Mario se Vuelve Malicioso: un Juego Infectado con Malware en Windows

Lockbit 3.0 es una variante de malware muy peligrosa

¿Está tu organización en riesgo de correos spoofing? Aprende cómo protegerte

Era un día normal en la oficina. Todos estaban ocupados trabajando en sus proyectos y todo parecía fluir como cualquier otro día en la oficina. No obstante, en ese momento, nadie en la empresa se había dado cuenta de que estaban siendo víctimas de un ataque utilizando el correo electrónico:

Un atacante había enviado correos electrónicos a los colaboradores de la empresa, haciéndose pasar por el CEO de la compañía. En los correos electrónicos enviados, el hacker pedía a los colaboradores que proporcionaran su información de inicio de sesión de la red de la empresa. El hacker utilizó una técnica de phishing en la que el correo electrónico parecía legítimo y venía con una apariencia muy similar a la utilizada en la compañía además de “la fuerza” propia de impersonar a un alto gerente y emplear una orden directa de este hacia los colaboradores.

Esta técnica usada por el atacante se llama spoofing. Los correos spoofing son aquellos mensajes que aparentan ser enviados por una persona o entidad confiable, pero en realidad son falsos y su objetivo es engañar al destinatario para que realice una acción no deseada o proporcione información sensible.

Para que este tipo de correo tenga éxito, es necesario que el remitente pueda hacerse pasar por alguien más. Esto se logra manipulando la información de los encabezados del correo electrónico, incluyendo el campo "From" (De) y otros campos como "Reply-To" (Responder a). En este sentido, el correo puede parecer legítimo y engañar al destinatario. Además, para que estos correos sean exitosos, también se aprovechan de las fallas en la configuración de seguridad de las organizaciones. 

A menudo, las organizaciones no tienen políticas claras de autenticación de correos electrónicos como, por ejemplo

1. Falta de autenticación de correo electrónico: como se mencionó anteriormente, una de las principales causas de los correos spoofing es la falta de autenticación de correo electrónico en la organización. Si la organización no ha implementado medidas de seguridad como SPF, DKIM o DMARC, este tipo de ataque tienen más probabilidades de ser entregados en la bandeja de entrada del destinatario.
2. Falta de educación y entrenamiento de los usuarios: los usuarios son la primera línea de defensa contra cualquier ataque vía correo. Sin embargo, si los usuarios no están bien informados sobre cómo identificar correos falsos y no han recibido capacitación en seguridad de correo electrónico, es más probable que caigan en trampas de phishing o proporcionen información confidencial a los atacantes.
3. Configuraciones de servidor de correo débiles: las configuraciones de los servidores de correo pueden ser una debilidad importante en la seguridad de la organización. Si la configuración de los servidores no está adecuadamente asegurada, los atacantes pueden explotar vulnerabilidades en el sistema y enviar correos falsificados.
4. Uso de proveedores de correo electrónico no seguros: las organizaciones que utilizan proveedores de correo electrónico no seguros o que no están bien establecidos, pueden estar en mayor riesgo de recibir correos spoofing. Los proveedores de correo electrónico menos seguros pueden carecer de medidas de seguridad adecuadas, lo que facilita la manipulación de la información del correo electrónico.

Los daños causados por este tipo de correos pueden ser graves para una organización, ya que pueden exponer información sensible o confidencial, instalar malware o incluso llevar a cabo estafas financieras, lo que afecta la reputación de la organización. Por lo tanto, es crucial tomar medidas preventivas para mitigar estos riesgos.

