Se sugiere a los usuarios evitar instalar plugins,habilitar la función “click-to-play” y tener actualizada la solución de seguridad.
Los hackers han migrado su atención a vectores menos protegidos para continuar con el ataque hacia los internautas a través de campañas de publicidad engañosa, ya que los usuarios están más atentos a los ataques de phishing. El Laboratorio de Investigación de ESET Latinoamérica indica que un ejemplo de esta evolución es el caso de Malvertising, que es un tipo de amenaza que se oculta en publicidades en páginas de terceros.
Los expertos en seguridad indicaron que con este ataque, no es necesario que el usuario descargue ni haga clic en un anuncio para ser infectado, ya que sólo es necesario tener plugins o software desactualizados (y no tener una solución de seguridad), y visitar una página infectada. Si el hacker tiene acceso a los datos de navegación de la víctima, que es posible, tratará de explotar eventuales vulnerabilidades del equipo.
ESET asegura que la modalidad más peligrosa en el mercado de malvertising es el real-time bidding (subasta en tiempo real), proceso en el que la información del usuario se ofrece a múltiples empresas de publicidad, que hacen sus ofertas según el perfil del entorno. Usualmente, los hackers ofertan valores más altos y tienen mejores probabilidades de efectuar el engaño.
La amenaza tiene las siguientes características:
- Las empresas de publicidad venden los datos de los usuarios a otras empresas, para que puedan crear más publicidad, basada en los gustos y entornos del usuario
- Las “otras empresas” muchas veces son, de hecho, hackers que logran inyectar malware en la publicidad, sin el conocimiento de la empresa de publicidad, del sitio, ni mucho menos del usuario
- Sin hacer clic en algún enlace (con solo visitar la página), el cberatacante busca vulnerabilidades (en los plugins del navegador y software instalado); al encontrarlas, instala el malware sin que el usuario se dé cuenta (si no las encuentra, nada ocurre).
ESET sugiere a los usuarios los siguientes consejos para evitar ser víctimas de malvertising:
- Evitar instalar plugins, a menos que sean absolutamente necesarios
- Leer los permisos requeridos por los plugins antes de instalarlos
- Habilitar la función “click-to-play”, disponible para todos los navegadores, de manera que antes de ejecutar cualquier plugin, el usuario debe permitir su ejecución
- Tener un software de seguridad instalado y actualizado
- Proteger las configuraciones avanzadas del software de seguridad con contraseñas robustas
- Instalar la última versión del navegador para ingresar a Internet
- Actualizar programas como Java o Adobe, desde sus sitios oficiales