Agencias internacionales de seguridad, en la "Operación Endgame", limpiaron casi 15,000 sitios de WordPress y desmantelaron más de 100 servidores vinculados a la botnet SocGholish y al grupo ruso Evil Corp. Esta acción conjunta entre Países Bajos, EE. UU., Canadá y Alemania busca frenar la propagación de malware y proteger infraestructuras críticas. El ataque operaba engañando a usuarios con falsas actualizaciones de navegadores para infectar sus sistemas.



Agencias internacionales de seguridad limpiaron casi 15.000 sitios web de WordPress infectados con malware y desmantelaron más de 100 servidores vinculados a la botnet SocGholish y al grupo de ciberdelincuencia ruso Evil Corp.

Esta acción conjunta (apoyada por Europol y Eurojust) formó parte de la Operación Endgame, una importante operación policial destinada a interrumpir una cadena de infección clave vinculada a Evil Corp.

Autoridades de los Países Bajos (NHCTU), Canadá (RCMP), Estados Unidos (FBI) y Alemania (BKA) eliminaron las infecciones de malware SocGholish de 14.971 sitios web de WordPress comprometidos y sacaron de línea 106 servidores y dominios.

Mientras la policía holandesa eliminaba el malware y las puertas traseras de los sitios infectados, también aconsejó a los propietarios de los sitios web cambiar sus credenciales, habilitar la autenticación de múltiples factores, eliminar cualquier cuenta de WordPress desconocida y mantener su sitio actualizado.

"Con estas acciones privamos a los ciberdelincuentes del acceso a sistemas informáticos infectados. Esto evita mayores daños a los sistemas digitales de ciudadanos, empresas y organizaciones de todo el mundo y limita la propagación del malware", afirmó Maikel Rollman, de la Unidad Nacional de Delitos de Alta Tecnología de los Países Bajos.

"También reduce el riesgo de que estos sistemas se utilicen para ciberataques a infraestructuras críticas y otros procesos sociales esenciales. Esto marca el comienzo de más acciones contra SocGholish".

El descargador de malware basado en JavaScript SocGholish (también rastreado como FakeUpdates y GhoLoader) se ha utilizado en ataques desde al menos 2017 y funciona secuestrando sitios web legítimos (principalmente sitios de WordPress) y engañando a los visitantes para que descarguen cargas útiles maliciosas, comúnmente disfrazadas de actualizaciones falsas del navegador.

Cuando un usuario instala la actualización maliciosa, el malware abre una conexión con los atacantes, dándoles acceso al sistema infectado. SocGholish también se ha utilizado para desplegar otras familias de malware, como Dridex, Doppelpaymer, Empire, Koadic, Chtonic y Azorult.

El malware ha sido vinculado anteriormente a Evil Corp, una banda de ciberdelincuencia rusa activa desde 2007 asociada con las familias de malware Zeus y Dridex, y que estuvo detrás de las operaciones de ransomware WastedLocker, Hades, Macaw Locker y Phoenix CryptoLocker.

"Esto marca el comienzo de más acciones contra SocGholish", añadió Rollman en un comunicado de prensa publicado hoy.

Fuente:
BleepingComputer