anuncio, o ejecutar código que instala malware directamente en su sistema.

Cómo pueden los usuarios combatir la publicidad maliciosa

Se puede utilizar un software de seguridad que cuente con un Sistema de Prevención de Intrusos (IPS en sus siglas en inglés) para monitorizar el tráfico de red en tiempo real en busca de actividad maliciosa para identificarla y detenerla.

Pero es una solucion destinada a la protección continua de datos y recursos de TI de una empresa, y no es demasiado adecuada para usuarios domésticos.

Lo mas sensato es asegurarse de que el sistema operativo, todo el software instalado y las extensiones del navegador se mantengan actualizados con los últimos parches de seguridad.

De esta forma dificultaremos en gran medida el trabajo de los kits de exploits que buscan vulnerabilidades sin parchear.

Una buena línea de defensa es el uso de un bloqueador de anuncios de amplio espectro como uBlock Origin para evitar que los scripts automatizados se ejecuten desde los sitios web visitados.

Su modo avanzado permite que funcione en modo de denegación predeterminado, lo que hace que todas las solicitudes de red de terceros se bloqueen a menos que el usuario lo permita.

La extensión está disponible de forma gratuita para los principales navegadores: Safari, Firefox, Chromium, Chrome, Opera y Edge.