Como usuarios, es importante estar atentos al recibir correos con contenido extraño o inesperado. Para ello, podemos revisar ciertos puntos claves como, por ejemplo

• Contenido del correo electrónico: los correos spoofing a menudo contienen errores gramaticales o de ortografía, o incluyen enlaces o archivos adjuntos sospechosos. Si el contenido del correo electrónico parece poco profesional o dudoso, es posible que debas investigar si el correo es real.
• Solicitud de información confidencial: Si recibes un correo electrónico solicitando información de este tipo, debes tener mucho cuidado y verificar la autenticidad del correo electrónico y del remitente antes de responder.
• Mensajes urgentes o amenazantes: los correos spoofing pueden incluir mensajes que parezcan amenazadores o que requieran una acción inmediata. Si recibes un correo electrónico que parece urgente o que te hace sentir presionado para actuar, debes verificar cuidadosamente el correo electrónico y al remitente antes de tomar cualquier acción.
• Enlaces sospechosos: Siempre debes verificar cuidadosamente los enlaces antes de hacer clic en ellos y asegurarte de que dirigen a sitios web legítimos y seguros.

Un usuario debe poder identificar correos falsos

Ahora, no solo el usuario puede tomar medidas para lidiar con estos correos electrónicos, sino que también como organización, es posible llevar a cabo una serie de acciones para mitigar este tipo de ataques. A continuación, mencionamos algunas de ellas

• Implementar autenticación de correo electrónico: Una forma efectiva de prevenir los correos de este tipo, es implementar técnicas de autenticación de correo electrónico, como DMARC (Domain-based Message Authentication, Reporting and Conformance). DMARC permite a las empresas verificar la autenticidad del remitente de un correo electrónico y rechazar los mensajes que no cumplen con ciertos estándares.
• Utilizar filtros de correo electrónico: Es importante que las empresas utilicen filtros de correo electrónico para bloquear los correos electrónicos maliciosos antes de que lleguen a las bandejas de entrada de los usuarios. Estos filtros pueden detectar correos electrónicos que contienen contenido sospechoso o que provienen de remitentes no confiables.
• Capacitar a los colaboradores: Los colaboradores deben ser conscientes de los riesgos asociados con los correos spoofing y saber cómo identificar correos electrónicos sospechosos. Las empresas deben proporcionar a los colaboradores capacitación regular en seguridad cibernética para ayudar a reducir el riesgo de que un colaborador haga clic en un enlace malicioso o revele información confidencial.
• Implementar políticas de seguridad de correo electrónico: Las empresas deben tener políticas de seguridad de correo electrónico bien definidas que incluyan medidas para prevenir los correos spoofing. Estas políticas pueden incluir la verificación de la autenticidad del remitente, la implementación de filtros de correo electrónico, la capacitación de los colaboradores y la utilización de herramientas de monitoreo para detectar actividad sospechosa.
• Mantenerse actualizado: Es importante que las empresas mantengan sus sistemas y software actualizados para asegurarse de que estén protegidos contra las últimas amenazas de seguridad.  

Si tu organización necesita ayuda para mitigar este tipo de ataques, en Compunet contamos con un equipo de profesionales completamente preparado y, además, disponemos de herramientas especializadas que pueden facilitar la identificación de este tipo de correos electrónicos. ¿Te gustaría saber más sobre nuestro equipo y herramientas? Contáctanosy te guiaremos en todo lo que necesites.

Escrito por : Alberto Sánchez

Lider en Ciberseguridad y Awareness

¿Qué es protección Zero Trust Network Access?

El malware Escanor RAT se despliega a través de documentos de Microsoft Office y PDF

Una nueva herramienta de administración remota (RAT) que utiliza documentos de Microsoft Office y Adobe PDF para distribuir código malicioso ha sido descubierta en foros de la web oscura y canales de Telegram.

El malware fue descubierto por los investigadores de seguridad de Resecurity durante el fin de semana y apodado Escanor en un aviso publicado el domingo 21 de agosto de 2022.

"Los actores de la amenaza ofrecen versiones de RAT basadas en Android y en PC, junto con un módulo de computación de red virtual oculta (HVNC) y un constructor de exploits para convertir en armas los documentos de Microsoft Office y Adobe PDF para entregar código malicioso", se lee en el documento.

