Observando la seguridad en la red
Te traemos las últimas noticias sobre ciberseguridad y ciberataques
Harold T Martin, el caso del acumulador digital
Una misteriosa imagen modificada del sello oficial de los EEUU apareció en un rally de Donald Trump con símbolos alusivos a Rusia y al golf.
Cuando Donald Trump se dirigió a una multitud de derecha en Washington el martes no se imaginó que estaba siendo víctima de un posible hackeo de su equipo técnico para dar presentaciones.
Lo anterior sucedió durante un rally en una cumbre estudiantil por la organización conservadora y sin fines de lucro Turning Point USA. Mientras que la audiencia rugía en apoyo del orador, fue una diapositiva proyectada lo que finalmente ocupó el centro del escenario.
En dicha cumbre estudiantil, el presidente oraba como en cualquier otra ocasión, frente al sello presidencial de los Estados Unidos. Sin embargo, para el observador cauteloso, la imagen reflejaba unos pequeños cambios al sello dignos de una broma pesada o un hackeo con tintes semi políticos.
El sello mostraba dos cabezas de águila en primer lugar, y palos de golf, en lugar de flechas.
El águila del sello oficial de los EEUU tiene solamente una cabeza de águila, mientras que el proyectado tenía dos cabezas opuestas. Lo que sugiere una similitud con el escudo de armas de Rusia, a su ves, una derivación del escudo oficial del Imperio Ruso, de orígenes bizantinos.
Los palos de golf que sustituyeron las flechas, se debieron quizá a las grandes críticas de sus excesivos hábitos por practicar el juego. Recordemos que en mas de una ocasión donde han habido situaciones embarazosas o conflictivas para los EEUU, el presidente ha respondido, e incluso twiteado, desde el campo de golf, generalmente en sus instalaciones de Mar-a-Lago en Florida.
Un símbolo presidencial modificado
En otras palabras, un orgulloso símbolo presidencial fue aparentemente modificado para avergonzar a Trump por dos de los mayores objetivos de las críticas contra Trump: la participación rusa en las elecciones de 2016 y el exceso de golf, y se mostró detrás del presidente para que todos lo vean.
Cómo sucedió esto sigue siendo un misterio. La nota fue publicada inicialmente en The Washington Post, quienes hablaron con un portavoz de la casa blanca y dijeron que los funcionarios no habían visto la imagen de antemano. Mientras tanto, un portavoz de Turning Point USA dijo al periódico que estaba perplejo en cuanto a los orígenes de la imagen, caracterizándolo como «un error A / V de último minuto«.
«No puedo averiguar quién lo hizo todavía«, dijo el portavoz, y agregó que no sabía de dónde venía la imagen.
Richard Painter, el principal abogado de ética de la Casa Blanca bajo George W. Bush, dijo que los asesores de Trump deberían haber estado más atentos a las cosas. «Alguien se va a meter en problemas«, le dijo al Post, «pero se sacaron una gran risa«.
Campaña de Spam se dirige a las entidades colombianas con un ‘Proyecto RAT’ personalizado
Diarleth G. 24 julio, 2019Una campaña reciente que se dirige principalmente a instituciones financieras y organizaciones gubernamentales en Colombia. Se han utilizado herramientas de acceso remoto (RAT), junto a otros procedimientos e indicadores de compromiso (IoC). Esto, de acuerdo con las investigaciones de Jaromir Horejsi y Daniel Lunghi (Investigadores de ciber amenazas).
El grupo a cargo de la campaña utiliza YOPmail, un servicio de dirección de correo electrónico desechable, para su servidor de comando y control (C&C). La carga útil, escrita en Visual Basic 6, es una versión personalizada de una herramienta de acceso remoto llamada «Proyecto RAT». Así es como proceden estos atacantes:
Primero llega un correo electrónico enviado al objetivo. Los investigadores notaron que el atacante usaba servidores de correo abiertos o comprometidos en Sudamérica para facilitar las campañas. Asimismo, el atacante se conectó a los servidores comprometidos desde direcciones IP que estaban vinculadas a nombres de dominio dinámicos utilizados como C & C por las cargas útiles entregadas. Lo que probablemente revela que el atacante usa la misma infraestructura para enviar correos electrónicos y controlar a las víctimas.
