{"id":1072,"date":"2026-06-04T10:42:44","date_gmt":"2026-06-04T10:42:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/04\/los-sitios-falsos-que-imitan-herramientas-de-codigo-abierto-ocupan-un-lugar-destacado-en-google-para-distribuir-malware-a-traves-de-tds\/"},"modified":"2026-06-04T10:42:44","modified_gmt":"2026-06-04T10:42:44","slug":"los-sitios-falsos-que-imitan-herramientas-de-codigo-abierto-ocupan-un-lugar-destacado-en-google-para-distribuir-malware-a-traves-de-tds","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/04\/los-sitios-falsos-que-imitan-herramientas-de-codigo-abierto-ocupan-un-lugar-destacado-en-google-para-distribuir-malware-a-traves-de-tds\/","title":{"rendered":"Los sitios falsos que imitan herramientas de c\u00f3digo abierto ocupan un lugar destacado en Google para distribuir malware a trav\u00e9s de TDS"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los investigadores de ciberseguridad han se\u00f1alado una operaci\u00f3n a gran escala que se hace pasar por proyectos de c\u00f3digo abierto y de software gratuito para canalizar a usuarios desprevenidos a trav\u00e9s de un sistema de distribuci\u00f3n de tr\u00e1fico (TDS) y entregar familias de malware como Remus Stealer, AnimateClipper y el marco SessionGate.<\/p>\n<p>\u00abLos sitios est\u00e1n bien dise\u00f1ados y a menudo parecen portales de proyectos leg\u00edtimos a primera vista, a veces haciendo referencia a recursos reales\u00bb, dijo el investigador de seguridad de Check Point, Alexey Bukhteyev. <a href=\"https:\/\/research.checkpoint.com\/2026\/impersonation-click-hijacking-and-tds-inside-a-malware-distribution-ecosystem\/\">dicho<\/a> en un desglose de la campa\u00f1a. \u00abEl enga\u00f1o no est\u00e1 s\u00f3lo en el contenido de la p\u00e1gina, sino en lo que sucede cuando un usuario interact\u00faa\u00bb.<\/p>\n<p>\u00abEstas p\u00e1ginas cargan una capa de preparaci\u00f3n de JavaScript alojada en CloudFront que convierte un clic en un bot\u00f3n\/enlace de &#8216;descarga&#8217; en una transferencia a un Sistema de Distribuci\u00f3n de Tr\u00e1fico (TDS). El TDS aplica una restricci\u00f3n estricta: estado de primera visita, confirmaci\u00f3n de clic obligatoria, l\u00f3gica anti-bot\/anti-an\u00e1lisis, filtrado de VPN\/centro de datos y limitaci\u00f3n de frecuencia\u00bb.<\/p>\n<p>Se sospecha que la operaci\u00f3n est\u00e1 dise\u00f1ada para la adquisici\u00f3n y monetizaci\u00f3n de tr\u00e1fico, mientras conduce a usuarios selectos a la infraestructura de entrega de malware. Algunos de los sitios identificados imitan herramientas confiables de seguridad e ingenier\u00eda inversa, como Ghidra, dnSpy y SpiderFoot.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Las cadenas de ataques se dirigen espec\u00edficamente a los usuarios que buscan este tipo de herramientas en motores de b\u00fasqueda como Google, lo que hace que los sitios falsos aparezcan en la parte superior de los resultados de b\u00fasqueda. Una de las primeras versiones de la campa\u00f1a fue <a href=\"https:\/\/www.fullstory.com\/blog\/inside-a-global-campaign-hijacking-open-source-project-identities\/\">documentado<\/a> por Fullstory en noviembre de 2025. La evidencia indica que la actividad ha estado en curso desde septiembre de 2025.