Una nueva tendencia que aprovecha la popularidad del servicio de streaming Spotify está siendo aprovechada por los ciberdelincuentes para para promocionar software pirateado, códigos de trucos de juegos, enlaces de spam y sitios «warez», según explican en BleepingComputer.

Concretamente, los ciberdelincuentes están abusando de las listas de reproducción y podcasts de Spotify, inyectando palabras clave específicas y enlaces en los nombres de las listas de reproducción y descripciones de los podcasts.

Con esto, lo que logran estos actores maliciosos es mejorar el posicionamiento SEO de sus sitios web, ya que los resultados del reproductor web de Spotify aparecen en motores de búsqueda como Google.

Un ejemplo reciente es una lista de reproducción titulada «Sony Vegas Pro 13 Crack…», que parecía dirigir el tráfico hacia uno o más sitios de software «gratuito» listados en el título y la descripción de la lista.

Los términos «warez» o «crack» se utilizan frecuentemente en la cultura informática para referirse a software pirateado que circula por Internet, a menudo en sitios web poco fiables. No hay garantía alguna de que intentar descargar productos de software falsificados desde estos sitios, o mediante «torrents», sea seguro, ya que podrían contener malware o dirigir a los usuarios a sitios de «encuestas» fraudulentos que son estafas.

Además, los usuarios que descargan este tipo de «warez» pueden, en ocasiones, recibir el programa anunciado sin pagar una tarifa, pero pueden terminar, sin saberlo, con virus, adware u otros programas no deseados ocultos en la versión «crackeada» del software.

Mejora del SEO de sitios maliciosos a través de Spotify

Un efecto secundario de contaminar plataformas fiables y de gran popularidad como Spotify con spam, es el impulso adicional al posicionamiento en los motores de búsqueda de estos sitios web sospechosos. Aquellos que buscan palabras clave como «descarga gratuita» combinadas con «Sony Vegas Pro 13» u otros productos de software pueden encontrarse con resultados en Google que incluyen enlaces al reproductor web de Spotify, que a su vez conducen a estos sitios de spam.

Esto es posible porque, además de las aplicaciones móviles y de escritorio, Spotify ofrece una versión del reproductor web en open.spotify.com. Las listas de reproducción y podcasts disponibles en el reproductor web son, como cualquier sitio web, rastreados por motores de búsqueda como Google.

Spotify tiene una fuerte reputación y sus páginas son fácilmente indexadas por los motores de búsqueda, lo que lo convierte en una plataforma efectiva para promover enlaces maliciosos.

Esto significa que los sitios web ilícitos de «software gratuito» ahora tienen mayor visibilidad y una mayor posibilidad de dirigir tráfico a sus servidores, que a menudo están llenos de anuncios, contenido de spam, encuestas falsas y regalos de criptomonedas que se deben sortear para, quizás, poder finalmente descargar un software pirateado, lo cual nuevamente es arriesgado.

Preguntada la compañía sueca de streaming por si tenía controles o tecnologías automatizadas para detectar y prevenir el spam, y si alguna aplicación o servicio de terceros de estaba siendo abusado para introducir contenido de spam en la plataforma, desde Spotify respondieron a BleepingComputer que eliminaron la lista de reproducción y el podcast «Sony Vegas Pro», añadiendo su portavoz que «las reglas de la plataforma de Spotify prohíben publicar, compartir o proporcionar instrucciones sobre la implementación de malware o prácticas maliciosas relacionadas que buscan dañar o obtener acceso no autorizado a ordenadores, redes, sistemas u otras tecnologías».

No obstante, desde la publicación se indica que no obtuvieron respuesta a sus otras preguntas sobre el tema.

Podcasts falsos y contenido malicioso

Desde BleepingComputer también descubrieron que el problema de spam de Spotify no se limita a las listas de reproducción que promocionan enlaces a software pirateado, sino también a contenido digital falsificado en general, incluyendo libros electrónicos.

En comparación con las listas de reproducción, se observaron instancias mucho mayores de podcasts falsos, cada uno con varios «episodios», publicados con la aparente intención de promover enlaces de spam, «torrents» y canales de Telegram que parecen ser estafas.

Estos «episodios» duran entre diez y veinte segundos, y comprenden audio de voz sintetizada que dirige a los usuarios a visitar el «enlace en la descripción».

Estos enlaces llevan a una página que tiene botones de «descargar» o «leer en línea» junto a la imagen de portada digital del libro anunciado. Sin embargo, al hacer clic en cualquiera de los botones, se intenta lanzar una encuesta o, peor aún, dirige a los usuarios a extensiones de Chrome de bloqueo de anuncios de dudosa procedencia que pueden estar recopilando sus datos.

De manera similar, se descubrieron podcasts que afirmaban ofrecer códigos de trucos de juegos para títulos populares como Apex Legends, hacks de Fortnite, scripts de Roblox, mods de «GTA V» y entrenadores. El texto «Códigos de Trucos Gratis» en la descripción de este episodio era clicable y conducía al sitio web cheater.ninja.

En agosto, el investigador de seguridad @g0njxa compartió ejemplos de spammers de «Fortnite» que también estaban abusando de la plataforma.

Uso de servicios de terceros para distribuir spam

Mientras que plataformas como Spotify podrían disponer de tecnologías automatizadas y barreras que restringen nombres o descripciones de listas de reproducción inválidos, las aplicaciones y servicios de terceros son otro vector que los actores maliciosos utilizan para introducirse.

Un denominador común entre muchos, aunque no todos, de todos estos «podcasts» fue el uso de tales servicios de terceros que proporcionan alojamiento, publicación y distribución a productores de podcasts a través de plataformas de streaming, incluido Spotify. Notamos un banner «Powered by Firstory Hosting» adjunto al área de descripción de estos podcasts.

Lanzado en 2019, Firstory es un servicio en línea diseñado para «empoderar a los podcasters del mundo para distribuir en todas partes y comenzar a conectarse con audiencias». Firstory reconoce que el spam es un problema continuo que se está esforzando en reducir.

«Las cuentas y contenidos de spam son desafíos continuos, y es algo en lo que seguimos enfocándonos para mejorar», escribió el cofundador de Firstory, Stanley Yu, a BleepingComputer en respuesta a las preguntas del medio estadounidense. «cualquiera puede usar nuestra plataforma para publicar podcasts en Spotify. Sin embargo, tenemos ciertos filtros para evitar cuentas que usan dominios fraudulentos específicos o direcciones de correo electrónico que contienen variaciones como account+[números]@gmail.com o ‘.’ en los correos electrónicos.»

Yu indicó que las medidas de seguridad implementadas incluyen verificación y bloqueo de correos electrónicos; es decir, realizar «una serie de verificaciones para bloquear direcciones de correo electrónico sospechosas o fraudulentas durante el proceso de registro de la cuenta». Además, la plataforma trabaja estrechamente con Spotify y, según Yu, revisa y reporta rápidamente cualquier contenido infractor detectado. «También tenemos integración API con Spotify para eliminar cualquier contenido marcado», dijo.

Finalmente, Yu explicó que «escaneamos los títulos de los podcasts y las notas del programa en busca de palabras clave específicas como EPUB, PDF, etc., para prevenir el alojamiento de contenido spam. Un desafío aquí es que algunos episodios usan variaciones como ‘E.P.U.B.’ o contienen términos como ‘epub’ en contextos no relacionados (por ejemplo, ‘república’). Estos casos requieren atención adicional durante nuestro proceso de revisión».