Los dominios siguen desapareciendo, pero la infraestructura de malware que los respalda permanece inalterable.

Las páginas de verificación falsas están dirigiendo a los usuarios hacia malware, pero las direcciones web detrás de los señuelos cambian constantemente.

Durante cinco meses, los investigadores rastrearon cuatro cadenas de ataque diferentes que se originaron en la misma red de alojamiento, a pesar de que los dominios, las descargas y los servidores de comandos cambiaron. Este patrón demuestra que bloquear sitios web individuales no es una forma eficaz de detener el primer paso.

La mayoría de las víctimas accedieron a un CAPTCHA falso a través de anuncios en línea, aunque una llegó mediante un enlace por correo electrónico. La página copiaba silenciosamente un comando al portapapeles y luego indicaba al visitante que abriera la ventana Ejecutar de Windows y lo pegara.

Al igual que en ataques de CAPTCHA falsos anteriores, seguir esas instrucciones podía iniciar una infección sin abrir un archivo adjunto sospechoso.

Analistas de ActiveSOC identificaron la infraestructura compartida al revisar aproximadamente 150 alertas en entornos monitoreados.

ActiveSOC indicó en un informe compartido con Cyber ​​Security News (CSN) que cuatro casos llegaron a la ejecución del comando, mientras que la mayoría de los contactos se detuvieron en la página de señuelo.

Los hallazgos describen un punto de entrada recurrente, no evidencia de que todos los visitantes estuvieran infectados, lo que demuestra que las consecuencias variaron considerablemente.

Una cadena instaló un programa malicioso que sobrevivió a un reinicio, mientras que otra implantó Node.js en un servidor y permaneció activa durante casi dos días.

Un intento independiente se conectó a un depósito de almacenamiento en la nube, pero no se detectó ninguna instalación de segunda fase confirmada, lo que subraya la diferencia entre la exposición y la vulneración de la seguridad.