Por Canuto  

Una persona que fingía representar a un medio de noticias cripto contactó a investigadores durante Black Hat y Def Con para conducirlos hacia malware mediante un documento legítimo de Google Docs.
***

  • El atacante contactó a profesionales de ciberseguridad mediante respuestas públicas y mensajes directos durante las conferencias Black Hat y Def Con.
  • Huntress documentó el uso de Google App Script para simular una barra lateral cifrada y solicitar una supuesta clave de descifrado.
  • La campaña intentó distribuir un infostealer para macOS, una herramienta de acceso remoto reutilizada contra Windows y un falso instalador de Ledger.

 

Una persona que fingía trabajar para un destacado sitio de noticias sobre criptomonedas intentó atacar a varios investigadores de seguridad alrededor de las conferencias Black Hat y Def Con, celebradas a principios de agosto. El contacto comenzó mediante respuestas públicas y mensajes directos, con una invitación a una supuesta conferencia cripto que después condujo a las víctimas hacia un documento legítimo de Google Docs. Según la investigación de Huntress, el objetivo final era instalar malware en equipos con macOS o Windows.

La campaña resulta especialmente llamativa porque se dirigió contra profesionales acostumbrados a reconocer señuelos digitales, analizar archivos sospechosos y documentar operaciones maliciosas. En lugar de enviar de inmediato un archivo ejecutable, el atacante construyó una cadena de confianza alrededor de un evento aparentemente relacionado con el sector de las criptomonedas. Esa combinación buscaba aprovechar el ambiente de networking que rodea a grandes encuentros de hackers, donde las invitaciones y conversaciones informales son habituales, reporta TechCrunch.

El señuelo de la conferencia falsa

El atacante escribió a los asistentes para preguntar, en un inglés con errores, si tenían previsto participar en alguna conferencia. Después mencionó un encuentro supuestamente organizado por un sitio web de noticias de criptomonedas, una presentación que pretendía parecer una oportunidad profesional y no un intento de intrusión. La conversación incluía referencias al calendario de eventos de hacking, lo que ayudaba a que la propuesta encajara con el contexto de Black Hat y Def Con.

Uno de los investigadores de Huntress decidió fingir que aceptaba la invitación para observar el comportamiento de su interlocutor. Durante ese intercambio, la persona detrás de la cuenta compartió un documento de Google Docs que aparentaba servir para planificar la conferencia, en vez de remitir directamente a una descarga desconocida. El uso de una herramienta ampliamente utilizada podía reducir las sospechas iniciales y llevar al destinatario a tratar el archivo como material de organización.

El documento era auténtico, pero su contenido incorporaba una barra lateral diseñada para aparentar que el archivo estaba cifrado. La interfaz pedía a la víctima introducir una supuesta clave de descifrado proporcionada por el atacante, un primer paso que convertía una acción aparentemente inocua en parte de una secuencia de infección. Huntress explicó que la apariencia de la barra lateral dependía de una función legítima de Google Docs, no de una copia independiente de la plataforma.

Google App Script permite a los desarrolladores personalizar la interfaz de Google Docs con elementos como menús y barras laterales. El atacante aprovechó esa capacidad para fabricar una experiencia que parecía integrada en el documento y que reforzaba la idea de que la víctima debía completar un procedimiento técnico. La maniobra muestra cómo una función legítima puede convertirse en un componente de ingeniería social cuando se combina con una identidad falsa y una historia convincente.

Malware para distintos sistemas

La investigación de Huntress señaló que la operación no dependía de un único archivo malicioso ni de un solo sistema operativo. El atacante intentó inducir al investigador a instalar un ladrón de información dirigido a equipos Apple, una herramienta de escritorio remoto reutilizada como malware para Windows y un instalador falso de la billetera de criptomonedas Ledger. La variedad de señuelos sugiere que la campaña buscaba adaptarse al dispositivo empleado por cada objetivo.

Un infostealer, o ladrón de información, puede buscar credenciales, datos almacenados en el navegador y otros elementos útiles para tomar control de cuentas. En el entorno cripto, ese riesgo adquiere una dimensión adicional porque las víctimas pueden administrar billeteras, plataformas de intercambio o claves relacionadas con activos digitales. La noticia no atribuye a la campaña un robo confirmado de fondos, por lo que el hallazgo debe describirse como un intento de instalación de malware y no como una pérdida financiera demostrada.

