Malware

All posts tagged Malware

malspam.png

Olvídate de los archivos adjuntos, la mayoría del malspam estos días contiene una URL maliciosa

La nueva generación de MalSpam, en lugar de una serie de archivos adjuntos maliciosos, contiene solamente una gran cantidad de enlaces que son los que te llevan directamente a los enlaces que te descargarán estos archivos. En el siguiente post te damos los detalles.

El MalSpam se adapta

Según la telemetría recopilada por la firma de ciberseguridad Proofpoint, la mayoría de los correos no deseados (MalSpam) enviados en la primera mitad del año contienen enlaces a archivos maliciosos, en lugar de archivos adjuntos.

Más precisamente, el 85% de todos los malspam enviados en el segundo trimestre de 2019 (abril, mayo y junio) contenían un enlace a una descarga de archivos maliciosos, en lugar del archivo malicioso real adjunto al correo electrónico.

Si la mayoría del contenido de malspam enviado en estos días aprovecha los enlaces maliciosos, esto significa que los operadores obtienen más clics e infecciones en comparación con la técnica clásica de adjuntar archivos a correos electrónicos.

Si bien la razón del dominio continuo de las URL puede deberse a una variedad de factores, es probable que la mayoría de los usuarios finales hayan sido condicionados a sospechar de los archivos adjuntos en correos electrónicos no solicitados. Las URL, por otro lado, son cada vez más comunes en el correo electrónico comercial, ya que regularmente recibimos notificaciones de archivos compartidos y actualizaciones de colaboración por correo electrónico a medida que las organizaciones se trasladan a la nube“, dijo Proofpoint.

Los hallazgos de Proofpoint deberían tener repercusiones en todo el mercado de ciberseguridad. Las empresas que proporcionan capacitación contra el phishing deben ser las que tomen notas y adapten los cursos en consecuencia, centrándose en preparar a los empleados para esta tendencia reciente.

Sin embargo, la educación y capacitación de los empleados ayuda. Y es que un informe anterior de Proofpoint descubrió que el 99% de todos los ataques cibernéticos basados ​​en correo electrónico requieren interacción humana, es decir, que el objetivo abre archivos, hace clic en enlaces o realiza algún otro tipo de acción. Con un poco de capacitación, se puede enseñar a los empleados a reconocer y evitar ser víctimas de estos ataques. Otros hallazgos del Informe de amenazas Proofpoint Q2 2019, publicado a principios de este mes, incluyen:

  • El 57% de todos los MalSpam usan suplantación de dominio.
  • El malware basado en botnet fue la carga útil de malware más popular enviada a través de campañas de MalSpam, representando el 37% de todos los correos electrónicos.
  • El malware de botnet fue seguido por troyanos bancarios (23%), InfoStealers (16%), cargadores de malware (8%), troyanos de acceso remoto (6%) y troyanos backdoor (5%).
  • Como en los últimos trimestres, el ransomware estuvo prácticamente ausente en el segundo trimestre.
  • Ursnif representó el 80% de todas las cargas útiles de troyanos bancarios enviados por correo electrónico. Fue seguido por URLZone, The Trick y Dridex.
  • El ranking de InfoStealer tenía a Pony al frente, seguido de AZORult, Loki Bot y Formbook.

¿Qué es el MalSpam?

Ejemplo de phishing email.
Los enlaces ofuscan o modifican su destino.

MalSpam, o spam malicioso, es un método muy popular y efectivo para enviar correos electrónicos en masa que contengan archivos infectados o enlaces que redirigen a los usuarios a sitios web que contienen éstos kits de explotación.

Referencia: https://www.zdnet.com/article/most-malspam-contains-a-malicious-url-these-days-not-file-attachments/

leer más
Diarleth G.Olvídate de los archivos adjuntos, la mayoría del malspam estos días contiene una URL maliciosa
0.png

Los Malwares sin archivos se extienden sin parar

Según Microsoft y Cisco Talos, ha aparecido un nuevo Malware difícil de detectar el cual se está abriendo camino en miles de computadoras en Europa y Estados Unidos.

