Diferencia entre revisiones de «Campaña FlutterShell/PS1Bot: Malvertising Distribuye Malware Robacriptomonedas con Secuestro de Navegadores (2025-2026)»

Revisión actual - 21:29 10 jun 2026

Nombres Alternativos / Aliases

FlutterShell Malware (Por el framework multiplataforma)
PS1Bot Malware (Por la variante PowerShell en Windows)
Sinterfumesco Campaign (Por el dominio secuestrador de navegadores)
AdsParkPro Malvertising (Por la empresa fantasma utilizada)
Chrome Secure Preferences Hijacker (Por la técnica de persistencia)
Fake AI Document Summarizer (Por la función señuelo)

Fecha de Detección / Actividad

Primera detección (PS1Bot) : Enero/marzo de 2025 (Cisco Talos)
Primera detección (FlutterShell macOS) : Marzo de 2024 (Palo Alto Networks - Unit 42)
Actividad sostenida de PS1Bot: Todo el año 2025 (múltiples versiones)
Actividad de FlutterShell: Desde 2024 hasta al menos mediados de 2025
Estado actual: Activa (en desarrollo activo, nuevas versiones emergen constantemente)

Actor de Amenaza (Atribución)

Categoría	Descripción
Nombre del Actor	Desconocido (no atribuido oficialmente)
Vínculo Gubernamental	No establecido (ciberdelincuencia)
Tipo de Actor	Ciberdelincuencia / Distribuidores de malware / Robo de criptomonedas
Sofisticación	MEDIA-ALTA. El grupo demuestra:

Uso de múltiples frameworks (Flutter, PowerShell, JavaScript)
Capacidad de evasión (ejecución en memoria, firmas de desarrollador robadas)
Infraestructura de empresas fantasma (Reino Unido, Ucrania)
Envenenamiento SEO (SEO poisoning) para distribución
Desarrollo activo (múltiples versiones con características incrementales)
Obtención de firmas de desarrollador reales para macOS | | Motivación | Financiera (robo de criptomonedas, credenciales bancarias) | | Empresas fantasma utilizadas | AdsParkPro LTD (Reino Unido), Advantage Web Marketing LLC (Ucrania), SOFT WE ART LIMITED | | Plataformas objetivo | Windows (PS1Bot), macOS (FlutterShell) |

Resumen Ejecutivo

Una campaña de malvertising sostenida y en constante evolución está distribuyendo malware robacriptomonedas y secuestradores de navegadores a través de anuncios falsos en Google y YouTube. La campaña emplea múltiples variantes de malware (PS1Bot para Windows, FlutterShell para macOS) que roban credenciales, vacían monederos de criptomonedas y secuestran navegadores para redirigir tráfico a sitios llenos de anuncios.

Estadísticas clave de actividad

Métrica	Dato
Período de actividad	2024 – presente (más de 1 año)
Malware principal (Windows)	PS1Bot (PowerShell)
Malware principal (macOS)	FlutterShell (Framework Flutter)
Empresas fantasma	AdsParkPro LTD (UK), Advantage Web Marketing LLC (Ucrania), SOFT WE ART LIMITED
Plataformas de distribución	Google Ads, YouTube Ads
Dominio secuestrador	`sinterfumesco.com`

Vector de Ataque / Métodos de Distribución

Malvertising como vector principal

Los atacantes utilizan empresas fantasma sin historial real para comprar cientos de anuncios en Google y YouTube. Estas empresas están registradas en Reino Unido y Ucrania:

Empresa fantasma	País	Rol
AdsParkPro LTD	Reino Unido	Compra de anuncios
Advantage Web Marketing LLC	Ucrania	Compra de anuncios
SOFT WE ART LIMITED	(anterior)	Ataques a Windows

Envenenamiento SEO (SEO Poisoning) para PS1Bot

La campaña PS1Bot (Windows) utiliza archivos comprimidos con nombres que coinciden con búsquedas populares:

Tema de búsqueda	Nombre de archivo señuelo
Política de beneficios médicos	`medicare benefit policy manual.pdf.zip`
Hojas de cálculo educativas	`Counting Canadian Money Worksheets Pdf.zip`

El usuario busca estos temas, hace clic en un resultado patrocinado, y descarga un archivo .js (JavaScript) malicioso con nombre engañoso como FULL DOCUMENT.js.

