En el mundo de la ciberseguridad, los Remote Access Trojans (RATs) son como sombras sigilosas que pueden colarse en nuestros dispositivos. En este artículo, exploraremos qué son los RATs, cómo podrían infiltrarse y, para darle un giro práctico, realizaremos una demostración utilizando Telegram como herramienta y así evadir ciertos controles de seguridad.

¿Qué es un RAT?

Los RATs, son un tipo de Troyano de Acceso Remoto, son programas maliciosos (Malware) diseñados tanto como para dispositivos móviles y Desktops, permiten a un atacante acceder y controlar un dispositivo de forma remota. Imagina una puerta trasera digital que puede abrirse sin que lo notes, y además puedan acceder a toda tu información, suena increíble, pero no lo es.

¿Cómo Se Infiltra?

Los cibercriminales suelen aprovecharse de la confianza de las personas utilizando como medio de propagación el correo electrónico con archivos adjuntos maliciosos o enlaces engañosos. Una vez que logran infiltrarse, pueden operar desde lugar remotos, hacerse del control total de tu dispositivo, además de exfiltrar toda tu información. Si lo pensamos detenidamente, hay muchas posibilidades de que un troyano como este se infiltre en nuestros dispositivos, solo Imagina la cantidad de personas que descargan APPs modificadas desde sus dispositivos móviles para evadir el pago de versiones premium, todo por fuera de las tiendas oficiales, estas versiones modificadas pueden perfectamente estar infectadas y funcionar a la perfección sin que tú lo notes.

Los Malware tipo RAT más detectados hasta la fecha:

RAT para Desktops:

Qbot (Qakbot):

En Primer lugar (5% de impacto a nivel global), este Malware multipropósito desde 2008, se distribuye principalmente por correo no deseado. Roba credenciales, graba pulsaciones de teclas y despliega otros malwares, con avanzadas técnicas de evasión.

FormBook:

 En Segundo lugar (4% de impacto global) este Infostealer (Malware que roba información) dirigido a Windows, comercializado como Malware as a Service (MaaS). Roba credenciales, captura pantallas y ejecuta comandos según órdenes del servidor C&C.

Remcos:

Tercer lugar, con ascenso por campañas de descargadores maliciosos. Este RAT presente desde 2016, distribuido a través de documentos maliciosos o descargadores. Capaz de eludir la seguridad de Windows UAC (Control de Cuentas de Usuario), obtiene acceso remoto, roba información y realiza actividades maliciosas.

RAT para Dispositivos Móviles:

Anubis:

Ocupó el primer lugar como el Malware móvil más prevalente. Malware troyano bancario diseñado para Android. Ha evolucionado para incluir funciones de RAT, keylogger, grabación de audio y características de ransomware. Detectado en cientos de aplicaciones en Google Store.

SpinOk:

Segundo lugar en la lista de Malware móvil Módulo de software Android que opera como spyware. Recopila información de archivos en dispositivos y la transfiere a actores maliciosos. Presente en más de 100 aplicaciones de Android, descargado más de 421 millones de veces hasta mayo de 2023.

AhMyth:

Tercer lugar en la clasificación de Malware móvil. Troyano de acceso remoto (RAT) descubierto en 2017. Se distribuye a través de aplicaciones Android en tiendas y sitios web. Capaz de recopilar información confidencial, registrar teclas, tomar capturas de pantalla, enviar mensajes SMS y activar la cámara.

Estos son los RATs más detectados según el informe de Check Point Research del año 2023.

Demostración de RAT controlado desde Telegram:

Mostraremos cómo un atacante podría lanzar comandos desde Telegram, pero ¿Por qué desde Telegram? La respuesta es sencilla, tus dispositivos pueden ser infectados con métodos inimaginables, los cibercriminales siempre encontrarán formas nuevas o fuera de lo común, ya que, de alguna forma se debe evadir la detección de los antivirus, si lo piensas bien, una simple conexión a Telegram podría no levantar sospechas. 

El Malware tipo RAT con el que infectamos el dispositivo utiliza una combinación con la API de Telegram y la librería OS de Python, es así como este RAT logra tomar el control del dispositivo, en pocas palabras, este Malware queda escuchando mensajes que nosotros le enviaremos a un BOT, el BOT se comunicará con el dispositivo infectado y ejecutará los comandos por nosotros.