El malware, denominado Nodersok por Microsoft y Divergent por Cisco Talos, funciona convirtiendo tu computadora en un proxy para facilitar la propagación del malware, utilizando el framework Node.js y WinDivert, que es un paquete de captura y desvío de paquetes en modo usuario para diferentes versiones de Windows.

Parece que todo necesita una marca en estos días. Esto puede hacer que sea fácil referirse a algo que de otra manera sería difícil de identificar, por lo que muchos investigadores de seguridad han comenzado a nombrar sus descubrimientos. No obstante, también puede generar cierta confusión. Eso es exactamente lo que sucedió a principios de esta semana cuando el Equipo de Investigación de Protección contra Amenazas Avanzadas de Microsoft Defender y Cisco Talos, nombró al mismo malware con dos nombres diferentes.

Nuevo malware con técnicas de supervivencia

Microsoft nombró al malware Nodersok; Cisco Talos lo llamó Divergente. Independientemente de cómo se llame, el nuevo malware utiliza “técnicas de supervivencia” que reutilizan herramientas legítimas para fines nefastos. Esas herramientas reutilizadas se denominan LOLBins y permiten que este llamado malware sin archivos evada las funciones de detección empleadas por la gran mayoría de los productos de seguridad de Windows.

Esto es lo que Microsoft dijo sobre el método de infección de Nodersok: “Al igual que la campaña de Astaroth, cada paso de la cadena de infección solo ejecuta LOLBins legítimos, ya sea desde la máquina (mshta.exe, powershell.exe) o descargados de terceros (node.exe, Windivert.dll / sys). Todas las funcionalidades relevantes residen en scripts y códigos de shell que casi siempre se cifran, luego se descifran y se ejecutan solo en la memoria. Ningún ejecutable malicioso se escribe en el disco“.

En el caso de este malware, instala Node.exe y WinDivert como sus LOLBins. Estas son aplicaciones legítimas: la primera es “la implementación de Windows del popular marco Node.js utilizado por innumerables aplicaciones web“, como lo expresó Microsoft, mientras que la segunda es una poderosa utilidad de captura y manipulación de paquetes de red. Ambos son típicamente inofensivos, pero sus características permitieron a los creadores de Nodersok establecer su malware sin archivos.

Microsoft dijo que vio los primeros indicadores de Nodersok a mediados de julio y que ha estado molestando a miles de máquinas en las últimas semanas, con la mayoría de los objetivos ubicados en Estados Unidos y Europa. La mayoría de los sistemas afectados son dispositivos de consumo.

El nombre del malware no es lo único en lo que Microsoft y Cisco Talos no pueden ponerse de acuerdo. Si bien acordaron que Nodersok / Divergente se propagó a través de anuncios maliciosos que forzaron una descarga en un sistema que luego podría instalar los LOLBins requeridos, diferían en el propósito del malware. Microsoft pensó que era para transmitir tráfico malicioso; Cisco Talos afirmó que los operadores del malware querían usarlo para el fraude de clics.

Microsoft aconseja a los usuarios que eviten ejecutar archivos HTA encontrados en sus sistemas y que estén atentos a los archivos no reconocidos, asegurándose de no ejecutar ninguno del que no pueda identificar el origen.

leer más
Diarleth G.Los Malwares sin archivos se extienden sin parar
android-joker.jpg

The Joker: el nuevo malware que debería alertar a los usuarios de Android

Otro día mas y otro malware paseándose por la Google Play Store. El nombre del villano de Batman, The Joker es capaz de robar dinero a través de servicios de suscripción que los usuarios ni siquiera saben que se inscribieron.

Google ha eliminado la mayoría de las aplicaciones que fueron afectadas por el malware. Sin embargo, por razones de seguridad, revisa la lista y asegúrate de no tener instaladas aplicaciones infectadas. Además, sería una buena idea verificar tus extractos bancarios a partir de junio, ya que es el momento en que el malware comenzó a suscribirse automáticamente a los usuarios.