Distribución de FlutterShell (macOS)

Para macOS, los atacantes crean aplicaciones falsas que se hacen pasar por:

Herramientas de IA (resumen de documentos)
Utilidades legítimas (con nombres genéricos)

Las aplicaciones están compiladas con Flutter (framework multiplataforma), lo que dificulta su detección.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Malicious Link (T1204.001)	Clic en anuncios maliciosos de Google/YouTube
Initial Access (TA0001)	Drive-by Compromise (T1189)	Descarga desde sitios envenenados por SEO
Execution (TA0002)	User Execution: Malicious File (T1204.002)	Usuario abre archivo `.js` o aplicación falsa
Execution (TA0002)	Command and Scripting Interpreter: PowerShell (T1059.001)	PS1Bot ejecuta comandos PowerShell
Execution (TA0002)	Command and Scripting Interpreter: JavaScript (T1059.007)	Carga útil en archivos `.js`
Persistence (TA0003)	Browser Extensions (T1176)	Modificación de `Secure Preferences` de Chrome
Defense Evasion (TA0005)	Masquerading (T1036)	Nombres de archivos legítimos ("FULL DOCUMENT.js")
Defense Evasion (TA0005)	In-Memory Execution (T1620)	Código malicioso se ejecuta en RAM, no en disco
Defense Evasion (TA0005)	Code Signing (T1116)	Uso de firmas de desarrollador reales robadas
Defense Evasion (TA0005)	Process Injection (T1055)	Finaliza y reinicia Chrome con configuraciones ocultas
Credential Access (TA0006)	Credentials from Password Stores (T1555)	Robo de contraseñas de navegadores
Credential Access (TA0006)	Credentials from Web Browsers (T1555.003)	Extracción de cookies y semillas de wallets
Discovery (TA0007)	System Information Discovery (T1082)	Detección de software antivirus instalado
Discovery (TA0007)	Process Discovery (T1057)	Escaneo de procesos en ejecución
Collection (TA0009)	Clipboard Data (T1115)	Keylogging y captura de clipboard
Collection (TA0009)	Screen Capture (T1113)	Captura de pantalla
Command and Control (TA0011)	Web Protocols (T1071.001)	Exfiltración a servidores de atacantes
Exfiltration (TA0010)	Exfiltration Over C2 Channel (T1041)	Envío de documentos subidos a "herramienta IA falsa"
Impact (TA0040)	Data Manipulation (T1565)	Secuestro de navegador (redirección de búsquedas)

Flujo de Ataque (Cyber Kill Chain) - PS1Bot (Windows)

Fase	Descripción
1. Reconocimiento	Identificación de keywords de alto volumen (beneficios médicos, educación, etc.)
2. Armamento	Creación de archivos `.js` maliciosos empaquetados en ZIP con nombres atractivos
3. Entrega	Compra de anuncios patrocinados en Google para los keywords elegidos
4. Explotación	Usuario descarga y abre el archivo `.js` pensando que es un documento PDF
5. Instalación	El script PowerShell se ejecuta en memoria (sin escribir en disco) y descarga el payload completo
6. Comando y Control	PS1Bot establece persistencia y comunicación con C2
7. Acción sobre Objetivos	- Keylogging - Captura de pantalla - Robo de contraseñas y cookies - Robo de semillas de wallets cripto - Secuestro de navegador

Flujo de Ataque - FlutterShell (macOS)

Fase	Descripción
1. Reconocimiento	Identificación de usuarios macOS que buscan herramientas de IA
2. Armamento	Creación de aplicación Flutter con backdoor y función "resumen de IA" falsa
3. Entrega	Anuncios en Google/YouTube redirigen a sitio de descarga
4. Explotación	Usuario descarga e instala la aplicación falsa
5. Instalación	La aplicación solicita permisos y se instala
6. Comando y Control	- Envía documentos subidos a servidores de atacantes - Establece persistencia
7. Acción sobre Objetivos	- Ejecución de comandos arbitrarios - Interacción con sistema de archivos - Extracción de variables de entorno - Secuestro de navegador (Chrome)

Infraestructura Utilizada

Dominios maliciosos

Dominio	Propósito
sinterfumesco[.]com	Secuestro de navegador (redirección de búsquedas y nuevas pestañas)

Empresas fantasma para compra de anuncios

Nombre de empresa	País	Estado
AdsParkPro LTD	Reino Unido	Suspendida por Google
Advantage Web Marketing LLC	Ucrania	Suspendida por Google
SOFT WE ART LIMITED	(no especificado)	Usada en ataques anteriores

Técnicas de evasión de Apple

Los atacantes utilizan firmas de desarrollador reales (no falsificadas) para que las aplicaciones macOS pasen las protecciones de Apple:

