## Ciberdelincuentes emplean Blogger y técnicas multietapa para propagar el infostealer PureLogs
### 1. Introducción
En las últimas semanas, investigadores de Securonix han identificado una sofisticada cadena de ataque multietapa, denominada **VEIL#DROP**, que aprovecha la plataforma Blogger y técnicas avanzadas de ingeniería social para distribuir el infostealer PureLogs. Esta campaña representa una evolución en las tácticas de los operadores de malware, quienes combinan servicios legítimos con complejos vectores de ataque para eludir controles de seguridad convencionales y maximizar la eficacia de la infección.
### 2. Contexto del Incidente
VEIL#DROP se sitúa en la tendencia creciente de ataques dirigidos que emplean plataformas legítimas —en este caso, los blogs gratuitos de Google (Blogger)— para alojar o redirigir a payloads maliciosos. Según los análisis publicados, los actores detrás de la campaña distribuyen los enlaces iniciales a través de técnicas de spear-phishing o mediante ataques de drive-by, comprometiendo a usuarios que simplemente visitan páginas web manipuladas.
El objetivo principal de la campaña es la implantación de **PureLogs**, un malware especializado en el robo de credenciales, datos de navegador y otra información sensible, utilizado tanto en ataques de ransomware como en fraudes financieros y campañas de acceso inicial.
### 3. Detalles Técnicos
#### Vector de ataque y cadena de infección
La cadena de ataque identificada por Securonix comienza típicamente con un correo de spear-phishing cuidadosamente elaborado, que dirige a la víctima a una página de Blogger aparentemente legítima. Estas páginas, gestionadas por los atacantes, incluyen enlaces secundarios o scripts que, al interactuar con ellos, desencadenan la descarga de cargas útiles adicionales.
En algunos casos, se han observado ataques de tipo drive-by, en los que la simple visita a la página compromete el navegador mediante exploits conocidos o técnicas de abuso de JavaScript.
#### PureLogs y TTPs
PureLogs es un infostealer de reciente proliferación, conocido por su capacidad de evadir soluciones antivirus tradicionales y extraer datos sensibles de una amplia gama de aplicaciones y navegadores (Chrome, Edge, Firefox, Opera, Outlook, etc.). El malware se distribuye como ejecutable o mediante archivos comprimidos protegidos por contraseña.
La campaña VEIL#DROP se alinea con los siguientes TTPs del framework MITRE ATT&CK:
– **Initial Access (T1566.001)**: Phishing mediante enlaces maliciosos.
– **Execution (T1059)**: Uso de scripts para descarga y ejecución de payloads.
– **Credential Access (T1555)**: Extracción de credenciales de navegadores y aplicaciones.
– **Exfiltration (T1041)**: Transmisión de datos robados a servidores C2.
#### Indicadores de compromiso (IoC) y CVE
Aunque no se ha vinculado la campaña a una vulnerabilidad CVE específica, los investigadores han publicado múltiples IoCs, incluyendo dominios de Blogger, hashes de archivos y direcciones IP de C2. Cabe destacar la utilización de archivos comprimidos como .zip y .rar, y la ofuscación del código mediante técnicas de packers personalizados.
### 4. Impacto y Riesgos
El impacto de VEIL#DROP se manifiesta principalmente en la pérdida de credenciales, acceso a información corporativa sensible y la posible escalada hacia otras amenazas, como ransomware. PureLogs, por su parte, ha sido detectado en campañas que afectan tanto a empresas como a usuarios individuales, con especial énfasis en organizaciones financieras y tecnológicas.
Según estimaciones de Securonix, la campaña ha logrado comprometer al menos un **3% de los usuarios expuestos a los enlaces maliciosos**, un porcentaje significativo en términos de ataques dirigidos. Además, el uso de plataformas legítimas dificulta la detección y mitigación temprana.
### 5. Medidas de Mitigación y Recomendaciones
Para mitigar el riesgo asociado a esta campaña, se recomienda:
– **Bloqueo de dominios sospechosos**: Implementar listas negras de dominios de Blogger asociados a IoCs.
– **Despliegue de soluciones EDR** capaces de detectar actividad anómala y ejecución de procesos no autorizados.
– **Formación continua en ciberseguridad** para usuarios y empleados, con énfasis en la identificación de correos de phishing y enlaces sospechosos.
– **Implementación de MFA** en todos los servicios críticos.
– **Revisión de políticas de navegación** y segmentación de red para limitar el impacto ante una infección.
– **Monitoreo de logs y actividad en navegadores** para detectar intentos de exfiltración.
### 6. Opinión de Expertos
Analistas del sector coinciden en que la utilización de plataformas legítimas como Blogger para la distribución de malware marca una tendencia preocupante. “Las técnicas de ingeniería social, combinadas con la explotación de servicios de confianza, incrementan exponencialmente la eficacia de estas campañas y dificultan su contención”, afirma Marta Sánchez, responsable de Threat Intelligence en una firma IBEX 35.
Se destaca también la rápida evolución de infostealers como PureLogs, que incorporan capacidades de actualización automática y módulos para evadir sandboxing y detección heurística.
### 7. Implicaciones para Empresas y Usuarios
Para las organizaciones, el principal riesgo reside en la potencial filtración de credenciales de acceso, que puede desembocar en brechas de datos, incumplimiento de normativas como **GDPR** y **NIS2**, y daños reputacionales. En el caso de usuarios individuales, la pérdida de información personal puede derivar en fraude financiero y robo de identidad.
La campaña subraya la necesidad de endurecer los controles de acceso y reforzar las capacidades de monitorización y respuesta ante incidentes, especialmente en sectores críticos o regulados.
### 8. Conclusiones
La campaña VEIL#DROP evidencia la capacidad de adaptación de los actores de amenaza para sortear los mecanismos tradicionales de seguridad, combinando ingeniería social, plataformas legítimas y malware avanzado. Ante este escenario, la colaboración entre equipos de seguridad, la actualización constante de indicadores de compromiso y la concienciación del usuario son elementos clave para minimizar el riesgo y responder de forma efectiva ante nuevas amenazas.
(Fuente: feeds.feedburner.com)