Pushpaganda funciona inyectando artículos de noticias falsos directamente en los feeds de Discover personalizados de los usuarios, que aparecen en las pantallas de inicio de Android y en las pestañas vacías del navegador Chrome. 

 Los actores de amenazas crearon una red de 113 dominios controlados y utilizaron inteligencia artificial para producir titulares e imágenes sensacionalistas diseñados para captar la atención al instante. Estas historias solían centrarse en temas que provocan reacciones fuertes: anuncios falsos de depósitos gubernamentales, alertas alarmantes sobre impuestos o ofertas irreales de smartphones, como “$1390 IRS Deposit Approved” o “$100 phones with 300MP cameras”. El contenido aparecía en los feeds de Discover mediante colocación pagada o técnicas avanzadas de optimización para motores de búsqueda (SEO), lo que dificultaba distinguirlo de noticias legítimas a simple vista.

 Una vez que un usuario hacía clic en uno de estos artículos engañosos, era redirigido a un dominio controlado por los actores, donde aparecía inmediatamente un aviso de suscripción a notificaciones del navegador. Muchos usuarios pulsaban “Permitir” para cerrar el cuadro de diálogo o porque creían que era necesario para acceder al artículo seleccionado. Ese único clic marcaba el inicio de un flujo de notificaciones persistente a nivel del sistema operativo, que eludía por completo los bloqueadores de anuncios estándar. Las notificaciones posteriores no tenían relación con el artículo original y, en su lugar, enviaban órdenes de arresto policial falsas, llamadas perdidas inventadas de familiares o alertas bancarias fraudulentas, todo diseñado para generar miedo y provocar más clics. 

  Analistas del equipo de Inteligencia de Amenazas Satori de HUMAN identificaron esta operación, liderados por los investigadores Louisa Abel, Vikas Parthasarathy, João Santos y Adam Sell. Observaron que, en su punto álgido, Pushpaganda generó aproximadamente 240 millones de solicitudes de puja vinculadas a sus dominios en solo siete días. 

 La campaña comenzó dirigiéndose a usuarios en India antes de expandirse a Australia, Estados Unidos y otras regiones. El equipo de investigación compartió los 113 dominios asociados con Google, y la compañía confirmó que ya se ha implementado una solución para evitar que este tipo de contenido manipulativo y de baja calidad aparezca en los feeds de Discover. La escala y el alcance de esta operación destacan una tendencia creciente: los actores de amenazas están armando plataformas de distribución de contenido confiables. Dado que el feed de Google Discover es una función integrada en el sistema —y no una aplicación descargable—, los usuarios tienen un control limitado sobre lo que aparece en él, lo que lo convierte en un punto de entrada inusualmente efectivo para este tipo de ataques de ingeniería social.

 

Cómo funcionaban la interfaz engañosa y la rotación de JavaScript

Uno de los elementos técnicamente más sofisticados de Pushpaganda era su uso de botones de interfaz engañosos y un mecanismo de rotación de pestañas basado en JavaScript. Cuando los usuarios visitaban un dominio controlado por los actores, se encontraban con botones etiquetados como “Apply Now”, “Claim Now” o “Join WhatsApp”, lenguaje que sugería una acción legítima. En lugar de completar la función anunciada, estos botones usaban JavaScript para abrir nuevas pestañas del navegador que apuntaban a dominios adicionales vinculados a Pushpaganda. En la pestaña de fondo que quedaba abierta tras el clic, un algoritmo JavaScript independiente tomaba el control, rotando la pestaña inactiva a través de un ciclo predeterminado de páginas propiedad de los actores. Este mecanismo cargaba anuncios en silencio y alargaba la duración de las sesiones en esas páginas, haciendo que los sitios parecieran fuentes de tráfico de alta calidad para las redes publicitarias.

 El resultado fue un ingreso publicitario inflado para los actores de amenazas, generado completamente a partir de usuarios que nunca tuvieron la intención de interactuar con esas páginas. Los investigadores de Satori también observaron videos e imágenes deepfake incrustados en anuncios dentro de estos dominios, algunos falsamente protagonizados por celebridades conocidas y profesionales médicos para explotar aún más la confianza de los usuarios a gran escala. Si crees que te has suscrito a notificaciones vinculadas a Pushpaganda, debes revisar inmediatamente los permisos de notificaciones de tu navegador y revocar el acceso a cualquier dominio desconocido o sospechoso. 

En Chrome para Android, esto se puede hacer a través de Ajustes → Configuración del sitio → Notificaciones. También debes evitar hacer clic en “Permitir” en avisos de notificaciones de sitios web que no reconozcas o en los que no confíes, especialmente aquellos a los que llegaste a través de enlaces en feeds de noticias. Desde una perspectiva organizacional, se recomienda a los equipos de seguridad monitorear actividades inusuales de suscripción a notificaciones push en dispositivos gestionados y tratar cualquier alerta a nivel del sistema operativo que imite a autoridades legales o financieras como un indicio de un intento de ingeniería social. Los investigadores de Satori continúan vigilando la aparición de nuevos dominios asociados a Pushpaganda y cualquier señal de adaptación por parte de los actores de amenazas, recomendando mantener activas las medidas de detección de fraude publicitario y clics fraudulentos en todos los entornos web.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-google-discover-with-ai-generated-content/