Las aplicaciones están firmadas con certificados legítimos
Apple Gatekeeper no bloquea aplicaciones firmadas por desarrolladores conocidos
Los certificados pueden ser robados o comprados a desarrolladores legítimos

Detalle Técnico - Capacidades del Malware

PS1Bot (Windows) - Detalles técnicos

Capacidad	Descripción
Lenguaje	PowerShell (scripts `.ps1`)
Ejecución	En memoria (no se escribe en disco → evade antivirus tradicional)
Keylogging	Captura de pulsaciones de teclado
Captura de pantalla	Captura periódica de pantalla
Robo de navegadores	Contraseñas, cookies, historial de Chrome, Firefox, Edge
Robo de wallets cripto	Semillas (seed phrases) de monederos de criptomonedas
Persistencia	Programación de tareas (Task Scheduler), registro de Windows
Evasión de AV	Detecta software antivirus instalado antes de ejecutar carga útil completa

FlutterShell (macOS) - Detalles técnicos

Capacidad	Descripción
Framework	Flutter (Dart) → difícil de analizar estáticamente
Tres capacidades principales	1. Ejecución de comandos arbitrarios 2. Interacción con sistema de archivos 3. Extracción de variables de entorno
Secuestro de Chrome	Modifica `Secure Preferences` (configuración segura de Chrome)
Redirección	Fuerza todas las nuevas pestañas/búsquedas a `sinterfumesco[.]com`
Ocultación	Finaliza Chrome (`killall`) y lo reinicia con configuraciones que ocultan advertencias de error
Herramienta IA falsa	Ofrece "resumen de documentos" pero envía los archivos completos a servidores de atacantes

Evolución de FlutterShell (versiones detectadas)

Versión	Características
Versión 1	Backdoor básica
Versión 2	Añade herramienta de IA falsa para robo de documentos
Versión 3	Mejora de la herramienta IA (más convincente)
Versiones en desarrollo	Múltiples variantes sin código malicioso completo (indicador de desarrollo activo)

"Identificamos varias versiones de FlutterShell que aún no contenían código malicioso. Además, un análisis de la lógica JavaScript alojada en la infraestructura de los atacantes reveló múltiples funciones incompletas. Estos hallazgos, junto con la aparición frecuente de nuevas variantes, indican que es probable que el malware se encuentre en desarrollo activo."

Secuestro de Navegador - Técnica Detallada

Modificación de Secure Preferences (Chrome)

Archivo objetivo	`Secure Preferences` (archivo de configuración de Chrome)
Ubicación	`~/Library/Application Support/Google/Chrome/Secure Preferences` (macOS) `%LOCALAPPDATA%\Google\Chrome\User Data\Secure Preferences` (Windows)
Modificación	Cambia la configuración de página de inicio y motor de búsqueda predeterminado
Dominio de redirección	`http://sinterfumesco[.]com`

Técnica de ocultación

El malware:

Detecta si Chrome está ejecutándose (mediante pgrep o escaneo de procesos)
Finaliza el proceso (killall Chrome en macOS, taskkill en Windows)
Modifica los archivos de configuración mientras Chrome no está ejecutándose
Reinicia Chrome con parámetros especiales que suprimen advertencias de error
Resultado: El usuario no ve ningún error y asume que todo funciona normalmente

Víctimas y Sectores Afectados

Categoría	Datos
Usuarios objetivo	Usuarios de Windows y macOS que buscan documentos PDF, herramientas de IA
Sectores afectados	General (sin sector específico)
Distribución geográfica	Global (anuncios de Google/YouTube)
Número de víctimas	Desconocido (cientos de anuncios comprados)
Tipo de pérdida	Robo de criptomonedas, robo de credenciales bancarias

Tipos de señuelos utilizados

Tipo	Ejemplos
Documentos PDF	Políticas de beneficios médicos, manuales
Material educativo	Hojas de cálculo de matemáticas, libros de trabajo
Herramientas IA	Resumidores de documentos, asistentes de IA
Utilidades	Aplicaciones de productividad con nombres genéricos

Impacto y Riesgo

Categoría	Nivel	Descripción
Capacidad de evasión	ALTA	Ejecución en memoria (PS1Bot) + firmas legítimas (FlutterShell)
Detección por AV tradicional	BAJA	PS1Bot no escribe en disco; FlutterShell usa certificados reales
Capacidad destructiva	ALTA	Robo de wallets cripto, vaciado de cuentas bancarias
Persistencia	MEDIA-ALTA	Modificación de configuración de navegador
Rapidez de adaptación	MUY ALTA	Nuevas versiones emergen semanas después de ser detectadas

Consecuencias para la víctima

Consecuencia	Gravedad
Robo de criptomonedas	Crítica (vaciado completo de wallets)
Robo de credenciales bancarias	Crítica
Secuestro de navegador	Media (experiencia degradada, redirección a anuncios)
Pérdida de documentos confidenciales	Alta (herramienta IA falsa)
Compromiso de otras cuentas	Alta (cookies y tokens robados)

Respuesta de Google

"El malware no tiene cabida en nuestras plataformas y hemos suspendido estas cuentas de anunciantes por infringir nuestras políticas."

Problema: Los atacantes son rápidos y lanzan nuevas versiones con nombres de empresas diferentes apenas unas semanas después.

Recomendaciones de Mitigación

Para usuarios

Recomendación	Descripción
Evitar anuncios patrocinados para descargas	Navegar directamente a sitios oficiales en lugar de hacer clic en anuncios
Verificar extensiones de archivo	Los PDFs no terminan en `.js` o `.zip.js`
Desconfiar de "herramientas IA gratuitas"	Especialmente las que solicitan subir documentos
Revisar configuración de Chrome	Verificar que la página de inicio y motor de búsqueda no hayan cambiado
Usar bloqueadores de anuncios	Reducir exposición a malvertising
Mantener navegador actualizado	Parches de seguridad

Para administradores (entornos corporativos)

Recomendación	Descripción
Bloquear ejecución de scripts PowerShell no autorizados	Políticas de restricción de PowerShell
Monitorear procesos de Chrome	Alertar sobre finalización no esperada de procesos de navegador
Auditar archivos de configuración de navegadores	Buscar cambios no autorizados en `Secure Preferences`
Educar a usuarios sobre malvertising	Incluir ejemplos de anuncios falsos de herramientas populares
Implementar DNS filtering	Bloquear `sinterfumesco[.]com` y dominios similares

Para plataformas (Google, Apple)

Recomendación	Descripción
Verificación más estricta de anunciantes	Especialmente empresas nuevas sin historial
Monitoreo de firmas de desarrollador	Detectar uso anómalo de certificados legítimos
Análisis de aplicaciones Flutter	Mejorar escaneo de aplicaciones compiladas con Flutter

Herramientas de Detección

Herramienta	Capacidad
Cisco Talos Intelligence	Detección de PS1Bot y campañas de malvertising
Palo Alto Networks Unit 42	Detección de FlutterShell y análisis de malware
Antivirus con detección heurística	Puede detectar scripts PowerShell sospechosos
Monitoreo de red	Detectar tráfico a `sinterfumesco[.]com`
Auditoría de procesos	Detectar `killall Chrome` no autorizado

Indicadores de búsqueda en sistemas macOS

bash

# Buscar modificaciones en Secure Preferences
grep -r "sinterfumesco" ~/Library/Application\ Support/Google/Chrome/

# Buscar procesos sospechosos relacionados con Flutter
ps aux | grep -i flutter

# Buscar aplicaciones no autorizadas en Aplicaciones
ls -la /Applications/ | grep -v -E "(Chrome|Safari|Firefox|Microsoft|Adobe)"

Antecedentes: Evolución de la Campaña

Fecha	Evento	Malware
2018-2020	Malvertising generalizado	Varios
Enero 2025	Primera detección de PS1Bot por Cisco Talos	PS1Bot
Marzo 2024	Primera detección de FlutterShell por Unit 42	FlutterShell
Mediados 2025	Actividad sostenida de PS1Bot con múltiples versiones	PS1Bot
2025-2026	Desarrollo activo de FlutterShell (versiones 1-3 + variantes)	FlutterShell
Posteriores	Google suspende cuentas de anunciantes, pero los atacantes crean nuevas	Ambos

Opiniones de Expertos

"La víctima recibe inicialmente un archivo comprimido. Los nombres de archivo observados por Talos coinciden con lo que se ve típicamente en campañas de envenenamiento SEO y/o malvertising, donde el nombre del archivo coincide con la frase de búsqueda objetivo en las campañas." — Cisco Talos Research

"FlutterShell ataca un archivo de configuración de Google Chrome llamado Secure Preferences. Fuerza a que cada nueva pestaña o búsqueda se realice a través de un sitio web lleno de anuncios llamado sinterfumesco.com, e incluso finaliza el proceso de Chrome mediante un comando del sistema llamado killall. Luego lo reinicia con configuraciones ocultas para evitar que Chrome muestre advertencias de error." — Palo Alto Networks - Unit 42

"Identificamos varias versiones de FlutterShell que aún no contenían código malicioso... junto con la aparición frecuente de nuevas variantes, indican que es probable que el malware se encuentre en desarrollo activo." — Palo Alto Networks - Unit 42

"Lo que hace especialmente peligrosa esta campaña es la combinación de técnicas de evasión: PS1Bot ejecuta su carga útil completamente en memoria sin tocar el disco, mientras que FlutterShell utiliza firmas de desarrollador reales para burlar Gatekeeper de Apple. Es una campaña que demuestra madurez operativa y capacidad de adaptación multiplataforma. Los atacantes no solo roban criptomonedas, sino que también monetizan el tráfico mediante el secuestro del navegador hacia sitios llenos de anuncios — un modelo de negocio dual." — Fernando Vargas (CiberAnalyst)

Referencias y Fuentes

Ahmed, D. (2025, 14 de agosto). New Malvertising Attack Spreads Crypto Stealing PS1Bot Malware. Hackread.com / Cisco Talos.
Palo Alto Networks - Unit 42. (2024-2025). FlutterShell Malware Analysis.
Amir, U. (2024, 21 de marzo). Why Browser Security Matters More Than You Think. Hackread.com.
Cisco Talos Intelligence. (2025). PS1Bot Malware Framework Analysis (informe técnico).
Google. (2025-2026). Políticas de publicidad y suspensiones de cuentas.

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-06-10	1.0	Fernando Vargas Hincapié	Creación inicial basada en informes de Cisco Talos, Palo Alto Networks Unit 42, y Hackread.com

Indicadores de Compromiso (IOCs)

Dominios maliciosos

Dominio	Propósito
`sinterfumesco[.]com`	Redirección de navegador, sitio lleno de anuncios

Empresas fantasma (anunciantes)

Nombre de empresa	País	Estado (por Google)
`AdsParkPro LTD`	Reino Unido	Suspendida
`Advantage Web Marketing LLC`	Ucrania	Suspendida
`SOFT WE ART LIMITED`	(anterior)	Suspendida

Patrones de archivos maliciosos

Tipo	Patrón
Archivos ZIP señuelo	`medicarebenefit.zip`, `CountingCanadianMoney*.zip`
Archivos JavaScript	`FULL DOCUMENT.js`
Aplicaciones macOS	Aplicaciones Flutter con nombres de "herramientas IA"

Hashes (no especificados en fuentes disponibles)

Se recomienda consultar los feeds de inteligencia de amenazas de Cisco Talos y Palo Alto Networks para hashes específicos.

Comportamiento anómalo a monitorear

Comportamiento	Qué indica
Chrome se cierra y reinicia inesperadamente	Posible modificación de `Secure Preferences`
Página de inicio cambiada a sitio desconocido	Secuestro de navegador
Proceso `killall Chrome` en logs	Actividad maliciosa de FlutterShell
Scripts PowerShell ejecutándose en memoria	Posible PS1Bot
Aplicación que ofrece "resumen IA" sin desarrollador conocido	Posible FlutterShell

Preguntas sin respuesta

Pregunta	Estado
¿Cuántas víctimas han perdido criptomonedas por esta campaña?	Desconocido
¿Los certificados de desarrollador usados por FlutterShell son robados o comprados?	No especificado
¿Hay relación entre PS1Bot y FlutterShell (mismo operador)?	Probable, pero no confirmado
¿Las víctimas de la herramienta IA falsa han reportado pérdidas?	No especificado
¿Google ha implementado medidas permanentes contra estas empresas fantasma?	Parcial (suspensión reactiva, no preventiva)

Etiquetas / Categorías

text

fluttershell ps1bot malvertising google-ads-attack youtube-ads-attack cryptocurrency-stealer browser-hijacking chrome-secure-preferences sinterfumesco palo-alto-networks cisco-talos supply-chain-attack fake-ai-tool seo-poisoning windows-malware macos-malware powerhsell-malware in-memory-execution

@@ Línea 765: / Línea 765: @@
   fluttershell ps1bot malvertising google-ads-attack youtube-ads-attack cryptocurrency-stealer browser-hijacking chrome-secure-preferences sinterfumesco palo-alto-networks cisco-talos supply-chain-attack fake-ai-tool seo-poisoning windows-malware macos-malware powerhsell-malware in-memory-execution
 ----
+[[Categoría:CAMPAÑAS|CAMPAÑAS]]