Investigadores de ciberseguridad han descubierto una nueva campaña de ‘malvertising’ que infecta a las víctimas con un framework de malware multi-etapa llamado PS1Bot. Este malware, escrito en PowerShell y C#, se distribuye mediante anuncios maliciosos y se ejecuta en memoria para minimizar su huella forense.
PS1Bot posee un diseño modular que le permite realizar diversas actividades maliciosas, como el robo de información, el registro de pulsaciones de teclas (keylogging), el reconocimiento del sistema y el establecimiento de acceso persistente. Se ha detectado que la campaña está activa desde principios de 2025, utilizando técnicas de ‘malvertising’ y optimización de motores de búsqueda (SEO poisoning) para propagarse.
El ataque comienza con la descarga de un archivo comprimido que contiene un payload de JavaScript. Este script se encarga de descargar un scriptlet desde un servidor externo, el cual escribe un script de PowerShell en el disco y lo ejecuta. El script de PowerShell se conecta a un servidor de comando y control (C2) para obtener comandos adicionales que permiten a los atacantes ampliar la funcionalidad del malware. Entre las funcionalidades del malware se incluyen:
-
Detección de antivirus: Obtiene y reporta la lista de programas antivirus instalados en el sistema infectado.
-
Captura de pantalla: Captura imágenes de la pantalla y las transmite al servidor C2.
-
Robo de carteras digitales: Extrae datos de navegadores web, extensiones de billeteras, aplicaciones de billeteras de criptomonedas y archivos que contienen contraseñas, cadenas sensibles o frases de recuperación de billeteras.
-
Keylogger: Registra las pulsaciones de teclas y recopila el contenido del portapapeles.
-
Recolección de información: Recolecta y transmite información sobre el sistema infectado y su entorno al atacante.
-
Persistencia: Crea un script de PowerShell que se ejecuta automáticamente al reiniciar el sistema, estableciendo una conexión continua con el servidor C2.
Los investigadores han encontrado similitudes técnicas entre PS1Bot y AHK Bot, un malware basado en AutoHotkey utilizado por los grupos de ciberdelincuentes Asylum Ambuscade y TA866. Además, la actividad de PS1Bot se superpone con campañas de ransomware anteriores que utilizan el malware Skitnet (también conocido como Bossnet) para robar datos y controlar remotamente los hosts comprometidos.
Esta amenaza destaca la importancia de la protección contra ‘malvertising’ y la necesidad de soluciones de seguridad que puedan detectar y prevenir la ejecución de malware en memoria.
Fuente original: The Hacker News — ver artículo →