Según el equipo de Resecurity, la RAT se puso a la venta por primera vez el 26 de enero de 2022. Diseñado inicialmente como un implante HVNC, el malware simplemente permitía a los atacantes establecer una conexión remota silenciosa con el ordenador de la víctima. Posteriormente, la herramienta evolucionó hasta convertirse en una RAT comercial a gran escala con un rico conjunto de características. 

"Escanor ha construido una reputación creíble en la web oscura, y atrajo a más de 28.000 suscriptores en el canal de Telegram", escribió Resecurity.

"En el pasado, el actor con el mismo apodo lanzó versiones 'crackeadas' de otras herramientas de la web oscura, incluyendo Venom RAT, y Pandora HVNC que probablemente se utilizaron para enriquecer aún más la funcionalidad de Escanor".

En cuanto a la versión móvil de Escanor (apodada "Esca RAT"), el malware es utilizado activamente por los ciberdelincuentes para atacar a los clientes de banca online mediante la interceptación de códigos de contraseñas de un solo uso (OTP).

"La herramienta puede usarse para recoger las coordenadas GPS de la víctima, monitorizar las pulsaciones del teclado, activar cámaras ocultas y navegar por los archivos de los dispositivos móviles remotos para robar datos", dice el aviso.

Además, Resecurity advirtió que el nombre de dominio utilizado por Escanor había sido identificado previamente en relación con Arid Viper, un grupo activo en la región de Oriente Medio en 2015 y conocido por atacar principalmente activos militares israelíes.

En cuanto a Escanor, la mayoría de sus víctimas fueron identificadas en Estados Unidos, Canadá, Emiratos Árabes Unidos, Arabia Saudí, Kuwait, Bahréin, Egipto, Israel, México y Singapur, con algunas infecciones detectadas en el sudeste asiático.*

*Fuente: https://www.infosecurity-magazine.com/news/escanor-rat-malware-microsoft-pdf/

Nueva estrategia de ciberdelincuentes ante el bloqueo de macros de Microsoft Office 

Tras los anuncios de Microsoft  sobre el bloqueo de macros para los usuarios de Office, los ciberdelincuentes han decidido adoptar nuevas tácticas, técnicas y procedimientos en sus amenazas. El equipo de investigación de Proofpoint, empresa líder de ciberseguridad y cumplimiento normativo, ha observado que entre octubre de 2021 y junio de 2022 ha disminuido un 66% el uso de archivos adjuntos habilitados por macros de parte de los atacantes.

Hasta este año, que se han aplicado los cambios en Microsoft, los ciberdelincuentes basaban sus amenazas en ingeniería social para convencer a la víctima de que el contenido adjunto era importante y que para poder verlo era necesario activar las macros VBA y XL4 en las aplicaciones de Office. Ahora han tenido que alejarse de esas prácticas para distribuir malware mediante archivos contenedores de tipo adjunto, como ISO y RAR, o de acceso directo de Windows (LNK). Cuando se abren, aparece contenido adicional (LNKs, DLLs o archivos ejecutables) que conduce a la instalación de la payload maliciosa. La investigación de Proofpoint revela que el número de campañas de amenazas que siguen este método ha aumentado casi un 175% en los últimos meses.

«Ya es un cambio significativo dentro del panorama de amenazas que se haya dejado de enviar directamente archivos adjuntos basados en macros por correo electrónico», apunta Sherrod DeGrippo, vicepresidenta de Investigación y Detección de Amenazas de Proofpoint. «Los ciberdelincuentes están adoptando nuevas tácticas para distribuir malware y continuarán incrementando el uso de archivos ISO, LNK y RAR en sus ataques».

Para Proofpoint, este ha sido uno de los mayores cambios en la metodología de amenazas por correo electrónico, el principal vector de ataque en la actualidad, que se ha dado recientemente en ciberdelincuencia. Con ello, los atacantes consiguen eludir las protecciones de bloqueo de macros por parte de Microsoft, así como facilitar la distribución de ejecutables que desencadenan en malware de seguimiento, reconocimiento y robo de datos, o ransomware.