OXLOADER y CastleStealer: una nueva dupla de malware llega a través de Google Ads

El ecosistema de malvertising sigue creciendo y ganando sofisticación. Investigadores de Elastic Security Labs han dado a conocer los detalles técnicos de una operación reciente que combina un cargador de malware inédito —bautizado como OXLOADER— con un infostealer denominado CastleStealer. El vector de entrada elegido por los atacantes son anuncios de Google Ads manipulados para atraer a las víctimas hacia descargas maliciosas.

¿Cómo funciona la cadena de ataque?

El esquema sigue una estructura en dos fases bien diferenciada. En primer lugar, OXLOADER actúa como intermediario: se encarga de llegar al equipo de la víctima, evadir controles iniciales y preparar el terreno para desplegar la carga útil definitiva. Una vez consolidada la ejecución, CastleStealer entra en acción con el objetivo de exfiltrar información sensible del sistema comprometido.

La elección de Google Ads como punto de partida no es casual. Este canal ofrece una apariencia de legitimidad difícil de cuestionar para el usuario medio, ya que los anuncios se muestran en los primeros resultados de búsqueda junto a contenido orgánico real. La frontera entre un resultado fiable y uno malicioso se vuelve casi invisible.

Perfil del actor de amenaza

Según los analistas de Elastic Security Labs, diversas evidencias técnicas y de comportamiento sugieren que el grupo detrás de esta campaña tiene origen en el ámbito rusohablante y persigue un beneficio económico directo. Este perfil es coherente con otras operaciones de robo de credenciales e información financiera documentadas en los últimos años procedentes de esa región.

Implicaciones para los equipos de seguridad

Esta campaña ilustra varios retos presentes en el panorama actual de amenazas:

  • La cadena de confianza de los buscadores se weaponiza: los usuarios han aprendido a desconfiar del correo electrónico, pero aún tienden a fiarse de los resultados de búsqueda patrocinados.
  • Loaders como OXLOADER complican el análisis: al separar la fase de descarga de la ejecución final, dificultan la correlación de eventos y la atribución temprana.
  • El objetivo es económico: las credenciales, datos bancarios y wallets de criptomonedas siguen siendo el botín más rentable para este tipo de actores.

Las organizaciones deben reforzar la concienciación sobre malvertising, aplicar controles de DNS y navegación seguros, y asegurarse de que sus plataformas de detección están en condiciones de identificar comportamientos anómalos en las fases tempranas de la cadena de infección, antes de que OXLOADER pueda desplegar su carga útil.

¿Estás cubierto en DefensOps?

Aunque esta campaña no tiene CVE asociado, DefensOps puede ayudarte a detectar actividad sospechosa relacionada con loaders e infostealers como OXLOADER y CastleStealer gracias a su motor de correlación genérico, disponible desde el plan Essential.

El motor analiza patrones de comportamiento en tu entorno —descargas inusuales, ejecuciones sospechosas tras navegación web, exfiltración de datos— y genera alertas contextualizadas que permiten a tu equipo reaccionar antes de que el daño sea irreversible.

👉 Descubre qué plan se adapta a tu organización en nuestra página de precios o solicita una demo gratuita y comprueba cómo DefensOps detecta amenazas en tiempo real.

Fuente: The Hacker News – New OXLOADER Loader Uses Malicious Google Ads to Deliver CastleStealer