{"id":1075,"date":"2026-06-04T13:48:29","date_gmt":"2026-06-04T13:48:29","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/04\/la-puerta-trasera-fluttershell-se-propaga-a-macos-a-traves-de-anuncios-maliciosos-de-google-y-youtube-cyberdefensa-mx\/"},"modified":"2026-06-04T13:48:29","modified_gmt":"2026-06-04T13:48:29","slug":"la-puerta-trasera-fluttershell-se-propaga-a-macos-a-traves-de-anuncios-maliciosos-de-google-y-youtube-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/04\/la-puerta-trasera-fluttershell-se-propaga-a-macos-a-traves-de-anuncios-maliciosos-de-google-y-youtube-cyberdefensa-mx\/","title":{"rendered":"La puerta trasera FlutterShell se propaga a macOS a trav\u00e9s de anuncios maliciosos de Google y YouTube \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han arrojado luz sobre una campa\u00f1a de publicidad maliciosa de macOS cuyo nombre en c\u00f3digo es Operaci\u00f3n FlutterBridge y que difunde una nueva puerta trasera llamada aleteoshell<\/b>.<\/p>\n

Seg\u00fan la Unidad 42 de Palo Alto Networks, se dice que la campa\u00f1a es la siguiente etapa de un grupo de actividades previamente informado denominado JSCoreRunner (tambi\u00e9n conocido como ArchivoRipple<\/a>) a finales de agosto de 2025. El grupo de ciberdelincuentes detr\u00e1s de las dos cadenas de ataques est\u00e1 siendo rastreado bajo el nombre de CL-CRI-1089. Se estima que los atacantes est\u00e1n activos desde al menos 2023.<\/p>\n

\u00abCreado utilizando el marco Flutter, FlutterShell infecta objetivos con adware a trav\u00e9s de aplicaciones de escritorio maliciosas\u00bb, Unidad 42 dicho<\/a>. \u00abAdem\u00e1s de su funcionalidad de adware, la carga \u00fatil posee capacidades de puerta trasera, incluida la ejecuci\u00f3n de comandos de shell y la manipulaci\u00f3n del sistema de archivos\u00bb.<\/p>\n

Las operaciones atribuidas a CL-CRI-1089 tambi\u00e9n incluyen Listador de recetas<\/a> y Calendarom\u00e1tico<\/a>ambos bajo una designaci\u00f3n m\u00e1s amplia conocida como TamperedChef (tambi\u00e9n conocido como EvilAI), una serie continua de campa\u00f1as que implican el uso de versiones troyanizadas de software de productividad para entregar programas potencialmente no deseados (PUP) y adware.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Estas campa\u00f1as distribuyen anuncios maliciosos de Google y YouTube utilizando una red de empresas fantasma verificadas por Google, y los anuncios act\u00faan como un se\u00f1uelo para enga\u00f1ar a los objetivos para que implementen malware que se hace pasar por aplicaciones de escritorio leg\u00edtimas. Algunas de las empresas fachada son AdsParkPro LTD<\/a>, Ventaja Web Marketing LLC<\/a>y SUAVE SOMOS ARTE LIMITADO<\/a> (ahora PACIFIC TRADE SOLUTIONS LTD).<\/p>\n

El p\u00fablico objetivo de estos anuncios son usuarios de macOS en EE. UU., Canad\u00e1, Australia, Francia y Alemania. Aunque actualmente no se puede acceder a ninguna de las cuentas de Google Ads a trav\u00e9s del Centro de transparencia de Google Ads, los registros de YouControl y el registro de Companies House del gobierno del Reino Unido indican que todas las empresas tienen v\u00ednculos con individuos ucranianos.<\/p>\n

La \u00faltima versi\u00f3n implica la implementaci\u00f3n de FlutterShell, que admite la ejecuci\u00f3n de comandos arbitrarios, la interacci\u00f3n del sistema de archivos y la filtraci\u00f3n de variables de entorno. Estos esfuerzos se detectaron en marzo de 2026.<\/p>\n

