Tarjeta con sorpresa: cómo una felicitación a los colegas resultó en el hackeo de sistemas corporativos

La empresa GroupGreeting fue víctima de un ciberataque denominado «zqxq». Los expertos de Malwarebytes descubrieron una operación a gran escala similar a los ataques con malware NDSW/NDSX, dirigida a la popular plataforma que ofrece servicios de creación de tarjetas electrónicas.

La magnitud de la campaña es impresionante: los atacantes infectaron más de 2800 sitios web. Este tipo de ataques es especialmente frecuente durante períodos de alta demanda de los usuarios, como las fiestas de Año Nuevo, cuando muchas personas envían felicitaciones masivamente.

El malware utiliza JavaScript, un lenguaje presente en prácticamente todas las páginas web modernas. Los delincuentes insertaron un script disfrazado en elementos críticos del sitio, como temas o complementos. Este código realiza múltiples funciones: creación de tokens, redirección de usuarios a recursos externos, verificación de condiciones para eludir la protección y descarga de elementos maliciosos adicionales.

Las características del código, incluida la ofuscación de variables y el uso de funciones básicas para la decodificación, muestran que la campaña «zqxq» es similar a otros ataques importantes conocidos como NDSW/NDSX y TDS Parrot. Estos ataques se caracterizan por su sigilo y su capacidad para redirigir el tráfico a sitios maliciosos.

¿Por qué GroupGreeting fue el objetivo? El sitio atiende a más de 25 000 clientes corporativos, incluidas grandes empresas como Airbnb, Coca-Cola y eBay. Su alto nivel de confianza y el aumento del tráfico durante la temporada festiva hicieron que la plataforma fuera un objetivo atractivo para los atacantes.

Tras la infección, los dispositivos de los usuarios eran redirigidos a páginas de phishing o descargaban malware adicional, incluidos programas para el robo de datos o incluso ransomware.

Los expertos aconsejan actualizar las plataformas y complementos a tiempo, implementar sistemas de monitoreo de integridad de archivos y aumentar la conciencia de los usuarios sobre las posibles amenazas para minimizar los riesgos de ataques similares.