El remitente del correo electrónico por lo general es falso, y los asuntos del correo incitaban a abrir un archivo RTF. Estos eran algunos de los temas de los correos.
- «Hemos iniciado un proceso en su contra por violencia laboral».
- «Se hará efectivo un embargo a su (s) cuenta (s) Bancarias».
- «Almacenes Éxito te obsequia una tarjeta regalo virtual por valor de $ 500.000».
Lo que contenía el archivo RTF era el malware a través de un enlace para presuntamente dar solución o respuesta al enunciado del correo. Curiosamente, el enlace al malware utiliza el acortador de URL cort.as, que pertenece al diario El País.
Una vez que se hace clic en el enlace, se redirige al usuario a un intercambio de archivos, y el archivo que se recibe es un documento que contiene macros. Los documentos que analizaron los expertos estaban en formato MHTML con macros. El código de macro es un descargador simple, pero por otro lado también había archivos de Office en formato OLE. El diseño de los documentos ya ha sido analizado y acá tenemos unos ejemplos.
Todos los documentos, que aparecieron entre 2017 y 2019, solicitaron a los usuarios habilitar las macros. Las macros descargarán y ejecutarán un RAT. Todas estas RAT son malware estándar que puede comprarse por menos de US $ 100 o descargarse de varios repositorios de malware.
Los investigadores concluyeron que el malware utilizado estaba construido con Visual Basic, una versión antigua y limitada de Xpert RAT, y pudo ser una modificación personalizada de Xpert RAT o un malware con código fuente basado en Xpert RAT.
En ese sentido, se creó una versión personalizada de Proyecto RAT para afectar a Latinoamérica, empezando por Colombia. Colombia es, con mucho, el país más apuntado, con otros países sudamericanos agregados a la lista. Esto es consistente con el hecho de que este actor utiliza el idioma español en todos los documentos de phishing que se observaron en los correos. Pero los investigadores también marcaron en rojo otros territorios objetivos a los que apuntan los documentos de phishing. Estos incluyen EEUU, México, Venezuela, Ecuador, Perú, Bolivia, Argentina, Brasil, España, Australia y Turquía.
Cómo se burlan los piratas informáticos de la seguridad cibernética en Bulgaria
Diarleth G. 23 julio, 2019Hoy día nos preocupamos por la seguridad informática más que antes. Y es que al mismo ritmo en el que avanza la tecnología, así lo hacen también los delincuentes cibernéticos. De hecho, ahora mismo Bulgaria está sufriendo de graves problemas de hackeos, tanto así que se han convertido en una especie de chiste para los hackers. Actualmente dos de cada tres búlgaros son víctimas de estos ladrones digitales.
Bulgaria está sufriendo de uno de los ataques cibernéticos más fuertes de su historia, pero eso no es algo que le esté ocurriendo a las grandes empresas sino a los ciudadanos comunes y corrientes, pues los hackers han estado robando información personal de dos de cada tres búlgaros, todo esto mientras se ríen de la ciberseguridad de ese país.
Hasta ahora un grupo de hackers rusos han robado los datos personales de al menos cinco millones de personas de la Agencia de Recaudación de Bulgaria, en una posible venganza por la compra de varios aviones F-16 aviones de combate. Ante esto, Boyko Borissov, el primer ministro búlgaro, convocó una reunión de emergencia luego de que el ataque cibernético saliera a la luz y examinó la magnitud del daño con la policía búlgara.
Según el ministro de finanzas, Vladislav Goranov, los enlaces de descarga de los datos personales robados de alrededor de cinco millones de personas, habían sido enviados por correo electrónico a varios periódicos locales. Aunque ciertamente de esta declaración solo se logró confirmar que fue solo el 71 por ciento de la totalidad de las personas afectadas.
La filtración, que es la más grande en la historia del país balcánico, contiene nombres, datos personales y los ingresos financieros de individuos y empresas. Goranov dijo que el gobierno ha solicitado ayuda a la agencia de seguridad cibernética de la Unión Europea. Hablando al canal bTV, el ministro del Interior, Mladen Marinov, dijo que el ataque coincidió con la compra de aviones de combate F-16 de los Estados Unidos por parte de Bulgaria para su fuerza aérea y que eso podría haber sido el principal motivante.
