Ver el código de «Campaña FlutterShell/PS1Bot: Malvertising Distribuye Malware Robacriptomonedas con Secuestro de Navegadores (2025-2026)»

== Nombres Alternativos / Aliases ==

* FlutterShell Malware (Por el framework multiplataforma)
* PS1Bot Malware (Por la variante PowerShell en Windows)
* Sinterfumesco Campaign (Por el dominio secuestrador de navegadores)
* AdsParkPro Malvertising (Por la empresa fantasma utilizada)
* Chrome Secure Preferences Hijacker (Por la técnica de persistencia)
* Fake AI Document Summarizer (Por la función señuelo)

----

== Fecha de Detección / Actividad ==

* Primera detección (PS1Bot) : Enero/marzo de 2025 (Cisco Talos)
* Primera detección (FlutterShell macOS) : Marzo de 2024 (Palo Alto Networks - Unit 42)
* Actividad sostenida de PS1Bot: Todo el año 2025 (múltiples versiones)
* Actividad de FlutterShell: Desde 2024 hasta al menos mediados de 2025
* Estado actual: Activa (en desarrollo activo, nuevas versiones emergen constantemente)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Nombre del Actor
|Desconocido (no atribuido oficialmente)
|-
|Vínculo Gubernamental
|No establecido (ciberdelincuencia)
|-
|Tipo de Actor
|Ciberdelincuencia / Distribuidores de malware / Robo de criptomonedas
|-
|Sofisticación
|MEDIA-ALTA. El grupo demuestra:
|}

* Uso de múltiples frameworks (Flutter, PowerShell, JavaScript)
* Capacidad de evasión (ejecución en memoria, firmas de desarrollador robadas)
* Infraestructura de empresas fantasma (Reino Unido, Ucrania)
* Envenenamiento SEO (SEO poisoning) para distribución
* Desarrollo activo (múltiples versiones con características incrementales)
* Obtención de firmas de desarrollador reales para macOS |  | Motivación | Financiera (robo de criptomonedas, credenciales bancarias) |  | Empresas fantasma utilizadas | AdsParkPro LTD (Reino Unido), Advantage Web Marketing LLC (Ucrania), SOFT WE ART LIMITED |  | Plataformas objetivo | Windows (PS1Bot), macOS (FlutterShell) |

----

== Resumen Ejecutivo ==
Una campaña de malvertising sostenida y en constante evolución está distribuyendo malware robacriptomonedas y secuestradores de navegadores a través de anuncios falsos en Google y YouTube. La campaña emplea múltiples variantes de malware (PS1Bot para Windows, FlutterShell para macOS) que roban credenciales, vacían monederos de criptomonedas y secuestran navegadores para redirigir tráfico a sitios llenos de anuncios.

=== Estadísticas clave de actividad ===
{| class="wikitable"
!Métrica
!Dato
|-
|Período de actividad
|2024 – presente (más de 1 año)
|-
|Malware principal (Windows)
|PS1Bot (PowerShell)
|-
|Malware principal (macOS)
|FlutterShell (Framework Flutter)
|-
|Empresas fantasma
|AdsParkPro LTD (UK), Advantage Web Marketing LLC (Ucrania), SOFT WE ART LIMITED
|-
|Plataformas de distribución
|Google Ads, YouTube Ads
|-
|Dominio secuestrador
|<code>sinterfumesco.com</code>
|}
----

== Vector de Ataque / Métodos de Distribución ==

=== Malvertising como vector principal ===
Los atacantes utilizan empresas fantasma sin historial real para comprar cientos de anuncios en Google y YouTube. Estas empresas están registradas en Reino Unido y Ucrania:
{| class="wikitable"
!Empresa fantasma
!País
!Rol
|-
|AdsParkPro LTD
|Reino Unido
|Compra de anuncios
|-
|Advantage Web Marketing LLC
|Ucrania
|Compra de anuncios
|-
|SOFT WE ART LIMITED
|(anterior)
|Ataques a Windows
|}

=== Envenenamiento SEO (SEO Poisoning) para PS1Bot ===
La campaña PS1Bot (Windows) utiliza archivos comprimidos con nombres que coinciden con búsquedas populares:
{| class="wikitable"
!Tema de búsqueda
!Nombre de archivo señuelo
|-
|Política de beneficios médicos
|<code>medicare benefit policy manual.pdf.zip</code>
|-
|Hojas de cálculo educativas
|<code>Counting Canadian Money Worksheets Pdf.zip</code>
|}
El usuario busca estos temas, hace clic en un resultado patrocinado, y descarga un archivo <code>.js</code> (JavaScript) malicioso con nombre engañoso como <code>FULL DOCUMENT.js</code>.

