Investigadores detectaron la operación FlutterBridge, una campaña de malvertising dirigida a usuarios de macOS que distribuye el malware FlutterShell mediante anuncios falsos de Google y YouTube. Este programa actúa como adware y puerta trasera, permitiendo la ejecución de comandos, el robo de datos y la manipulación del sistema. Lo más destacado es su arquitectura basada en WebView, que permite a los atacantes cambiar la lógica del malware en tiempo real sin actualizar la aplicación.

Investigadores de ciberseguridad han revelado una campaña de malvertising para macOS llamada Operación FlutterBridge que propaga un nuevo backdoor llamado FlutterShell.

Según Unit 42 de Palo Alto Networks, se dice que la campaña es la siguiente etapa de un grupo de actividades reportado anteriormente bajo el nombre de JSCoreRunner (también conocido como FileRipple) a finales de agosto de 2025. El grupo de cibercrimen detrás de las dos cadenas de ataque está siendo rastreado bajo el alias CL-CRI-1089. Se estima que los atacantes están activos desde al menos 2023.

"Construido utilizando el framework Flutter, FlutterShell infecta a los objetivos con adware a través de aplicaciones de escritorio maliciosas", afirmó Unit 42. "Además de su funcionalidad de adware, la carga útil posee capacidades de backdoor, incluyendo la ejecución de comandos de shell y la manipulación del sistema de archivos". 

Las operaciones atribuidas a CL-CRI-1089 también incluyen Recipe Lister y Calendaromatic, los cuales forman parte de una designación más amplia conocida como TamperedChef, una serie continua de campañas que utilizan versiones trojanizadas de software de productividad para entregar programas potencialmente no deseados (PUPs) y adware.

Estas campañas distribuyen anuncios maliciosos de Google y YouTube utilizando una red de empresas pantalla verificadas por Google, donde los anuncios actúan como señuelo para engañarte y hacer que instales malware disfrazado de aplicaciones de escritorio legítimas. Algunas de las empresas pantalla son AdsParkPro LTD, Advantage Web Marketing LLC y SOFT WE ART LIMITED (ahora PACIFIC TRADE SOLUTIONS LTD).

El público objetivo de estos anuncios son usuarios de macOS en EE. UU., Canadá, Australia, Francia y Alemania. Aunque ninguna de las cuentas de Google Ads es accesible actualmente a través del Centro de Transparencia de Google Ads, los registros de YouControl y el registro de la Companies House del gobierno del Reino Unido indican que todas las firmas tienen vínculos con individuos ucranianos.

La iteración más reciente implica el despliegue de FlutterShell, que admite la ejecución de comandos arbitrarios, la interacción con el sistema de archivos y la exfiltración de variables de entorno. Estos esfuerzos han sido detectados tan recientemente como en marzo de 2026.



"Al ejecutarse, el malware modifica los archivos de configuración de Google Chrome para secuestrar el navegador, forzando todo el tráfico a través de un sitio intermediario lleno de anuncios controlado por el atacante", dijeron los investigadores Ido Asher, Noa Dekel y Tom Fakterman. "Todas las muestras observadas estaban firmadas con IDs de Desarrollador de Apple válidos y pasaron la notarización con éxito, lo que significa que los controles de seguridad automatizados de Apple no los marcaron como maliciosos en el momento del envío".

Lo que hace notable a FlutterShell es que implementa una arquitectura basada en WebView que utiliza un puente de JavaScript a nativo, permitiendo así que el adversario aloje la lógica maliciosa en un sitio web externo en lugar de incrustarla en el binario. Esto, a su vez, hace posible alterar dinámicamente el comportamiento del malware en tiempo real sin tener que recompilarlo o lanzar una versión actualizada a los hosts comprometidos.

"En la arquitectura basada en WebView, una aplicación nativa utiliza un componente de navegador web incrustado para mostrar contenido", explicó Unit 42. "El puente de JavaScript a nativo actúa como un canal de comunicación entre este contenido web y la aplicación nativa anfitriona, permitiéndoles intercambiar datos e invocar funcionalidades cruzadas".

Se han identificado tres variantes diferentes de FlutterShell: PodcastsLounge, PDF-Brain y PDF-Ninja. Esto, sumado a la presencia de funciones inacabadas en la lógica de JavaScript alojada en la infraestructura de los atacantes, sugiere que el malware probablemente está en desarrollo activo.

Algunas de las variantes, PDF-Brain y PDF-Ninja, cuentan con una capacidad de resumen impulsada por inteligencia artificial (IA) al reenviar documentos a través de un servidor controlado por el atacante antes de procesarlos. FlutterShell también permite la huella digital del sistema y el robo de datos de sesión del navegador.

También se ha descubierto que FlutterShell comparte similitudes técnicas con Calendaromatic y Recipe Lister, siendo la más obvia la arquitectura de código basada en WebView para facilitar cambios dinámicos en la carga útil. Además, se ha observado que Advantage Web Marketing LLC no solo distribuye anuncios maliciosos, sino que también actúa como signatario de variantes de adware para Windows asociadas al grupo.

"La evolución de JSCoreRunner a FlutterShell representa un aumento significativo en la profundidad técnica de los atacantes detrás de CL-CRI-1089", afirmó Unit 42. "Además, la escala de la red de distribución, junto con las entidades pantalla verificadas utilizadas para evadir el escrutinio de las redes publicitarias, resalta el peligro persistente del malvertising. La coordinación de múltiples entidades pantalla y el rápido desarrollo y entrega de nuevas variantes de FlutterShell indican que esta campaña está lejos de terminar".

Fuente:
THN