<\/p>\n<p>\u00abEstos dominios se centran en obtener clasificaciones favorables en los motores de b\u00fasqueda aprovechando el nombre, la marca y la popularidad de los sitios web y proyectos originales\u00bb, se\u00f1al\u00f3 en ese momento la empresa con sede en Atlanta. \u00abMuchos sitios se encuentran en los primeros puestos de Google para el t\u00e9rmino de b\u00fasqueda relevante, a menudo eclipsando el sitio web del proyecto real. Esto hace que su visibilidad sea una ventaja y puede maximizar los enlaces y el contenido\u00bb.<\/p>\n<p>Aunque no hab\u00eda indicios de que alguno de estos dominios se utilizara para actividades maliciosas, aparte de generar contenido para generar tr\u00e1fico y permitir a terceros anunciar sus propios sitios, los \u00faltimos hallazgos de Check Point muestran que los scripts TDS se incorporaron poco despu\u00e9s y la infraestructura se reutiliz\u00f3 para la distribuci\u00f3n de malware a partir de enero de 2026.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgGbZToRkJtt064Zsv_L248dP8LM199ZAjAW3s16CtvZhz_gkiDGkRcvt0XFsbOgOt5yo6-0twHKj5yfk6AnnMXbvTw5x1d3Biz40qb3ziPwb3qdnsh61SA_wOkBDAChHtqC8v5B5r0Azt2zxw_fRd5qjT4AsUV8EU7PZUG62WRRboMvfJRyJLm4X8DkFI\/s1700-e365\/CP.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgGbZToRkJtt064Zsv_L248dP8LM199ZAjAW3s16CtvZhz_gkiDGkRcvt0XFsbOgOt5yo6-0twHKj5yfk6AnnMXbvTw5x1d3Biz40qb3ziPwb3qdnsh61SA_wOkBDAChHtqC8v5B5r0Azt2zxw_fRd5qjT4AsUV8EU7PZUG62WRRboMvfJRyJLm4X8DkFI\/s1700-e365\/CP.png\" alt=\"\" border=\"0\" data-original-height=\"703\" data-original-width=\"1536\"\/><\/a><\/div>\n<p>Al hacer clic en el bot\u00f3n \u00abDescargar\u00bb, se inicia una cadena de redireccionamiento TDS que resulta en la implementaci\u00f3n de malware. Uno de los aspectos m\u00e1s llamativos es que al pasar el cursor sobre el bot\u00f3n se revela la URL leg\u00edtima desde donde se puede descargar la herramienta, otorgando as\u00ed al sitio una apariencia de legitimidad.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjNLwqPR693KEH2uBWEpqUp_uvaNKrrEZL_vBIB5KPnJsUVqJA6ld9JFHBeMiFowMcJJwSPdyOmdptD22jBsAI1Oc76OW9_1eEQhMKbGjDc74vdYbxIAHk2ijBpc6i5qLyzD0q1L0Afj3Ln7E95Ql-YqduIYIYBfQG3MJXqeNainzpU8_bKLjrihmyO2y8\/s1700-e365\/SEO.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjNLwqPR693KEH2uBWEpqUp_uvaNKrrEZL_vBIB5KPnJsUVqJA6ld9JFHBeMiFowMcJJwSPdyOmdptD22jBsAI1Oc76OW9_1eEQhMKbGjDc74vdYbxIAHk2ijBpc6i5qLyzD0q1L0Afj3Ln7E95Ql-YqduIYIYBfQG3MJXqeNainzpU8_bKLjrihmyO2y8\/s1700-e365\/SEO.png\" alt=\"\" border=\"0\" data-original-height=\"626\" data-original-width=\"1024\"\/><\/a><\/div>\n<p>Las cadenas de redireccionamiento tambi\u00e9n est\u00e1n dise\u00f1adas de manera que los intentos repetidos de ingresar desde la misma direcci\u00f3n IP resulten en la descarga de software benigno, como el navegador Opera o extensiones de navegador innecesarias. Algunas de las cargas \u00fatiles distribuidas a trav\u00e9s de este TDS se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li><b>Puerta de sesi\u00f3n<\/b>un cargador ofuscado de m\u00faltiples etapas previamente desconocido que se utiliza para entregar aplicaciones potencialmente no deseadas (PUA) al mismo tiempo que incorpora amplios mecanismos anti-an\u00e1lisis para eliminar las zonas de pruebas al pasar a una experiencia de instalaci\u00f3n benigna.<\/li>\n<li><b>Remus ladr\u00f3n<\/b>un nuevo ladr\u00f3n de informaci\u00f3n que se ofrece bajo un modelo de malware como servicio (MaaS), puede robar datos de m\u00e1s de 20 navegadores, incluidos cientos de extensiones y aplicaciones de navegador, como billeteras de criptomonedas, herramientas de autenticaci\u00f3n de dos factores y administradores de contrase\u00f1as. Se cree que Remus es una variante de Lumma Stealer.