=== Distribución de FlutterShell (macOS) ===
Para macOS, los atacantes crean aplicaciones falsas que se hacen pasar por:

* Herramientas de IA (resumen de documentos)
* Utilidades legítimas (con nombres genéricos)

Las aplicaciones están compiladas con Flutter (framework multiplataforma), lo que dificulta su detección.
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Malicious Link (T1204.001)
|Clic en anuncios maliciosos de Google/YouTube
|-
|Initial Access (TA0001)
|Drive-by Compromise (T1189)
|Descarga desde sitios envenenados por SEO
|-
|Execution (TA0002)
|User Execution: Malicious File (T1204.002)
|Usuario abre archivo <code>.js</code> o aplicación falsa
|-
|Execution (TA0002)
|Command and Scripting Interpreter: PowerShell (T1059.001)
|PS1Bot ejecuta comandos PowerShell
|-
|Execution (TA0002)
|Command and Scripting Interpreter: JavaScript (T1059.007)
|Carga útil en archivos <code>.js</code>
|-
|Persistence (TA0003)
|Browser Extensions (T1176)
|Modificación de <code>Secure Preferences</code> de Chrome
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Nombres de archivos legítimos ("FULL DOCUMENT.js")
|-
|Defense Evasion (TA0005)
|In-Memory Execution (T1620)
|Código malicioso se ejecuta en RAM, no en disco
|-
|Defense Evasion (TA0005)
|Code Signing (T1116)
|Uso de firmas de desarrollador reales robadas
|-
|Defense Evasion (TA0005)
|Process Injection (T1055)
|Finaliza y reinicia Chrome con configuraciones ocultas
|-
|Credential Access (TA0006)
|Credentials from Password Stores (T1555)
|Robo de contraseñas de navegadores
|-
|Credential Access (TA0006)
|Credentials from Web Browsers (T1555.003)
|Extracción de cookies y semillas de wallets
|-
|Discovery (TA0007)
|System Information Discovery (T1082)
|Detección de software antivirus instalado
|-
|Discovery (TA0007)
|Process Discovery (T1057)
|Escaneo de procesos en ejecución
|-
|Collection (TA0009)
|Clipboard Data (T1115)
|Keylogging y captura de clipboard
|-
|Collection (TA0009)
|Screen Capture (T1113)
|Captura de pantalla
|-
|Command and Control (TA0011)
|Web Protocols (T1071.001)
|Exfiltración a servidores de atacantes
|-
|Exfiltration (TA0010)
|Exfiltration Over C2 Channel (T1041)
|Envío de documentos subidos a "herramienta IA falsa"
|-
|Impact (TA0040)
|Data Manipulation (T1565)
|Secuestro de navegador (redirección de búsquedas)
|}
----

== Flujo de Ataque (Cyber Kill Chain) - PS1Bot (Windows) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de keywords de alto volumen (beneficios médicos, educación, etc.)
|-
|2. Armamento
|Creación de archivos <code>.js</code> maliciosos empaquetados en ZIP con nombres atractivos
|-
|3. Entrega
|Compra de anuncios patrocinados en Google para los keywords elegidos
|-
|4. Explotación
|Usuario descarga y abre el archivo <code>.js</code> pensando que es un documento PDF
|-
|5. Instalación
|El script PowerShell se ejecuta en memoria (sin escribir en disco) y descarga el payload completo
|-
|6. Comando y Control
|PS1Bot establece persistencia y comunicación con C2
|-
|7. Acción sobre Objetivos
| - Keylogging
- Captura de pantalla
- Robo de contraseñas y cookies
- Robo de semillas de wallets cripto
- Secuestro de navegador
|}

=== Flujo de Ataque - FlutterShell (macOS) ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de usuarios macOS que buscan herramientas de IA
|-
|2. Armamento
|Creación de aplicación Flutter con backdoor y función "resumen de IA" falsa
|-
|3. Entrega
|Anuncios en Google/YouTube redirigen a sitio de descarga
|-
|4. Explotación
|Usuario descarga e instala la aplicación falsa
|-
|5. Instalación
|La aplicación solicita permisos y se instala
|-
|6. Comando y Control
| - Envía documentos subidos a servidores de atacantes
- Establece persistencia
|-
|7. Acción sobre Objetivos
| - Ejecución de comandos arbitrarios
- Interacción con sistema de archivos
- Extracción de variables de entorno
- Secuestro de navegador (Chrome)
|}
----

== Infraestructura Utilizada ==

=== Dominios maliciosos ===
{| class="wikitable"
!Dominio
!Propósito
|-
|sinterfumesco[.]com
|Secuestro de navegador (redirección de búsquedas y nuevas pestañas)
|}

=== Empresas fantasma para compra de anuncios ===
{| class="wikitable"
!Nombre de empresa
!País
!Estado
|-
|AdsParkPro LTD
|Reino Unido
|Suspendida por Google
|-
|Advantage Web Marketing LLC
|Ucrania
|Suspendida por Google
|-
|SOFT WE ART LIMITED
|(no especificado)
|Usada en ataques anteriores
|}

=== Técnicas de evasión de Apple ===
Los atacantes utilizan firmas de desarrollador reales (no falsificadas) para que las aplicaciones macOS pasen las protecciones de Apple:

* Las aplicaciones están firmadas con certificados legítimos
* Apple Gatekeeper no bloquea aplicaciones firmadas por desarrolladores conocidos
* Los certificados pueden ser robados o comprados a desarrolladores legítimos

----

== Detalle Técnico - Capacidades del Malware ==

=== PS1Bot (Windows) - Detalles técnicos ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Lenguaje
|PowerShell (scripts <code>.ps1</code>)
|-
|Ejecución
|En memoria (no se escribe en disco → evade antivirus tradicional)
|-
|Keylogging
|Captura de pulsaciones de teclado
|-
|Captura de pantalla
|Captura periódica de pantalla
|-
|Robo de navegadores
|Contraseñas, cookies, historial de Chrome, Firefox, Edge
|-
|Robo de wallets cripto
|Semillas (seed phrases) de monederos de criptomonedas
|-
|Persistencia
|Programación de tareas (Task Scheduler), registro de Windows
|-
|Evasión de AV
|Detecta software antivirus instalado antes de ejecutar carga útil completa
|}

=== FlutterShell (macOS) - Detalles técnicos ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Framework
|Flutter (Dart) → difícil de analizar estáticamente
|-
|Tres capacidades principales
|1. Ejecución de comandos arbitrarios
2. Interacción con sistema de archivos
3. Extracción de variables de entorno
|-
|Secuestro de Chrome
|Modifica <code>Secure Preferences</code> (configuración segura de Chrome)
|-
|Redirección
|Fuerza todas las nuevas pestañas/búsquedas a <code>sinterfumesco[.]com</code>
|-
|Ocultación
|Finaliza Chrome (<code>killall</code>) y lo reinicia con configuraciones que ocultan advertencias de error
|-
|Herramienta IA falsa
|Ofrece "resumen de documentos" pero envía los archivos completos a servidores de atacantes
|}

=== Evolución de FlutterShell (versiones detectadas) ===
{| class="wikitable"
!Versión
!Características
|-
|Versión 1
|Backdoor básica
|-
|Versión 2
|Añade herramienta de IA falsa para robo de documentos
|-
|Versión 3
|Mejora de la herramienta IA (más convincente)
|-
|Versiones en desarrollo
|Múltiples variantes sin código malicioso completo (indicador de desarrollo activo)
|}
<blockquote>''"Identificamos varias versiones de FlutterShell que aún no contenían código malicioso. Además, un análisis de la lógica JavaScript alojada en la infraestructura de los atacantes reveló múltiples funciones incompletas. Estos hallazgos, junto con la aparición frecuente de nuevas variantes, indican que es probable que el malware se encuentre en desarrollo activo."''</blockquote>
----

== Secuestro de Navegador - Técnica Detallada ==

=== Modificación de Secure Preferences (Chrome) ===
{| class="wikitable"
!Archivo objetivo
!<code>Secure Preferences</code> (archivo de configuración de Chrome)
|-
|Ubicación
|<code>~/Library/Application Support/Google/Chrome/Secure Preferences</code> (macOS)
<code>%LOCALAPPDATA%\Google\Chrome\User Data\Secure Preferences</code> (Windows)
|-
|Modificación
|Cambia la configuración de página de inicio y motor de búsqueda predeterminado
|-
|Dominio de redirección
|<code><nowiki>http://sinterfumesco</nowiki>[.]com</code>
|}

=== Técnica de ocultación ===
El malware:

# Detecta si Chrome está ejecutándose (mediante <code>pgrep</code> o escaneo de procesos)
# Finaliza el proceso (<code>killall Chrome</code> en macOS, <code>taskkill</code> en Windows)
# Modifica los archivos de configuración mientras Chrome no está ejecutándose
# Reinicia Chrome con parámetros especiales que suprimen advertencias de error
# Resultado: El usuario no ve ningún error y asume que todo funciona normalmente

----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Usuarios objetivo
|Usuarios de Windows y macOS que buscan documentos PDF, herramientas de IA
|-
|Sectores afectados
|General (sin sector específico)
|-
|Distribución geográfica
|Global (anuncios de Google/YouTube)
|-
|Número de víctimas
|Desconocido (cientos de anuncios comprados)
|-
|Tipo de pérdida
|Robo de criptomonedas, robo de credenciales bancarias
|}

=== Tipos de señuelos utilizados ===
{| class="wikitable"
!Tipo
!Ejemplos
|-
|Documentos PDF
|Políticas de beneficios médicos, manuales
|-
|Material educativo
|Hojas de cálculo de matemáticas, libros de trabajo
|-
|Herramientas IA
|Resumidores de documentos, asistentes de IA
|-
|Utilidades
|Aplicaciones de productividad con nombres genéricos
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Capacidad de evasión
|ALTA
|Ejecución en memoria (PS1Bot) + firmas legítimas (FlutterShell)
|-
|Detección por AV tradicional
|BAJA
|PS1Bot no escribe en disco; FlutterShell usa certificados reales
|-
|Capacidad destructiva
|ALTA
|Robo de wallets cripto, vaciado de cuentas bancarias
|-
|Persistencia
|MEDIA-ALTA
|Modificación de configuración de navegador
|-
|Rapidez de adaptación
|MUY ALTA
|Nuevas versiones emergen semanas después de ser detectadas
|}

=== Consecuencias para la víctima ===
{| class="wikitable"
!Consecuencia
!Gravedad
|-
|Robo de criptomonedas
|Crítica (vaciado completo de wallets)
|-
|Robo de credenciales bancarias
|Crítica
|-
|Secuestro de navegador
|Media (experiencia degradada, redirección a anuncios)
|-
|Pérdida de documentos confidenciales
|Alta (herramienta IA falsa)
|-
|Compromiso de otras cuentas
|Alta (cookies y tokens robados)
|}

=== Respuesta de Google ===
<blockquote>''"El malware no tiene cabida en nuestras plataformas y hemos suspendido estas cuentas de anunciantes por infringir nuestras políticas."''</blockquote>Problema: Los atacantes son rápidos y lanzan nuevas versiones con nombres de empresas diferentes apenas unas semanas después.
----

== Recomendaciones de Mitigación ==

=== Para usuarios ===
{| class="wikitable"
!Recomendación
!Descripción
|-
|Evitar anuncios patrocinados para descargas
|Navegar directamente a sitios oficiales en lugar de hacer clic en anuncios
|-
|Verificar extensiones de archivo
|Los PDFs no terminan en <code>.js</code> o <code>.zip.js</code>
|-
|Desconfiar de "herramientas IA gratuitas"
|Especialmente las que solicitan subir documentos
|-
|Revisar configuración de Chrome
|Verificar que la página de inicio y motor de búsqueda no hayan cambiado
|-
|Usar bloqueadores de anuncios
|Reducir exposición a malvertising
|-
|Mantener navegador actualizado
|Parches de seguridad
|}

=== Para administradores (entornos corporativos) ===
{| class="wikitable"
!Recomendación
!Descripción
|-
|Bloquear ejecución de scripts PowerShell no autorizados
|Políticas de restricción de PowerShell
|-
|Monitorear procesos de Chrome
|Alertar sobre finalización no esperada de procesos de navegador
|-
|Auditar archivos de configuración de navegadores
|Buscar cambios no autorizados en <code>Secure Preferences</code>
|-
|Educar a usuarios sobre malvertising
|Incluir ejemplos de anuncios falsos de herramientas populares
|-
|Implementar DNS filtering
|Bloquear <code>sinterfumesco[.]com</code> y dominios similares
|}

=== Para plataformas (Google, Apple) ===
{| class="wikitable"
!Recomendación
!Descripción
|-
|Verificación más estricta de anunciantes
|Especialmente empresas nuevas sin historial
|-
|Monitoreo de firmas de desarrollador
|Detectar uso anómalo de certificados legítimos
|-
|Análisis de aplicaciones Flutter
|Mejorar escaneo de aplicaciones compiladas con Flutter
|}
----

== Herramientas de Detección ==
{| class="wikitable"
!Herramienta
!Capacidad
|-
|Cisco Talos Intelligence
|Detección de PS1Bot y campañas de malvertising
|-
|Palo Alto Networks Unit 42
|Detección de FlutterShell y análisis de malware
|-
|Antivirus con detección heurística
|Puede detectar scripts PowerShell sospechosos
|-
|Monitoreo de red
|Detectar tráfico a <code>sinterfumesco[.]com</code>
|-
|Auditoría de procesos
|Detectar <code>killall Chrome</code> no autorizado
|}

=== Indicadores de búsqueda en sistemas macOS ===
bash
 # Buscar modificaciones en Secure Preferences
 grep -r "sinterfumesco" ~/Library/Application\ Support/Google/Chrome/
 
 # Buscar procesos sospechosos relacionados con Flutter
 ps aux | grep -i flutter
 
 # Buscar aplicaciones no autorizadas en Aplicaciones
 ls -la /Applications/ | grep -v -E "(Chrome|Safari|Firefox|Microsoft|Adobe)"
----

== Antecedentes: Evolución de la Campaña ==
{| class="wikitable"
!Fecha
!Evento
!Malware
|-
|2018-2020
|Malvertising generalizado
|Varios
|-
|Enero 2025
|Primera detección de PS1Bot por Cisco Talos
|PS1Bot
|-
|Marzo 2024
|Primera detección de FlutterShell por Unit 42
|FlutterShell
|-
|Mediados 2025
|Actividad sostenida de PS1Bot con múltiples versiones
|PS1Bot
|-
|2025-2026
|Desarrollo activo de FlutterShell (versiones 1-3 + variantes)
|FlutterShell
|-
|Posteriores
|Google suspende cuentas de anunciantes, pero los atacantes crean nuevas
|Ambos
|}
----

== Opiniones de Expertos ==
<blockquote>''"La víctima recibe inicialmente un archivo comprimido. Los nombres de archivo observados por Talos coinciden con lo que se ve típicamente en campañas de envenenamiento SEO y/o malvertising, donde el nombre del archivo coincide con la frase de búsqueda objetivo en las campañas."''

— Cisco Talos Research</blockquote><blockquote>''"FlutterShell ataca un archivo de configuración de Google Chrome llamado Secure Preferences. Fuerza a que cada nueva pestaña o búsqueda se realice a través de un sitio web lleno de anuncios llamado sinterfumesco.com, e incluso finaliza el proceso de Chrome mediante un comando del sistema llamado killall. Luego lo reinicia con configuraciones ocultas para evitar que Chrome muestre advertencias de error."''

— Palo Alto Networks - Unit 42</blockquote><blockquote>''"Identificamos varias versiones de FlutterShell que aún no contenían código malicioso... junto con la aparición frecuente de nuevas variantes, indican que es probable que el malware se encuentre en desarrollo activo."''

— Palo Alto Networks - Unit 42</blockquote><blockquote>''"Lo que hace especialmente peligrosa esta campaña es la combinación de técnicas de evasión: PS1Bot ejecuta su carga útil completamente en memoria sin tocar el disco, mientras que FlutterShell utiliza firmas de desarrollador reales para burlar Gatekeeper de Apple. Es una campaña que demuestra madurez operativa y capacidad de adaptación multiplataforma. Los atacantes no solo roban criptomonedas, sino que también monetizan el tráfico mediante el secuestro del navegador hacia sitios llenos de anuncios — un modelo de negocio dual."''

— Fernando Vargas (CiberAnalyst)</blockquote>
----

== Referencias y Fuentes ==

# Ahmed, D. (2025, 14 de agosto). ''New Malvertising Attack Spreads Crypto Stealing PS1Bot Malware''. Hackread.com / Cisco Talos.
# Palo Alto Networks - Unit 42. (2024-2025). ''FlutterShell Malware Analysis''.
# Amir, U. (2024, 21 de marzo). ''Why Browser Security Matters More Than You Think''. Hackread.com.
# Cisco Talos Intelligence. (2025). ''PS1Bot Malware Framework Analysis'' (informe técnico).
# Google. (2025-2026). ''Políticas de publicidad y suspensiones de cuentas''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-10
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Cisco Talos, Palo Alto Networks Unit 42, y Hackread.com
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Dominios maliciosos ===
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>sinterfumesco[.]com</code>
|Redirección de navegador, sitio lleno de anuncios
|}

=== Empresas fantasma (anunciantes) ===
{| class="wikitable"
!Nombre de empresa
!País
!Estado (por Google)
|-
|<code>AdsParkPro LTD</code>
|Reino Unido
|Suspendida
|-
|<code>Advantage Web Marketing LLC</code>
|Ucrania
|Suspendida
|-
|<code>SOFT WE ART LIMITED</code>
|(anterior)
|Suspendida
|}

=== Patrones de archivos maliciosos ===
{| class="wikitable"
!Tipo
!Patrón
|-
|Archivos ZIP señuelo
|<code>*medicare*benefit*.zip</code>, <code>*Counting*Canadian*Money*.zip</code>
|-
|Archivos JavaScript
|<code>FULL DOCUMENT.js</code>
|-
|Aplicaciones macOS
|Aplicaciones Flutter con nombres de "herramientas IA"
|}

=== Hashes (no especificados en fuentes disponibles) ===
Se recomienda consultar los feeds de inteligencia de amenazas de Cisco Talos y Palo Alto Networks para hashes específicos.

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Comportamiento
!Qué indica
|-
|Chrome se cierra y reinicia inesperadamente
|Posible modificación de <code>Secure Preferences</code>
|-
|Página de inicio cambiada a sitio desconocido
|Secuestro de navegador
|-
|Proceso <code>killall Chrome</code> en logs
|Actividad maliciosa de FlutterShell
|-
|Scripts PowerShell ejecutándose en memoria
|Posible PS1Bot
|-
|Aplicación que ofrece "resumen IA" sin desarrollador conocido
|Posible FlutterShell
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Cuántas víctimas han perdido criptomonedas por esta campaña?
|Desconocido
|-
|¿Los certificados de desarrollador usados por FlutterShell son robados o comprados?
|No especificado
|-
|¿Hay relación entre PS1Bot y FlutterShell (mismo operador)?
|Probable, pero no confirmado
|-
|¿Las víctimas de la herramienta IA falsa han reportado pérdidas?
|No especificado
|-
|¿Google ha implementado medidas permanentes contra estas empresas fantasma?
|Parcial (suspensión reactiva, no preventiva)
|}
----

== Etiquetas / Categorías ==
text
 fluttershell ps1bot malvertising google-ads-attack youtube-ads-attack cryptocurrency-stealer browser-hijacking chrome-secure-preferences sinterfumesco palo-alto-networks cisco-talos supply-chain-attack fake-ai-tool seo-poisoning windows-malware macos-malware powerhsell-malware in-memory-execution
----