Hackers infectan script de Adform para interceptar pagos en criptomonedas

-

Un ataque a la cadena de suministro en la plataforma publicitaria Adform permitió a actores de amenazas inyectar código malicioso en un archivo JavaScript para interceptar pagos en criptomonedas. El incidente afectó a usuarios que interactuaron con sitios web que utilizaban el recurso comprometido el 27 de julio de 2026.

Un ataque a la cadena de suministro comprometió el archivo JavaScript trackpoint-async.js, servido desde s2.adform[.]net. El código malicioso operaba en el lado del cliente y estaba diseñado para reescribir las direcciones de las billeteras de criptomonedas (Bitcoin, Ethereum y Tron) en el momento de la transacción. Adform detectó y mitigó la situación el 27 de julio de 2026, tras identificar que el recurso compartido permitía a los atacantes afectar a múltiples sitios web secundarios sin necesidad de vulnerar cada uno individualmente.

Mecánica del ataque y técnica de evasión

El script malicioso se dividió en dos bloques de código añadidos a la biblioteca legítima. El primer bloque monitoreaba el portapapeles cada cuatro segundos para detectar y reemplazar direcciones de criptomonedas, además de realizar una solicitud HTTP a 84.32.102[.]230:7744 para enviar el nombre de host y la ruta de la página visitada. El segundo bloque actuaba directamente sobre el DOM, reescribiendo valores en elementos input, textarea y contenteditable, e interceptando eventos de copiar, cortar, pegar e introducir texto.

Las cadenas de reemplazo utilizadas por los atacantes estaban ofuscadas con una clave XOR de seis bytes. El investigador de seguridad Kevin Beaumont señaló: «Incluso si notas que la dirección es incorrecta y vuelves a copiar la billetera, esta sigue siendo reemplazada». Durante el incidente, el archivo y sus URLs asociadas no mostraron detecciones en VirusTotal.

Alcance y estado de la investigación

Adform no ha identificado al atacante ni ha publicado indicadores de compromiso (IoC). Aunque la empresa no encontró pruebas de que se transmitieran direcciones IP, admitió que el análisis técnico indicaba que dicha transmisión era posible. Debido a que el recurso era compartido, el impacto exacto en el número de sitios web y usuarios afectados sigue sin conocerse. El análisis técnico confirmó que el código no buscaba instalar software ni establecer persistencia, sino actuar mientras la página permaneciera abierta.

Por qué importa y qué hacer

Este incidente demuestra cómo una vulnerabilidad en un componente de terceros en la cadena de suministro de publicidad digital puede exponer a miles de sitios web simultáneamente. Para las organizaciones que utilizan plataformas de publicidad o scripts de terceros, el riesgo reside en la confianza ciega en recursos compartidos que pueden ser manipulados para interceptar transacciones financieras en tiempo real.

  • Borre la caché del navegador para eliminar cualquier copia local del archivo alterado.
  • Verifique manualmente la dirección de la billetera antes de enviar cualquier fondo en criptomonedas.

Relacionado:
Extensión de Anthropic en Cursor comprometida por puerta trasera
El firewall de paquetes de GitHub bloquea versiones nuevas en npm
Trump apunta a la tecnología extranjera en la red eléctrica de EE. UU.

Fuente:
https://thehackernews.com/2026/08/hackers-poison-adform-script-to-swap.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.

Comentarios

Publicar un comentario

Entradas más populares de este blog

ANCI investiga presunta filtración masiva de datos que afectaría a la Tesorería General de la República, al Registro Civil y a la ClaveÚnica

-
Santiago, 2 de mayo de 2026. — La Agencia Nacional de Ciberseguridad (ANCI) confirmó que se encuentra analizando reportes de una presunta actividad maliciosa que comprometería sistemas de organismos del Estado y operadores de telecomunicaciones en Chile, luego de que la firma de inteligencia cibernética VECERT Analyzer alertara públicamente sobre una brecha de alto impacto dirigida contra la Tesorería General de la República (TGR), el Registro Civil y servicios asociados a la ClaveÚnica. El actor de amenaza identificado bajo el alias "rutify" habría difundido en grupos especializados de Telegram registros que sugieren la filtración de datos sensibles durante las últimas 48 horas, según la alerta original publicada por VECERT en su cuenta oficial de X. Qué denuncia el reporte de VECERT De acuerdo con el análisis técnico difundido por la firma, las muestras filtradas corresponderían a solicitud...
Leer más

Atacantes calientan refrigeradores de supermercados franceses hasta 50°C

-
Imagen
Un ciberataque contra controladores de refrigeración de la empresa Danfoss afectó a cientos de supermercados en Francia, elevando la temperatura de los equipos hasta los 50°C. El incidente provocó la pérdida masiva de alimentos y activó alertas de seguridad por el uso de dispositivos con firmware desactualizado expuestos a internet. Durante la noche del 11 de octubre, actores de amenazas tomaron el control de sistemas de refrigeración en cientos de supermercados franceses. El ataque afectó específicamente a controladores de la empresa Danfoss, los cuales fueron manipulados para activar el modo de descongelación y elevar la temperatura de los productos hasta los 50°C. La cadena Intermarché, por ejemplo, reportó la pérdida de inventarios debido a este incidente. Dispositivos afectados y vulnerabilidades El ataque impactó a dos series de controladores antiguos: el AK-SM 800 y el AK-SC 355. Danfoss confirmó que el AK-SM 800 finalizó su vida útil en mayo de 2021 y el AK-SC 355 fue reti...
Leer más

Phishing-como-un-Servicio se Vuelve Más Inteligente: Microsoft Alerta sobre Ataques AiTM

-
Imagen
Microsoft advirtió que crecen las plataformas de phishing como servicio con técnicas de adversario en el medio (AiTM), capaces de eludir la MFA robando cookies de sesión. Servicios ya existentes como PerSwaysion también incorporaron estas capacidades. El equipo de Inteligencia de Amenazas de Microsoft alertó, en una serie de publicaciones en X, sobre el aumento de los kits de phishing de adversario en el medio (AiTM) que se ofrecen dentro del modelo de phishing como servicio (PhaaS). Además de que aparecen plataformas nuevas con esta capacidad, servicios ya establecidos, como PerSwaysion, la están agregando. El resultado, según Microsoft, es que los atacantes pueden montar campañas a gran escala orientadas a saltarse la autenticación multifactor. Dos formas de ponerse en el medio Los kits AiTM funcionan de dos maneras. La primera usa un servidor proxy inverso: la página de phishing hace de intermediaria entre la víctima y el sitio legítimo, reenvía el tráfico en ambas direcciones ...
Leer más