El mundo digital se encuentra en constante evolución, y con cada avance tecnológico surgen nuevas amenazas para la seguridad cibernética. Una de las tendencias más preocupantes en el panorama actual de la ciberdelincuencia es el "Ransomware como Servicio" (RaaS). Esta modalidad delictiva ha revolucionado la forma en que los ciberdelincuentes realizan sus ataques y ha aumentado significativamente la amplitud y la frecuencia de estos. En este artículo, exploraremos en profundidad qué es el Ransomware como Servicio, cómo funciona y cuáles son las implicaciones para la ciberseguridad.

 ¿Qué es el Ransomware como Servicio?

El Ransomware como Servicio es un modelo de negocio en el que los ciberdelincuentes ofrecen servicios de ransomware a otros actores maliciosos a través de la dark web y foros clandestinos en línea. En lugar de crear y distribuir su propio ransomware desde cero, los atacantes pueden alquilar o comprar acceso a una infraestructura de ransomware previamente desarrollada y mantenida por terceros. Esto les permite llevar a cabo ataques de ransomware de manera más eficiente y efectiva, incluso si carecen de conocimientos técnicos avanzados.

Cómo Funciona el Ransomware como Servicio (Raas)

En un preocupante giro de los acontecimientos, una nueva entidad del sector salud en Canadá ha sido víctima de un ciberataque devastador. En esta ocasión, la Alberta Dental Service Corporation (ADSC), un proveedor de servicios sociales de sanidad del gobierno canadiense centrados en la salud dental ha sido blanco de un ataque de ransomware que comprometió los datos personales de aproximadamente 1,47 millones de personas. Este artículo explora los detalles del ataque, sus implicaciones y la importancia de fortalecer las medidas de seguridad en el sector de la salud.

La Intrusión y Compromiso de Datos

La ADSC se convirtió en la última víctima de un ciberataque que ha dejado al descubierto la vulnerabilidad de las organizaciones en el sector de la salud ante las amenazas cibernéticas. La intrusión, que comenzó el 9 de julio, no fue descubierta completamente hasta semanas después. Durante más de dos meses, los atacantes tuvieron acceso a los sistemas de la ADSC, copiando datos sensibles, incluyendo información personal y detalles bancarios de sus usuarios.

Magnitud del Compromiso de Datos

La información comprometida afectó a un total de 1,47 millones de personas. Entre ellos, 7.300 archivos contenían datos especialmente sensibles, como información personal detallada y datos bancarios. Los datos comprometidos abarcan una amplia gama de información, que incluye nombres, apellidos, fechas de nacimiento, números de identificación, detalles de salud, correos electrónicos y datos de cuentas bancarias. Esta revelación pone de relieve la importancia crítica de proteger la información personal y de salud de los usuarios.

Acción Tomada por ADSC

La ADSC ha logrado recuperar sus sistemas afectados con un impacto mínimo en sus operaciones. Sin embargo, un aspecto preocupante es que, según informes, la organización pudo haber estado en contacto con los atacantes y haber pagado un rescate económico para recuperar el acceso a sus sistemas. Aunque no se han proporcionado detalles sobre la cantidad pagada como rescate, el incidente resalta la creciente tendencia de los ciberdelincuentes que aprovechan el ransomware para obtener ganancias financieras.

Un Patrón Emergente en el Sector Salud Canadiense

Este ataque se suma a una serie de incidentes recientes en el sector de la salud canadiense. La empresa CardioComm, especializada en productos de salud cardiovascular y electrocardiogramas, también fue víctima de un posible ataque de ransomware que interrumpió sus sistemas en línea. Aunque este incidente no se ha detallado públicamente, resalta una preocupante tendencia en el sector de la salud, donde las organizaciones se han convertido en objetivos principales para los ciberdelincuentes.

Necesidad de Fortalecer la Seguridad en el Sector Salud

La serie de ciberataques dirigidos a entidades de salud en Canadá subraya la urgente necesidad de que las organizaciones del sector refuercen sus medidas de seguridad cibernética. La información personal y de salud es altamente sensible y su compromiso puede tener graves consecuencias para los individuos afectados. Es fundamental que las organizaciones inviertan en soluciones de seguridad robustas, como sistemas de detección de intrusiones, firewalls avanzados y capacitación en concienciación sobre ciberseguridad para su personal.