En Windows, el señuelo consistía en una herramienta de acceso remoto que había sido reutilizada con fines maliciosos. Este tipo de software puede ofrecer a un operador la capacidad de observar o controlar un equipo, aunque su presencia en un dispositivo no prueba por sí sola qué acciones se ejecutaron. La investigación se concentró en revelar el mecanismo de distribución y la intención del atacante, mientras el investigador de Huntress mantenía la interacción bajo observación.

El tercer componente era un instalador falso para Ledger, una marca conocida entre los usuarios de billeteras de hardware. La utilización de una marca reconocida podía aumentar la credibilidad del archivo, especialmente entre asistentes a eventos especializados en seguridad y criptomonedas. Sin embargo, descargar una aplicación desde un enlace recibido en una conversación no verificada puede exponer al usuario a software manipulado, incluso cuando el nombre del producto y la apariencia visual resultan familiares.

Por qué el engaño parecía creíble

Los grupos maliciosos han atacado antes a profesionales de ciberseguridad, incluidos actores vinculados a gobiernos que utilizan programas espía avanzados y operadores norcoreanos que se apoyan en perfiles falsos. El desafío para los atacantes consiste en superar la experiencia de personas que conocen las técnicas de phishing, revisan dominios y suelen analizar los archivos antes de abrirlos. En este caso, la estrategia no dependió únicamente de un mensaje urgente, sino de una secuencia social construida alrededor de un evento real.

La pieza central de la campaña fue el empleo de un documento legítimo de Google Docs junto con una función legítima de Google. Esa decisión podía crear una sensación de seguridad porque el enlace llevaba a un servicio conocido y la interfaz parecía formar parte de una herramienta habitual de colaboración. El riesgo no provenía necesariamente del documento como producto de Google, sino de las instrucciones y recursos que el atacante había integrado en el flujo de interacción.

La ingeniería social también se benefició del momento elegido. Black Hat y Def Con reúnen a investigadores, desarrolladores y otros profesionales que intercambian contactos, propuestas y materiales relacionados con seguridad, de modo que una invitación a una actividad paralela puede parecer normal. La campaña intentó convertir esa expectativa de participación en una oportunidad para obtener credenciales o ejecutar instalaciones peligrosas, sin necesidad de irrumpir de forma evidente en los sistemas de las víctimas.

El caso ofrece una advertencia aplicable a cualquier comunidad tecnológica: la familiaridad de una plataforma no valida automáticamente el contenido que aparece dentro de ella. Una barra lateral con aspecto profesional, una marca reconocida o un documento colaborativo pueden ser elementos de una historia fabricada para inducir una acción. La revisión debe concentrarse en quién envía el enlace, qué solicita exactamente y si la descarga puede verificarse mediante los canales oficiales del producto.

Investigación y próximos pasos

Huntress publicó los detalles de la campaña el miércoles, después de que uno de sus investigadores siguiera el intercambio para determinar qué intentaba hacer el atacante. La persona utilizó una cuenta identificada por los investigadores como perteneciente al responsable de la operación, pero no respondió cuando TechCrunch le envió un mensaje privado para solicitar comentarios. Esa falta de respuesta impide conocer públicamente la identidad, motivación o alcance completo de la campaña.

Google tampoco respondió de inmediato a la consulta realizada para saber si había detectado esta operación u otras similares. La ausencia de una respuesta inmediata no permite concluir que la empresa no haya tomado medidas, ni confirma que el incidente afectara a la infraestructura de Google Docs. Sí deja abierta la cuestión de cómo las plataformas colaborativas pueden detectar usos abusivos de funciones legítimas sin bloquear herramientas empleadas diariamente por desarrolladores y equipos de trabajo.

Para los investigadores y asistentes a conferencias, la defensa comienza con una separación estricta entre la invitación y cualquier instalación de software. La identidad del organizador debe comprobarse mediante un sitio oficial o un contacto independiente, mientras que las billeteras y otras aplicaciones deben descargarse únicamente desde sus canales verificados. También conviene tratar como sospechosa cualquier solicitud para introducir una clave de descifrado en un documento compartido cuando esa acción no forma parte de un proceso conocido.

La campaña no demuestra que todos los documentos de Google Docs sean peligrosos ni que Ledger haya participado en la distribución del instalador falso. Su importancia radica en mostrar cómo un atacante puede combinar una conferencia real, una identidad relacionada con el sector cripto y una función auténtica de una plataforma popular para fabricar confianza. El incidente seguirá siendo relevante para la comunidad de seguridad mientras los investigadores evalúan si aparecieron víctimas adicionales o variantes del mismo señuelo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados