Gootloader: Malware oculto en anuncios de Google dirigido a profesionales del derecho
Los ciberdelincuentes están utilizando técnicas de malvertising para distribuir el malware Gootloader, esta vez enfocándose en profesionales del sector legal. El ataque se basa en la inserción de anuncios maliciosos en Google Ads, los cuales redirigen a las víctimas hacia documentos legales falsificados que contienen el infostealer.
Mecanismo del ataque
El ataque sigue una cadena de infección sofisticada:
- Malvertising en Google Ads: Los atacantes compran espacios publicitarios en Google, posicionando enlaces maliciosos en búsquedas relacionadas con documentación legal.
- Redirección a sitios comprometidos: Las víctimas son llevadas a portales que simulan ofrecer plantillas de contratos, sentencias o otros documentos legales.
- Descarga de Gootloader: Al intentar acceder al “documento”, se descarga un archivo ZIP que contiene el malware, camuflado como un fichero legítimo (ej. PDF o DOCX).
Capacidades técnicas de Gootloader
Gootloader es un infostealer modular con capacidades avanzadas:
- Robo de credenciales almacenadas en navegadores (cookies, contraseñas autocompletadas).
- Captura de datos de formularios web (incluyendo credenciales de acceso a sistemas legales profesionales).
- Ejecución remota de comandos mediante C2 (Command and Control).
- Persistencia mediante técnicas de inyección en procesos legítimos.
Implicaciones para el sector legal
Este ataque representa un riesgo particularmente alto para bufetes y profesionales del derecho debido a:
- Sensibilidad de la información manejada (casos judiciales, datos de clientes).
- Uso frecuente de documentos compartidos y plantillas descargables.
- Acceso a sistemas judiciales electrónicos con credenciales privilegiadas.
Medidas de mitigación
Las organizaciones legales deberían implementar:
- Filtrado de anuncios en navegadores corporativos mediante extensiones especializadas.
- Políticas de descarga restrictivas para archivos ZIP desde fuentes no verificadas.
- Segmentación de red para aislar sistemas con acceso a información sensible.
- Monitorización de tráfico saliente para detectar conexiones a servidores C2.
Este caso demuestra cómo los atacantes continúan refinando sus tácticas de ingeniería social, aprovechando plataformas publicitarias legítimas para distribuir malware. La combinación de técnicas de SEO poisoning y malvertising representa un desafío significativo para los equipos de seguridad.