El ministro de finanzas, sin embargo, rechazó un posible vínculo con la compra de los aviones, diciendo que el ataque cibernético había ocurrido antes de que se aprobara el acuerdo. Los medios búlgaros, que recibieron un correo electrónico de los piratas informáticos, dijeron que venía del proveedor de correo ruso Yandex.
El correo electrónico también solicitó la liberación del fundador de WikiLeaks, Julian Assange, quien cumple una condena de 50 semanas por no pagar una fianza en Gran Bretaña y también enfrenta una solicitud de extradición por parte de Estados Unidos por cargos de espionaje. Los medios búlgaros citaron el correo electrónico de los hackers criticando al gobierno búlgaro y diciendo que «el estado de su ciberseguridad es un total chiste».
leer más
Hackers pueden modificar fácilmente tus archivos multimedia en WhatsApp, Telegram: Symantec
Isaul Carballar 22 julio, 2019Las aplicaciones de mensajería instantánea WhatsApp y Telegram utilizan el sistema de cifrado como un escudo de seguridad de datos. Pero eso no significa que los datos recibidos o enviados estén a salvo de la piratería.
Investigadores de Symantec revelaron recientemente el potencial de ataques de malware que podrían infiltrarse en los mensajes de WhatsApp y Telegram. A través de esta brecha de seguridad, los hackers pueden editar de manera informal datos multimedia, como imágenes y audio.
De esa manera, la imagen enviada no será la misma que la imagen recibida, aunque los datos sean los mismos. Por ejemplo, la imagen de la cara se reemplaza con otra cara o podrían cambia el número en el comprobante de pago y así sucesivamente.
A continuación tres ejemplos de cómo se hace el cambio de media mediante WhatsApp.
Según Symantec, este malware ingresa a través del espacio de almacenamiento externo. Cuando los datos se almacenan en un almacenamiento externo, otras aplicaciones pueden acceder y manipular esos datos.
En WhatsApp, los datos se almacenarán de forma predeterminada en el almacenamiento externo cuando se descargan. Lo mismo sucede con Telegram cuando la función «Guardar en galería» está activada.
«WhatsApp ha detectado el problema sobre el impacto del almacenamiento de dispositivos móviles en el ecosistema de la aplicación», explicó el representante de WhatsApp. WhatsApp dice que proporcionará actualizaciones de software para teléfonos Android más tarde. Mientras que el telegrama no ha respondido a este problema.
¿Cómo prevenirse?
Hay formas en que puede hacerlo mientras esperas las actualizaciones de WhatsApp y Telegram. Los métodos de prevención se pueden iniciar cambiando la configuración de almacenamiento. En WhatsApp, puedes ir al menú de configuración y desactivar la descarga automática de medios. En Telegram, se puede hacer desactivando la opción «Guardar en la Galería».
Pero según WhatsApp, estas configuraciones pueden tener un impacto en las restricciones de las imágenes compartidas. Muchas aplicaciones tienen un menú de almacenamiento de imágenes, que almacena los datos en un espacio externo para mantenerlos almacenados cuando se elimina la aplicación.
Ataque a canales oficiales y no oficiales
Además de encontrar un agujero de seguridad, Symantec también encontró una aplicación de Telegram falsa y WhatsApp en Google Play Store. La aplicación falsa de Telegram llamada MobonoGram se promovió como una versión mejorada de Telegram con características más completas.
Esta aplicación puede dirigir a los usuarios a sitios web maliciosos y fraudulentos. Además, esta aplicación puede hacer que el teléfono sea lento y agotar la batería.
También está Whatsgram, una aplicación de imitación para WhatsApp que tiene la misma amenaza que MobonoGram. De hecho, los desarrolladores son los mismos. Symantec dijo que había bloqueado 1.200 aplicaciones relacionadas con el desarrollador de enero a mayo.
leer más
Equifax cercana a acordar pago de US$700 millones por violación de datos
Isaul Carballar 21 julio, 2019La agencia de informes crediticios Equifax está a punto de llegar a un acuerdo para pagar alrededor de US$700 millones a reguladores estatales y federales para resolver las investigaciones derivadas del hackeo de Equifax, el mayor robo de información crediticia de la historia, que expuso la información personal de casi 150 millones de personas, según dos informes publicados.