Para obtener más información sobre tendencias y estrategias de mitigación de ransomware, te invitamos a consultar nuestro artículo: Ransomware: Tendencias y Estrategias de Mitigación.

El ciberataque a la Alberta Dental Service Corporation es un recordatorio inquietante de la creciente amenaza que enfrentan las organizaciones del sector de la salud en un entorno digital cada vez más hostil. La seguridad cibernética se ha convertido en una prioridad esencial para proteger los datos personales y de salud de los pacientes. Las organizaciones deben tomar medidas preventivas y proactivas para fortalecer sus sistemas y salvaguardar la confianza de sus usuarios en medio de esta ola creciente de ataques cibernéticos.

En Compunet, entendemos la complejidad de los desafíos de seguridad a los que se enfrentan las organizaciones. Nuestro equipo de expertos altamente capacitados se especializa en brindar soluciones personalizadas para prevenir, detectar y responder a amenazas cibernéticas.

No arriesgues la seguridad de tu organización. ¡Contáctanos hoy mismo y descubre cómo podemos fortalecer tu ciberdefensa! Tu seguridad es nuestra prioridad.

El Centro de Respuesta a Incidentes de Seguridad Informática (CSIRT) ha publicado un documento con una serie de recomendaciones preventivas para ayudar a las empresas a protegerse contra el peligroso ransomware Lockbit 3.0.

Lockbit 3.0 es una variante de malware muy peligrosa que puede cifrar los archivos de una organización y exigir un rescate para su liberación. Esta nueva versión es especialmente preocupante, ya que utiliza técnicas avanzadas de evasión de detección y puede propagarse rápidamente a través de una red.

Para ayudar a prevenir una infección de Lockbit 3.0, el CSIRT recomienda las siguientes medidas de seguridad:

1. Mantener el software actualizado: Asegúrese de que su sistema operativo, aplicaciones y herramientas de seguridad estén actualizados con las últimas versiones y parches de seguridad.

2. Realizar copias de seguridad regularmente: Haga copias de seguridad de sus datos críticos con regularidad y guarde las copias en un lugar seguro y separado de su red principal.

3. Implementar medidas de seguridad robustas: Utilice soluciones de seguridad avanzadas como firewalls, sistemas de detección de intrusiones y antivirus para detectar y prevenir amenazas.

4. Educar a los empleados: Capacite a sus empleados sobre la importancia de la seguridad informática y cómo detectar y evitar correos electrónicos sospechosos y enlaces maliciosos.

5. Tener un plan de respuesta a incidentes: Tener un plan de respuesta a incidentes detallado y probado puede ayudar a minimizar el impacto de una infección de ransomware.

El documento del CSIRT también proporciona información detallada sobre la forma en que Lockbit 3.0 se propaga y los métodos que utiliza para evadir la detección. Además, se incluyen recomendaciones para detectar y responder a una posible infección.

Siguiendo estas recomendaciones, las empresas pueden mejorar significativamente su seguridad informática y reducir el riesgo de una infección de Lockbit 3.0. No se arriesgue a una infección de ransomware, tome medidas preventivas hoy mismo.

Fuente : https://www.csirt.gob.cl/

Descarga el documento https://csirt.gob.cl/media/2023/06/10CND23-00103-01.pdf

Durante las últimas semanas, nuestro país ha sido víctima de una masiva ola de mensajes de texto maliciosos. En estos mensajes, se repiten frases como "Estimado, tu paquete se devolverá hoy si no lo recoges en el punto de recogida..." o "Su paquete ha sido retenido por aduanas. Para su envío, pague las tasas de...". De hecho, es muy probable que algún familiar suyo o incluso usted mismo haya recibido un SMS como este. En este artículo, exploraremos cómo los ciberdelincuentes aprovechan los mensajes de texto para engañar a las personas y robar su información confidencial. Desvelaremos los pasos clave de un ataque de smishing y te proporcionaremos consejos para protegerte de esta amenaza digital.

Hoy, quiero cambiar tu paradigma desde los antiguos modelos de seguridad perimetral y seguridad adaptativa hacia el modelo de confianza cero o Zero Trust Network Access (ZTNA para los amigos).

Para que tengas contexto respecto de la operación que realiza un SOC, te invito a leer nuestro artículo escrito por Darling Núñez, analista de ciberseguridad: https://www.compunetgroup.net/blogs/post/conoces-que-labor-cumple-un-soc 

¡Entonces, vamos!

