Jerome Segura, un investigador de seguridad de Malwarebytes, quedó perplejo por un ataque cibernético que estaba estudiando.

Segura estudia con frecuencia la publicidad maliciosa, que consiste en las redes de anuncios que siembran publicidad nociva en línea que aparecen en los sitios web, lo que podría facilitar la entrada de malware en la computadora de una persona.

Es un tipo de ataque particularmente insidioso, ya que una persona sólo tiene que ver un anuncio para infectarse si su equipo tiene software con vulnerabilidades. 

"Sabíamos que había algo diferente en lo que los malvertisers estaban haciendo", dijo Segura en una entrevista telefónica.

El problema fue que su equipo no pudo replicar el ataque al ver el anuncio malicioso, es casi como si los atacantes supieran que estaban siendo observados.

Los ciberatacantes frecuentemente usan máquinas de perfil (conocidas como fingerprinting) con el fin de atacar a los que están siendo utilizados por los investigadores de seguridad. No serán atacadas las máquinas con ciertas direcciones IP o redes VPN o aquellas máquinas virtuales que se ejecutan. Segura no pudo conseguir otro vistazo al ataque hasta que se fue a su casa y utilizó su computadora personal en lugar de su equipo en el laboratorio de Malwarebytes.

El anuncio sospechoso contenía una imagen GIF de uno por un píxel. Eso no es inusual ya que los píxeles se utilizan para fines de seguimiento, pero éste en realidad contenía JavaScript. El JavaScript explota una vulnerabilidad de fuga de información (CVE-2013-7331 ) en las versiones sin parches anteriores de Internet Explorer, dijo Segura. La vulnerabilidad puede ser utilizada para analizar el sistema de archivos de una computadora y averiguar si se está ejecutando ciertos programas antivirus.

En un equipo desprotegido el usuario fue redirigido por el anuncio de un servidor que ejecuta el kit de exploit Angler, dijo Segura.

No es inusual para los ciberatacantes realizar algunos reconocimientos rápidos de las víctimas potenciales. Pero Segura dijo en esta ocasión que los atacantes también están tomando otras medidas que hacen que sea muy difícil para las redes de anuncios y los investigadores de seguridad detectar un comportamiento maligno.