Los fondos del acuerdo se destinarán a compensar a los consumidores por el costo de la brecha de datos de 2017, informaron el Wall Street Journal y The New York Times el viernes, citando a personas cercanas al asunto.
El hackeo, considerado el más grande en la historia de los EEUU, expuso información confidencial, incluidos nombres, números de Seguro Social, números de licencias de conducir y direcciones.
El monto del acuerdo podría cambiar dependiendo de la cantidad de reclamos que aún deben presentar los consumidores, dijo el Journal.
El acuerdo con la Comisión Federal de Comercio, la Oficina de Protección Financiera del Consumidor y la mayoría de los fiscales generales del estado también requiere más cambios en la forma en que Equifax maneja los datos privados de los usuarios, según los informes. Se podría anunciar tan pronto como el lunes.
Equifax reveló el hackeo por primera vez en septiembre de 2017, tres meses después de que la compañía descubriera la brecha.
Los hackers aprovecharon una falla de seguridad en una herramienta diseñada para crear aplicaciones web para robar datos de clientes. Equifax admitió que estaba al tanto de la falla de seguridad dos meses antes de que la compañía publicara que los hackers accedieron a sus datos por primera vez.
Se ha dicho que sus daños superaron los US$350 millones.
La violación de datos provocó la renuncia del CEO Richard Smith y las investigaciones de los reguladores federales, los fiscales generales de varios estados y la compañía enfrenta una serie de demandas civiles.
leer más
La noticia salió el día de ayer. Hackers han atacado con éxito al FSB, la principal agencia de seguridad de Rusia. Los hackers lograron robar 7.5 terabytes de datos de un contratista importante, exponiendo proyectos secretos del FSB para 1) anular el anonimato de la navegación de Tor, 2) extracción de datos privados de las redes sociales, así como 3) ayudar al estado a separar su internet del resto del mundo. Los datos se pasaron a los principales medios de comunicación para su publicación.
El FSB es la principal agencia de seguridad de Rusia, similar al FBI de los EEUU y al MI5 del Reino Unido. Su competencia también se extiende más allá de la inteligencia nacional para incluir la vigilancia electrónica en el extranjero y una importante supervisión de recopilación de inteligencia. Es la principal agencia sucesora de la infame KGB, y reporta directamente al presidente de Rusia.
Hace una semana, el 13 de julio, un grupo de hackers con el nombre 0v1ru$ que supuestamente había violado a SyTech, un importante contratista de FSB que trabaja en una variedad de proyectos de Internet en vivo y exploratorios, dejó un Yoba Face sonriente en la página de inicio de SyTech junto con imágenes que pretenden mostrar el incumplimiento. 0v1ru$ pasó los datos al grupo de hackers Digital Revolution, que compartió los archivos con varios medios de comunicación y los titulares con Twitter.
La BBC edición Rusia dio la noticia de que 0v1ru$ había violado los servidores de SyTech y compartió detalles de proyectos cibernéticos polémicos, proyectos que incluían raspado de datos en redes sociales (incluidos Facebook y LinkedIn) , recopilación dirigida y la «desanonimización de los usuarios del navegador Tor«. La BBC describió la violación como posiblemente «la fuga de datos más grande en la historia de los servicios de inteligencia rusos«.
Dime algo que no sepa
Además de desfigurar la página de inicio de SyTech con Yoba Face, 0v1ru$ también detalló los nombres de los proyectos expuestos: «Arion», «Relation», «Hryvnia», junto con los nombres de los gerentes de proyectos de SyTech. El informe de la BBC afirma que no se expusieron secretos de estado.
Los proyectos en sí parecen ser una mezcla de raspado en redes sociales (Nautilus), recopilación dirigida contra usuarios de Internet que buscan anonimizar sus actividades (Nautilus-S), recopilación de datos dirigidos a empresas rusas (Mentor) y proyectos que parecen estar relacionados con los proyectos en curso de Rusia.
También se incluye una iniciativa para construir una opción para separar Internet interna de la red mundial (Hope and Tax-3). La BBC afirma que los proyectos de SyTech fueron en su mayoría contratados con la Unidad Militar 71330, parte de la 16ª Dirección del FSB que maneja inteligencia de señales, el mismo grupo acusado de enviar por correo electrónico software espía a los oficiales de inteligencia ucranianos en 2015.
Nautilus-S, el proyecto de desanonización de Tor, se lanzó realmente en 2012 bajo el mandato del Instituto de Investigación Kvant de Rusia, que está bajo el mandato del FSB. Rusia ha estado buscando formas de comprometer los nodos dentro de la estructura de Tor para prevenir comunicaciones fuera de la red o interceptar esas comunicaciones. Nada de lo cual es noticia nueva. Se cree que se han logrado algunos avances en este proyecto. Digital Revolution afirma haber hackeado el Instituto de Investigación Kvant antes.
Las actividades preparatorias para separar una «Internet rusa» siguen al acuerdo con el presidente ruso, Vladimir Putin, que firma las disposiciones para «el funcionamiento estable de la Internet rusa (Runet) en caso de que esté desconectado de la infraestructura global de la World Wide Web«. La ley establece planes de tren para un sistema de nombre de dominio (DNS) alternativo para Rusia en caso de que esté desconectado de la World Wide Web, o, se supone, en el caso de que sus políticos consideren que la desconexión es beneficiosa. Los proveedores de servicios de Internet se verían obligados a desconectarse de cualquier servidor extranjero, confiando en cambio en el DNS de Rusia.
No hay nada de interés periodístico en los proyectos expuestos aquí, todo fue conocido o esperado. El hecho de la violación en sí, su escala y aparente facilidad es lo de mayor importancia. Los contratistas siguen siendo el eslabón débil en la cadena de agencias de inteligencia de todo el mundo: para enfatizar el punto, la semana pasada, un ex contratista de la NSA fue encarcelado en los EEUU Por robar secretos durante dos décadas. Y las consecuencias de Edward Snowden continúan hasta el día de hoy.
Digital Revolution pasó la información a los periodistas sin que se editaran, eliminaron o modificaron nada, dijeron. Poco se sabe sobre 0v1ru $ y el grupo no ha hecho ningún comentario. Tampoco lo ha hecho la FSB.
Adaptación de un artículo publicado originalmente en .
leer más
¿FaceApp podría estar violando tu privacidad?
Diarleth G. 21 julio, 2019Seguramente eres uno de esos millones de usuarios que al día de hoy está dándose una idea de cómo se verán de viejos. Esto gracias a la aplicación FaceApp, la cual ha dado mucho de qué hablar gracias a su exagerado realismo para modificar las fotografías. Sin embargo, noticias recientes han revelado una posible violación a la privacidad por parte de esta aplicación. ¿Sera cierto esto?
El pánico por privacidad ha caído sobre FaceApp, una aplicación móvil de edición fotografías que hace que las personas que salen en ellas se vean más jóvenes, más viejos o que simplemente les muestra cómo se verían si fueran del sexo opuesto. Sin embargo, este pánico parece haber sido exagerado.
FaceApp es una aplicación para iOS y Android desarrollada por la compañía rusa Wireless Lab, la cual no ha estado exenta de controversias en el pasado. Y ahora la empresa es acusada de desviar imágenes de los rollos de fotos móviles de los usuarios a servidores en Rusia. Pero, hasta ahora el resultado de esa afirmación en particular ha carecido de fundamento, ya que FaceApp solo recopila las fotos que seleccionas para editarlas y las envía a los servidores que se ejecutan en Google Cloud y Amazon Web Services.
«Podríamos almacenar una foto cargada en la nube. La razón principal de esto es el rendimiento y el tráfico: queremos asegurarnos de que el usuario no cargue la foto repetidamente para cada operación de edición. La mayoría de las imágenes se eliminan de nuestros servidores dentro de las 48 horas posteriores a la fecha de carga”, explicó Wireless Lab.
También señalaron que los usuarios pueden solicitar que sus datos se eliminen de sus servidores, además de dejar claros que la mayoría de los usuarios no inician sesión cuando utilizan la aplicación, por lo que «no tienen acceso a ningún dato que pueda identificar a una persona». Finalmente y como era de esperarse, señalaron que no venden ni comparten ningún dato de usuario con terceros.