<\/li>\n<li><b>AnimarClipper<\/b>un cortapelos de criptomonedas que puede sustituir direcciones de billetera copiadas en el portapapeles y secuestrar transacciones en m\u00e1s de 20 ecosistemas blockchain. Se entrega mediante un se\u00f1uelo ClickFix.<\/li>\n<\/ul>\n<p>Un an\u00e1lisis de la telemetr\u00eda de VirusTotal ha revelado aproximadamente entre 2000 y 3500 env\u00edos de muestras asociadas con la familia SessionGate hasta la fecha. La gran mayor\u00eda de las presentaciones provienen de Turqu\u00eda, Polonia, Brasil, Alemania, Francia, Rusia y el Reino Unido.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El objetivo final de la secuencia de infecci\u00f3n SessionGate es eliminar una carga \u00fatil que sea \u00fanica por cliente y se entregue solo despu\u00e9s de atravesar la ruta de redireccionamiento de un extremo a otro. La cadena de entrega de m\u00faltiples etapas, combinada con una l\u00f3gica de validaci\u00f3n extensa y activaci\u00f3n del lado TDS, est\u00e1 dise\u00f1ada para resistir el an\u00e1lisis y hacer que la recuperaci\u00f3n de la carga \u00fatil sea una tarea desafiante para los analistas.<\/p>\n<p>La carga \u00fatil final de la DLL es responsable de comunicarse con un servidor externo, recuperar una configuraci\u00f3n cifrada del servidor, extraer la URL de descarga de la configuraci\u00f3n y descargar y ejecutar silenciosamente el malware de la siguiente etapa a trav\u00e9s de \u00abcmd.exe\u00bb.<\/p>\n<p>\u00abLos sitios de entrada imitan portales leg\u00edtimos de proyectos de c\u00f3digo abierto, conservan enlaces reales de GitHub para pasar verificaciones visuales r\u00e1pidas y luego utilizan la interceptaci\u00f3n de clics para enrutar el primer clic de descarga a una pila TDS cerrada\u00bb, dijo Bukhteyev.<\/p>\n<p>\u00abEl objetivo principal m\u00e1s plausible es la adquisici\u00f3n de tr\u00e1fico y la monetizaci\u00f3n. Sin embargo, al incorporar una capa TDS cerrada y canalizar el tr\u00e1fico de b\u00fasqueda en ella, los operadores se convierten en parte de una cadena de distribuci\u00f3n cuyos consumidores posteriores pueden incluir distribuidores de malware. El mismo canal de tr\u00e1fico que impulsa la monetizaci\u00f3n gris tambi\u00e9n puede enrutar selectivamente a usuarios reales a cargas \u00fatiles maliciosas\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores de ciberseguridad han se\u00f1alado una operaci\u00f3n a gran escala que se hace pasar por proyectos de c\u00f3digo abierto y de software gratuito para canalizar a usuarios desprevenidos a trav\u00e9s de un sistema de distribuci\u00f3n de tr\u00e1fico (TDS) y entregar familias de malware como Remus Stealer, AnimateClipper y el marco SessionGate. \u00abLos sitios est\u00e1n [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[377,376,2897,1749,57,256,205,2894,52,2896,60,2895,36,266,2898,76],"class_list":["post-1072","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abierto","tag-codigo","tag-destacado","tag-distribuir","tag-falsos","tag-google","tag-herramientas","tag-imitan","tag-los","tag-lugar","tag-malware","tag-ocupan","tag-para","tag-sitios","tag-tds","tag-traves"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1072","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1072"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1072\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1072"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1072"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1072"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}