Cuando la semana pasada algunos usuarios de la versión gratuita de Spotify alertaron de la aparición de anuncios presuntamente maliciosos, se armó un gran revuelo. La compañía tuvo que salir a resolver rápidamente el problema y bloquear estos anuncios no deseados que estaban apareciendo entre los millones de subscriptores gratuitos que tiene de su servicio.
¿Que es el malvertising?
En el mundo de la seguridad informática hablamos de malvertising cuando se utiliza publicidad introducida en un sitio web que redirige al usuario a enlaces maliciosos. A día de hoy no es extraño ver este tipo de publicidad maliciosa incluso en webs legítimas que tienen millones de visitas cada día.
Los atacantes consiguen de este modo un buen número de víctimas potenciales debido a la confianza que los usuarios tienen en aquellas webs que visitan asiduamente. No es de extrañar, pues, que los delincuentes estén dedicando cada vez más recursos a ubicar sus amenazas entre los anuncios que se muestran a los visitantes de una web.
Durante los últimos años hemos visto varios ejemplos de malvertising y también hemos podido ver cómo ha evolucionado esta amenaza. Al principio era frecuente ver pantallas de publicidad en webs de descargas de ficheros o de contenido para adultos que se abrían en nuestro navegador sin pedirnos permiso, pantallas en las que se nos invitaba a descargar algún tipo de aplicación que, en la mayoría de las veces, contenía un regalo no deseado.
Sin embargo, con el paso de los años, los delincuentes consiguieron colocar sus anuncios maliciosos en los servicios de publicidad contratados por las webs con millones de visitas y empezamos a ver casos de malvertising en sitios de noticias y empresas con buena reputación, y no solo en sistemas de escritorio, sino también en dispositivos móviles.
La gravedad del asunto ha llegado hasta tal punto que los delincuentes han empezado incluso a comprar dominios expirados pertenecientes a empresas de publicidad online legítimas, y así conseguir entrar con más facilidad en el proceso de distribución de publicidad en sitios webs populares.
Es más, en algunas campañas de distribución de ransomware y otras amenazas se ha utilizado el malvertising como vector de ataque, unido a kits de exploits que aprovechaban las vulnerabilidades existentes en el sistema o aplicaciones del usuario que accediese a ese anuncio malicioso.
El caso Spotify
Lo que sucedió la semana pasada demuestra que el malvertising puede afectar a prácticamente cualquier servicio, sin importar lo grande que sea, y consiguiendo millones de víctimas potenciales de forma sencilla.
Los avisos de los usuarios indicando un comportamiento anómalo en su servicio de Spotify gratuito no dejaron de sucederse el pasado 5 de octubre. Todos ellos indicaban que se estaban abriendo anuncios sospechosos en su navegador, lo que demostraba que algo no estaba funcionando como debería.
En el siguiente vídeo podemos ver un ejemplo de cómo se abrían las webs maliciosas en el sistema de un usuario de Spotify gratuito:
Vídeo cortesía de Genbeta
Hay que tener en cuenta que, a pesar de que se ha mencionado en múltiples noticias que estos anuncios estaban sirviendo malware, la realidad es que no hemos detectado que se descargara ningún fichero malicioso en el sistema del usuario. Sí que se mostraban, en cambio, webs relacionadas con apuestas online o sorteos, e incluso en el ejemplo del vídeo vemos cómo aparece una web con un scam bastante propagado durante los últimos meses.
Esto no significa que no se hubiera podido infectar con malware a las víctimas de esta campaña de malvertising, más bien al contrario. Los delincuentes solo tendrían que haber apuntado a sitios controlados por ellos y que estuviesen alojando alguna amenaza o kit de exploits para causar un problema mucho más grave que el que vimos hace unos días.
Posibles soluciones
Viendo que la utilización este tipo de vector de ataque se ha incrementado durante los últimos años y que todo apunta a que seguirá creciendo, la solución para evitar que estos anuncios maliciosos supongan un riesgo para la seguridad de nuestros sistemas pasa por:
- Bloquear los anuncios: por mucho que lo lamenten aquellas webs que generan grandes ingresos en publicidad y se encarguen de recordárnoslo cada vez que intentemos acceder a ellas con un bloqueador de publicidad, esta solución es la más eficaz, a la par que la más drástica. Ya no es cuestión de evitar que nos muestren anuncios de publicidad mientras navegamos, ahora está en juego la seguridad de nuestro sistema, y hasta que los responsables de gestionar estos sistemas publicitarios puedan asegurar que se encuentran libres de malware existirán motivos más que suficientes para tener un bloqueador de anuncios instalado en nuestro navegador.
- Instalar un antivirus: si optamos por una solución menos drástica, siempre podemos optar por instalar una solución de seguridad que sea capaz de detectar y bloquear los anuncios maliciosos o los ficheros con amenazas que se intenten descargar en nuestro sistema. De esta forma podremos seguir viendo la publicidad legítima y evitando aquello que pueda infectar nuestro sistema.
- Mantener sistema y aplicaciones actualizados: muchas de las amenazas que se distribuyen mediante el malvertising se aprovechan de agujeros de seguridad que, en la gran mayoría de casos, ya cuentan con un parche que las soluciona. Si tenemos actualizado nuestro sistema y las aplicaciones, reduciremos ampliamente las posibilidades de infectarnos.
Conclusión
Como acabamos de ver, el malvertising es una amenaza a tener en cuenta por la posibilidad que tiene de colocar las amenazas en sitios web con buena reputación y muchas visitas diarias.zas n mayoro Esto hace que los usuarios bajen la guardia y relajen sus medidas de seguridad, facilitando a los atacantes el infectar sus sistemas.
Para evitar infecciones masivas hemos de adoptar las medidas de seguridad adecuadas, tanto los usuarios como las empresas que hacen uso o se encargan de distribuir este tipo de publicidad online. Solo así los atacantes dejarán de usar este vector de ataque y se podrá volver a confiar en la publicidad online.