\"\"<\/a><\/div>\n

\u00abAl ejecutarse, el malware modifica los archivos de configuraci\u00f3n de Google Chrome para secuestrar el navegador, forzando todo el tr\u00e1fico a trav\u00e9s de un sitio intermediario lleno de publicidad y controlado por el atacante\u00bb, dijeron los investigadores Ido Asher, Noa Dekel y Tom Fakterman. \u00abTodas las muestras observadas fueron firmadas con ID de desarrollador de Apple v\u00e1lidas y pasaron con \u00e9xito la certificaci\u00f3n notarial, lo que significa que los controles de seguridad automatizados de Apple no las marcaron como maliciosas en el momento del env\u00edo\u00bb.<\/p>\n

Lo que hace que FlutterShell sea digno de menci\u00f3n es que implementa una arquitectura basada en WebView que utiliza un puente de JavaScript a nativo, lo que permite al adversario alojar l\u00f3gica maliciosa en un sitio web externo, en lugar de incrustarla en el binario. Esto, a su vez, hace posible alterar din\u00e1micamente el comportamiento del malware en tiempo real sin tener que recompilar o enviar una versi\u00f3n actualizada a los hosts comprometidos.<\/p>\n

\u00abEn la arquitectura basada en WebView, una aplicaci\u00f3n nativa utiliza un componente de navegador web integrado para mostrar contenido\u00bb, explic\u00f3 la Unidad 42. \u00abEl puente de JavaScript a nativo act\u00faa como un canal de comunicaci\u00f3n entre este contenido web y la aplicaci\u00f3n nativa del host, permiti\u00e9ndoles intercambiar datos e invocar funcionalidades de forma cruzada\u00bb.<\/p>\n

Se han identificado tres variantes diferentes de FlutterShell, a saber, PodcastsLounge, PDF-Brain y PDF-Ninja. Esto, junto con la presencia de funciones inacabadas en la l\u00f3gica de JavaScript alojada en la infraestructura de los atacantes, sugiere que es probable que el malware est\u00e9 en desarrollo activo.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Algunas de las variantes, PDF-Brain y PDF-Ninja, cuentan con una capacidad de resumen impulsada por inteligencia artificial (IA) al transmitir documentos a trav\u00e9s de un servidor controlado por un atacante antes de procesarlos. FlutterShell tambi\u00e9n permite la toma de huellas digitales del sistema y el robo de datos de la sesi\u00f3n del navegador.<\/p>\n

Tambi\u00e9n se ha descubierto que FlutterShell comparte similitudes t\u00e9cnicas con Calendarom\u00e1tico<\/a> y Recipe Lister, siendo el m\u00e1s obvio la arquitectura de c\u00f3digo basada en WebView para facilitar cambios din\u00e1micos en la carga \u00fatil. Es m\u00e1s, se ha observado que Advantage Web Marketing LLC no solo difunde anuncios maliciosos sino que tambi\u00e9n act\u00faa como signatario de variantes de adware de Windows asociadas con el cl\u00faster.<\/p>\n

\u00abLa evoluci\u00f3n de JSCoreRunner a FlutterShell representa un aumento significativo en la profundidad t\u00e9cnica para los atacantes detr\u00e1s de CL-CRI-1089\u00bb, dijo la Unidad 42. \u00abAdem\u00e1s, la escala de la red de distribuci\u00f3n, junto con las entidades fantasma verificadas utilizadas para eludir la investigaci\u00f3n de la red publicitaria, resalta el peligro persistente de la publicidad maliciosa. La coordinaci\u00f3n de m\u00faltiples entidades fantasma y el r\u00e1pido desarrollo y entrega de nuevas variantes de FlutterShell indican que esta campa\u00f1a est\u00e1 lejos de terminar\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han arrojado luz sobre una campa\u00f1a de publicidad maliciosa de macOS cuyo nombre en c\u00f3digo es Operaci\u00f3n FlutterBridge y que difunde una nueva puerta trasera llamada aleteoshell. Seg\u00fan la Unidad 42 de Palo Alto Networks, se dice que la campa\u00f1a es la siguiente etapa de un grupo de actividades previamente informado denominado […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1244,24,2906,256,422,267,865,32,33,76,2907],"class_list":["post-1075","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-anuncios","tag-cyberdefensa-mx","tag-fluttershell","tag-google","tag-macos","tag-maliciosos","tag-propaga","tag-puerta","tag-trasera","tag-traves","tag-youtube"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1075","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1075"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1075\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1075"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1075"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1075"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}