Con esto deberías sentirte tranquilo a la hora de usar FaceApp en tu dispositivo. Sin embargo, te diremos un par de cosas que deberías considerar antes de usar FaceApp y cualquier otra aplicación similar.
Siempre lee las políticas de privacidad y los términos de servicio (ToS) de la aplicación, ya que por ejemplo en lo que concierne a FaceApp, puedes encontrar que dice:
“Usted le otorga a FaceApp una licencia perpetua, irrevocable, no exclusiva, sin royalties, en todo el mundo, totalmente pagada y con licencia transferible para usar, reproducir, modificar, adaptar, publicar, traducir, crear trabajos derivados, distribuir, realizar públicamente y mostrar el contenido del usuario y cualquier nombre, nombre de usuario o imagen proporcionada en relación con el contenido del usuario en todos los formatos de medios y canales conocidos o desarrollados posteriormente, sin ningún tipo de compensación”.
Como ves, por lo general cuando descargas e instalas aplicaciones de este tipo estar otorgándoles el consentimiento a los creadores para que usen el contenido que les proporciones independientemente si allí se está incluyendo tu nombre o cualquier otro dato personal, tu voz o tu imagen. Ya lo que hagan con eso es criterio de ellos. Sin embargo, en la misma cláusula se especifica que lo único que no pueden hacer es algo que de alguna manera te perjudique. Desafortunadamente, a veces es difícil saber si algo te va a perjudicar hasta que esto sucede.
Desde hace meses, en Brasil se ha generado un nuevo tipo de ataque de enrutador que no se ha visto en ningún otro lugar del mundo. Los ataques son casi invisibles para los usuarios finales y pueden tener consecuencias desastrosas, incluso pueden ocasionarles pérdidas financieras directas.
El caso de Brasil debería ser una señal de advertencia para los usuarios e ISPs de todo el mundo. Lo mejor es tomar precauciones antes de que el ataque que se vive en Brasil se extienda a otros países.
Ataques de enrutador: cambio de DNS
Los ataques contra enrutadores en Brasil fueron observados por primera vez por la empresa de seguridad cibernética Radware y, un mes más tarde, por investigadores de seguridad de Netlab, una unidad de búsqueda de amenazas en la red del gigante chino de seguridad cibernética Qihoo 360. Ambas investigaciones detallaron que un grupo de delincuentes cibernéticos había infectado a más de 100,000 enrutadores domésticos en Brasil y estaban modificando sus configuraciones de DNS.
Las modificaciones realizadas a estos enrutadores redirigieron a los usuarios infectados a sitios web de clones maliciosos cuando intentaban acceder a la banca electrónica de algunos bancos del país.
Luego en abril de 2019, Bad Packets analizó otra ola de ataques, pero esta vez estaba dirigida principalmente contra los enrutadores D-Link, también alojados en los ISP brasileños. Por tanto, no solo secuestraban a los usuarios que visitaban los bancos brasileños, sino que además los redirigían a las páginas de phishing de Netflix, Google y PayPal para recopilar sus credenciales, según investigadores de Ixia.
Avast publicó un informe esta semana señalando que los ataques no se han detenido. La compañía estima que en la primera mitad de 2019, los hackers infectaron y modificaron la configuración de DNS de más de 180,000 enrutadores brasileños. Asimismo, señalaron que la complejidad de los ataques ha aumentado y el número de actores involucrados también.
Cómo se produce el ataque al enrutador
Los investigadores de Avast, David Jursa y Alexej Savčin, señalan que la mayoría de asaltos al enrutador se producen mientras los usuarios en Brasil visitan sitios de transmisión de películas y deportes, o portales para adultos desde su hogar.
En estos sitios, la publicidad maliciosa ejecuta un código especial que detecta la dirección IP de un enrutador doméstico, el modelo del enrutador. Una vez realizada la detección, los anuncios maliciosos utilizan una lista de nombres de usuario y contraseñas predeterminados para iniciar sesión en los dispositivos de los usuarios, sin su conocimiento.
