Las autoridades han desmantelado la infraestructura criminal de SocGholish, uno de los marcos de malware más persistentes desde 2017. Durante la operación, se incautaron 106 servidores y 101 dominios, logrando además la remediación de casi 15,000 sitios web infectados en todo el mundo. Este despliegue fue parte de la Operación Endgame, lanzada en 2024 y considerada la mayor operación internacional contra el ransomware hasta la fecha.

Las autoridades han desmantelado la infraestructura criminal detrás de SocGholish, uno de los marcos de malware más persistentes activos desde 2017, incautando 106 servidores y 101 dominios, mientras remediaban casi 15.000 sitios web infectados en todo el mundo.

La caída coordinada se ejecutó como parte de la Operación Endgame, lanzada en 2024 y reconocida como la operación internacional más grande jamás llevada a cabo contra el ransomware y la ciberdelincuencia.

Agencias policiales de los Países Bajos (NHTCU), Canadá (RCMP), Estados Unidos (FBI) y Alemania (BKA) —con el apoyo de Europol y Eurojust— llevaron a cabo una semana de acción conjunta que paralizó la infraestructura de la botnet de SocGholish mediante la incautación de servidores y la toma de control de nombres de dominio maliciosos.

La Operación Endgame asesta un golpe importante

“Con estas acciones privamos a los ciberdelincuentes del acceso a los sistemas informáticos infectados. Esto evita más daños a los sistemas digitales de ciudadanos, empresas y organizaciones de todo el mundo”, afirmó Maikel Rollman de la Unidad Nacional de Delitos de Alta Tecnología (NHTCU). “Esto marca el inicio de más acciones contra SocGholish”.

SocGholish, también ampliamente conocido como “FakeUpdates”, es un sofisticado marco de malware JavaScript que se dirige a los visitantes de sitios web legítimos comprometidos.

Los actores de amenazas inyectan JavaScript malicioso en sitios de WordPress hackeados, presentando a los visitantes avisos convincentes de actualización del navegador falsos. Una vez que una víctima descarga y ejecuta el archivo de actualización falso, el malware establece una conexión de puerta trasera a la infraestructura controlada por el atacante, permitiendo el despliegue de Troyanos de Acceso Remoto (RAT), robadores de información, balizas de Cobalt Strike y cepas de ransomware dirigidas a infraestructuras críticas.

WordPress, que impulsa más del 43% de todos los sitios web en internet, presenta una superficie de ataque enorme. En esta operación, se descubrió que las credenciales de inicio de sesión de 1,4 millones de sitios de WordPress se habían filtrado, dejándolos altamente susceptibles a la infección de SocGholish.

Las autoridades confirmaron que 14.971 sitios web, incluidos los de restaurantes y talleres mecánicos que prestan servicios cotidianos, estaban activamente infectados y desde entonces han sido remediados.

La policía holandesa eliminó las puertas traseras y el malware de todos los sitios de WordPress infectados identificados y notificó a los propietarios afectados a través de plataformas como HaveIBeenPwned, DIVD, Spamhaus, CheckjeHack, NoMoreLeaks, The Shadowserver Foundation y el NCSC de los Países Bajos. Se insta encarecidamente a los propietarios de sitios de WordPress afectados a que:

• Cambies inmediatamente todas las credenciales de inicio de sesión
• Actives la autenticación de múltiples factores (MFA)
• Elimines cualquier cuenta de administrador de WordPress desconocida o no autorizada
• Mantengas el núcleo de WordPress, los plugins y los temas completamente actualizados

SocGholish está vinculado a Evil Corp, el grupo cibercriminal ruso previamente responsable de las campañas de malware bancario Zeus y Dridex e implicado en múltiples operaciones de ransomware y lavado de dinero a gran escala. El Centro de Seguridad de Internet ha identificado a SocGholish como el principal descargador de malware, representando el 60% de todos los ataques de este tipo a nivel mundial.

Protección contra actualizaciones falsas

Puedes protegerte no confiando nunca en las ventanas emergentes no solicitadas del navegador que exijan actualizaciones de software, descargando siempre las actualizaciones exclusivamente desde los ajustes oficiales del sistema o tiendas de aplicaciones, y asegurándote de que el software antivirus permanezca activo y actualizado. Las actualizaciones legítimas nunca utilizan mensajes alarmistas y de alta presión que exijan una acción inmediata.

La Operación Endgame continúa expandiendo su alcance, y las fuerzas del orden señalan que este desmantelamiento no es una conclusión, sino una plataforma de lanzamiento para más acciones coercitivas dirigidas contra los operadores de SocGholish y las redes cibercriminales afiliadas.

Fuentes:
https://cybersecuritynews.com/authorities-dismantle-socgholish/