Dos firmas de referencia en ciberseguridad, The Hacker News y BleepingComputer, han alertado esta misma semana sobre una campaña de publicidad maliciosa (malvertising) que representa un salto de sofisticación respecto a lo que veníamos viendo hasta ahora: el malware ya no llega como un archivo que el usuario descarga, sino que se ensambla pieza a pieza dentro de la memoria del propio navegador, sin dejar apenas rastro en el disco duro.
Qué ha pasado
La campaña, bautizada como SourTrade, suplanta plataformas conocidas del mundo financiero y las criptomonedas, como TradingView, Solana o Luno, mediante anuncios y páginas falsas. Cuando la víctima interactúa con esa web fraudulenta, el sitio no descarga un ejecutable de golpe: en su lugar, va enviando pequeños fragmentos de código JavaScript que el propio navegador va uniendo hasta terminar de construir el programa malicioso directamente en memoria RAM.
El objetivo declarado son inversores y operadores minoristas (retail traders), pero la técnica en sí —construir malware «sin archivos» (fileless) dentro del navegador— no está limitada a ese perfil de víctima. Es aplicable a cualquier campaña futura contra cualquier tipo de empresa.
Por qué es más peligroso que el malware tradicional
El malware clásico deja un archivo en el disco: un .exe, un adjunto, una macro. Ese archivo tiene una «firma» que un antivirus tradicional puede detectar y bloquear. El malware que se ensambla en memoria evita justamente ese punto de control: no hay archivo que analizar hasta que ya es demasiado tarde, y muchas soluciones de seguridad basadas solo en firmas no lo ven venir.
Esto no significa que sea indetectable —las soluciones de seguridad basadas en comportamiento (EDR) sí pueden identificar patrones anómalos en memoria—, pero sí que las defensas «de toda la vida», como un antivirus gratuito desactualizado, se quedan claramente cortas frente a este tipo de amenaza.
Qué significa esto para tu empresa
No hace falta ser una entidad financiera para ser un objetivo. En una pyme, esta amenaza suele materializarse de una forma muy sencilla: un empleado navegando, un anuncio o enlace que parece legítimo, un clic. Con el auge del teletrabajo y el uso de dispositivos personales para tareas de empresa (BYOD), la superficie de exposición a este tipo de campañas ha crecido considerablemente en los últimos años.
Y una vez el malware se ejecuta en memoria dentro del navegador de un equipo conectado a la red de la oficina, las consecuencias van mucho más allá del propio ordenador infectado: robo de credenciales, movimiento lateral hacia otros sistemas, o la puerta de entrada a un ataque de ransomware más amplio.
Qué puedes hacer ahora
- Mantén navegador y extensiones actualizados. Muchas de estas campañas explotan comportamientos de versiones antiguas o extensiones vulnerables.
- Usa filtrado de anuncios y DNS a nivel de red, no solo en el propio navegador, para cortar el acceso a dominios de publicidad maliciosa antes de que carguen.
- Sustituye el antivirus básico por una solución de detección y respuesta (EDR) capaz de analizar comportamiento en memoria, no solo firmas de archivos conocidos.
- Forma a tu equipo para desconfiar de anuncios y enlaces relacionados con inversión, criptomonedas o «oportunidades» financieras, aunque parezcan de una plataforma conocida.
- Ten un plan de copias de seguridad probado (regla 3-2-1) para poder recuperarte rápido si, pese a todo, algo se cuela.
- Segmenta la red para que un equipo comprometido no tenga vía libre hacia servidores o datos críticos.
En Smart Informática llevamos más de una década ayudando a pymes y profesionales de Madrid a poner en marcha este tipo de defensas —desde la protección de red hasta la monitorización de equipos— sin complicarles la vida con jerga técnica. Si no tienes claro si tu empresa está expuesta a este tipo de amenazas, es un buen momento para revisarlo.
Fuentes: The Hacker News y BleepingComputer.
Foto de Chris Ried en Unsplash.