Los ataques, aunque toman tiempo, suceden sin que los usuarios se den cuenta, porque generalmente están ocupados viendo las transmisiones de video en los sitios web a los que acaban de acceder. Si los ataques tienen éxito, el código especial modificará la configuración de DNS predeterminada en los enrutadores de las víctimas, reemplazando las direcciones IP del servidor DNS que reciben los enrutadores de los ISP ascendentes por las direcciones IP de los servidores DNS administrados por los piratas informáticos.
De esa manera, la próxima vez que la computadora o el celular se conecte al enrutador, recibirá las direcciones IP del servidor DNS malicioso y, de esta manera, canalizará todas las solicitudes de DNS a través de los servidores del atacante. Y es así como pueden secuestrar y redirigir el tráfico a clones maliciosos.
leer más
Malware oculto ‘TrickBot’ sigue fortaleciendo y comprometiendo más cuentas electrónicas
Diarleth G. 19 julio, 2019Con mucha facilidad podemos perder la cuenta de cuántos malware están operando en la actualidad, y es que día tras día salen infinidades de estos software maliciosos intentando dañar todo lo que quede en su paso. Uno de estos malware es TrickBot, que hasta el momento ha logrado comprometer la seguridad de más de 250 millones de cuentas de correo electrónico.
Se trata de un virus muy fuerte que no ha tenido ni la menor intensión de bajar su ritmo de ataque. Una variedad del malware conocido como TrickBot ha estado infectando una gran cantidad de usuarios desde el 2016. Y hoy en día sigue siendo extremadamente fuerte, de hecho, muchos expertos en ciberseguridad lo consideran la principal amenaza para las empresas en este momento. Los expertos creen incluso que TrickBot puede haber comprometido a más de 250 millones de cuentas de correo electrónico hasta el momento.
Los investigadores en DeepInstinct han estado siguiendo la actividad de TrickBot. En los últimos años, han visto evolucionar el malware y agregar nuevas capacidades que lo han hecho aún más peligroso. Una de esas adiciones es algo a lo que DeepInstinct se refiere como TrickBooster. Su trabajo: enviar correos electrónicos no deseados desde computadoras infectadas para aumentar la propagación de infecciones TrickBot.
En esencia, TrickBot es un troyano bancario. Normalmente, el malware se distribuye a través de correos electrónicos fraudulentos, como por ejemplo, currículos falsos enviados a recursos humanos o facturas enviadas al personal de cuentas. Esos archivos normalmente se adjuntan en forma de archivos de Microsoft Word o Excel.
TrickBot puede propagarse a través de una organización de diferentes maneras. Una forma es explotar las vulnerabilidades en SMB, un protocolo que permite a las computadoras con Windows compartir y acceder fácilmente a archivos y carpetas en otros sistemas en la misma red.
El malware que se propaga a través de SMB puede propagarse rápidamente en una organización donde las configuraciones de hardware y software tienden a ser bastante homogéneas. Esa uniformidad tiende a conducir a un gran número de computadoras que cuentan con las mismas vulnerabilidades, lo que hace mucho más fácil la propagación de malware como TrickBot.
Una segunda forma altamente efectiva de propagar la infección es enviando correos electrónicos desde direcciones confiables dentro de una organización, allí TrickBot aumenta las probabilidades de que una posible víctima abra uno de sus archivos adjuntos troyanos.
DeepInstinct logró echar un vistazo a una base de datos conectada a las operaciones de TrickBot. Los investigadores de la compañía descubrieron un tesoro de casi 250 millones de direcciones de correo electrónico que habían sido recogidas por TrickBot. De manera alarmante, DeepInstinct notó que esas direcciones no parecen provenir de violaciones previamente conocidas.
En la larga lista se encontraron, más de 25 millones de cuentas Gmail, 21 millones de Yahoo, y 11 millones de Hotmail. Otros 10 millones pertenecen a usuarios de AOL y MSN. Si bien esos seis servicios enfocados en el consumidor representan aproximadamente 70 millones del total de entradas en la base de datos, DeepInstinct también detectó decenas de direcciones pertenecientes a trabajadores del gobierno. A la fecha se desconoce el alcance total que está teniendo este malware, pero lo que sé se sabe es que está resultando ser indetenible.
leer más