Ha surgido una nueva campaña de phishing selectivo conocida como Operation Poseidon, que explota la infraestructura publicitaria de Google para distribuir el malware EndRAT mientras elude las medidas de seguridad tradicionales.

El ataque aprovecha dominios legítimos de seguimiento de clics publicitarios para disfrazar URLs maliciosas, haciéndolas parecer tráfico publicitario confiable. Esta técnica logra burlar los filtros de seguridad de correo electrónico y reduce la desconfianza del usuario durante la etapa inicial de infección.

Los actores de amenazas detrás de esta campaña pertenecen al grupo Konni APT, que ha estado atacando a organizaciones surcoreanas mediante tácticas sofisticadas de ingeniería social.

Los atacantes se hacen pasar por organizaciones de derechos humanos norcoreanas e instituciones financieras para engañar a las víctimas y hacer que descarguen archivos maliciosos.

Estos archivos suelen disfrazarse como documentos financieros, confirmaciones de transacciones o notificaciones oficiales que se integran sin problemas en las comunicaciones empresariales normales.

Analistas de Genians identificaron la campaña mediante un análisis forense detallado de scripts maliciosos que contenían artefactos internos.

Los investigadores descubrieron que los atacantes utilizan sitios web de WordPress comprometidos como puntos de distribución de malware e infraestructura de comando y control.

Este enfoque permite un rápido recambio de la infraestructura de ataque, debilitando la efectividad de las políticas tradicionales de bloqueo de URLs y dominios.

La cadena de ejecución del malware comienza cuando las víctimas hacen clic en URLs publicitarias disfrazadas incrustadas en correos electrónicos de phishing selectivo, que las redirigen a través del dominio ad.doubleclick.net de Google hacia servidores comprometidos que alojan archivos ZIP maliciosos.

Dentro de estos archivos se encuentran archivos de acceso directo LNK que activan la descarga y ejecución de scripts AutoIt disfrazados de documentos PDF. Estos scripts cargan variantes del troyano de acceso remoto EndRAT directamente en la memoria sin requerir más interacción del usuario.

El malware incluye cadenas de identificadores únicos como “endServer9688” y “endClient9688” para las comunicaciones de comando y control.

Las rutas de compilación internas revelaron el nombre en clave de la operación, “Poseidon”, lo que sugiere una gestión organizada como una unidad operativa distinta dentro del marco de Konni APT.

Técnicas de ejecución y evasión del ataque

El ataque emplea múltiples capas de evasión de detección desde la etapa de entrega del correo electrónico. Los correos de phishing contienen grandes volúmenes de texto en inglés sin sentido insertado en áreas HTML invisibles usando el atributo display:none.

Esta técnica de relleno de contenido confunde a los sistemas de detección de phishing basados en IA y a los filtros de spam al alargar artificialmente el contenido del correo y alterar la lógica de análisis de palabras clave.

Los correos también incluyen balizas web transparentes de 1×1 píxeles que envían solicitudes HTTP a servidores controlados por los atacantes al ser abiertos, permitiendo a los actores de amenazas rastrear la interacción de los destinatarios y confirmar direcciones de correo activas.

Las URLs de entrega del malware explotan la estructura de plataformas publicitarias legítimas al incrustar direcciones de comando y control dentro de parámetros de URL.

Esto hace que la redirección parezca tráfico publicitario normal, reduciendo significativamente la probabilidad de detección.

Los archivos LNK en sí ocultan sus extensiones e iconos para parecer documentos legítimos, completando una sofisticada cadena de ataque diseñada para evadir tanto los marcos de seguridad basados en firmas como los basados en comportamiento.