¿Qué es un IoC?

IoC son las siglas de Indicator of Compromise. Es decir, se trata de una unidad métrica para determinar la existencia o no de un compromiso sobre uno o más activos o ciberactivos. Es, en estricto rigor, un indicado estático y de carácter forense. Es estático, toda vez que es un indicador que está o no está (booleano) y cuando está, se trata de una evidencia forense de una posible brecha de seguridad que se ha materializado. Se trata entonces de un indicador que permite realizar búsquedas proactivas de actividad inusual, brechas y/o vulnerabilidades sea de forma manual o automatizada a través de algún software o script desarrollado para este propósito desde el equipo de analistas de SOC, como parte de las tareas del SOC, para detección y búsqueda temprana de actividad maliciosa.

Un IoC no siempre es fácil de detectar, en ocasiones está “escondido” en registros de LOG “sin correlacionar”, en índices de bases de datos, en sistemas “silos”, en metadatos, etc. Ejemplos de IoC pueden ser:

• Archivos 
• Actividad anómala en procesos de log-in (red flags)
• Consultas DNS
• Actividad anómala en la red
• Incremento o actividad inusual de disco (base de datos, registros)
• Accesos anómalos al contexto (ubicación, intentos fallidos, dispositivos, sistemas operativos, etc.)
• Cambios en privilegios, permisos, roles, archivos, registros, etc.

¿Qué es un IoA?

IoA son las siglas de Indicator of Attack. Es decir, se del registro de un ataque (o intención de ataque) registrando el alcance (activo) y las técnicas, tácticas y procedimientos (TTP) que se están empleando, siendo esto último, en términos de indicador, más relevante que el origen que lo detona sea esto un malware, un atacante externo u otro; Por supuesto, en el contexto del análisis y uso del indicado de ataque toda vez que se trata de un indicador, dinámico, el cual efectivamente señala la materialización de un incidente y es dinámico al “cambiar” conforme las distintas etapas del ataque se suceden siendo un indicador fidedigno, con bajo o nulo falso-positivo, y que ayuda a identificar el tipo de ataque (campaña a través de las TTP).

En el contexto de que este indiciador es dinámico ya que permite “avanzar” en las distintas etapas del ataque: Reconnassance, Weaponization, Delivery, Explotation, Instalation, C&C and Movement (Lateral). Es decir, se trata de un indicador altamente dinámico y proactivo que operan en tiempo real por la naturaleza propia de un ataque.

¿Cuál es la diferencia entre un IoC y un IoA?

Primeramente, mientras el IoC es un indicador estático, IoA es dinámico y mientras IoC es una evidencia, desde el punto de vista forense, IoA es un indicador predictivo al que se le debe poner énfasis toda vez que “avisa” de un ataque en progreso o inminente. Entonces, normalmente los equipos SOC detectan IoA antes o durante la ejecución de un ataque de manera tal de contener y evitar la exfiltración de datos o el compromiso de sistemas e infraestructura deteniendo, consecuentemente, el negocio. Finalmente, el IoC es una firma estática donde, de manera previa, alguien debió conocer el IoC para tomar su firma y así podamos reconocerlo mientras que un IoA es dinámico y se le detecta por las TTP empleadas.

Los indicadores de ataque (IOA) se centran en detectar la intención de lo que un agente de amenaza se encuentra realizando, independientemente del malware o exploit utilizado en un ataque. Mientras que los indicadores de compromiso (IoC), al igual que las firmas AV, abordan un enfoque basado en la detección sin ser capaz de  detectar las crecientes amenazas de intrusiones que no hacen uso de malware y/o emplean exploits de día cero. (Thank so much my dear friend Mike!).

Los equipos de analistas de ciberseguridad que operan en SOC hacen uso de ambos indicadores creando una sinergia en el uso de ambos indicadores apoyados por el mapa de TTP que ha documentado MITRE (ATT&CK), correlación a inteligencia de amenazas para tener una visibilidad 360 de todos los activos gestionados y el comportamiento de la infraestructura en su totalidad.

¿Y qué pasa cuando hay un ataque?

Entonces viene la respuesta a incidentes. Otro día 😉

César Millavil A

CompunetGroup CEO

C|EH - ISO27001LA – ISO27032LM