Aquí hay una lista de aplicaciones que fueron infectadas por el malware:

  • Advocate Wallpaper
  • Age Face
  • Altar Message
  • Antivirus Security – Security Scan
  • Beach Camera
  • Board picture editing
  • Certain Wallpaper
  • Climate SMS
  • Collate Face Scanner
  • Cute Camera
  • Dazzle Wallpaper
  • Declare Message
  • Display Camera
  • Great VPN
  • Humour Camera
  • Ignite Clean
  • Leaf Face Scanner
  • Mini Camera
  • Print Plant scan
  • Rapid Face Scanner
  • Reward Clean
  • Ruddy SMS
  • Soby Camera
  • Spark Wallpaper

Dado que el malware suscribe automáticamente a los usuarios a diferentes servicios, sería prudente verificar tu estado de cuenta bancario y asegurarte de que no estés suscrito a ningún servicio no autorizado.

¿Cómo actúa The Joker?

El malware se encuentra presente en las aplicaciones anteriormente mencionadas, y ofrece un componente de segunda etapa, que simula silenciosamente la interacción con sitios web de publicidad, roba los mensajes SMS de la víctima, la lista de contactos y la información del dispositivo.

La interacción automatizada con los sitios web de publicidad incluye la simulación de clics y la introducción de códigos de autorización para suscripciones de servicios premium.

El malware emplea tácticas especialmente sigilosas para realizar actividades bastante maliciosas en GooglePlay, mientras se esconde dentro de plataformas de publicidad, cuidando de no exponerse demasiado su código malicioso.

Google ha estado eliminando todas estas aplicaciones sin ninguna notificación a los usuarios.

Recomendamos prestar mucha atención a la lista de permisos en las aplicaciones que instale en su dispositivo Android.

¿Qué países fueron afectados?

Afortunadamente para algunos, el malware Joker solo ataca países seleccionados. La mayoría de las aplicaciones infectadas contienen una lista de Códigos de país móviles (MCC) y la víctima debe usar una tarjeta SIM de uno de estos países para recibir la carga útil de la segunda etapa.

La mayoría de las aplicaciones descubiertas apuntan a la UE y los países asiáticos, sin embargo, algunas aplicaciones permiten que cualquier país se una. Además, la mayoría de las aplicaciones descubiertas tienen una verificación adicional, que asegurará que la carga no se ejecute cuando se ejecute dentro de los EEUU o Canadá. La interfaz de usuario del panel de C&C y algunos de los comentarios del código del bot están escritos en chino, lo que podría ser una pista en términos de atribución geográfica.

La lista completa de 37 países seleccionados incluye: Australia, Austria, Bélgica, Brasil, China, Chipre, Egipto, Francia, Alemania, Ghana, Grecia, Honduras, India, Indonesia, Irlanda, Italia, Kuwait, Malasia, Myanmar, Países Bajos, Noruega , Polonia, Portugal, Qatar, Argentina, Serbia, Singapur, Eslovenia, España, Suecia, Suiza, Tailandia, Turquía, Ucrania, Emiratos Árabes Unidos, Reino Unido y Estados Unidos.

Referencia: https://medium.com/csis-techblog/analysis-of-joker-a-spy-premium-subscription-bot-on-googleplay-9ad24f044451

leer más
Isaul CarballarThe Joker: el nuevo malware que debería alertar a los usuarios de Android
2048x1152.jpg

Cómo un topo holandés ayudó a EEUU/Israel a infectar a Irán con el virus Stuxnet

Durante años, un misterio duradero ha rodeado el ataque del virus Stuxnet que tuvo como objetivo el programa nuclear de Irán: ¿cómo los EEUU e Israel introdujeron un malware en los sistemas informáticos de la altamente segura planta de enriquecimiento de uranio?

El primer virus de este tipo, diseñado para sabotear el programa nuclear de Irán, comenzó efectivamente la era de la guerra digital y se desató en algún momento en 2007, después de que Irán comenzó a instalar su primer lote de centrifugadoras en una controvertida planta de enriquecimiento cerca de la aldea de Natanz.

El mensajero detrás de esa intrusión, cuya existencia y función no han sido reportadas previamente, fue un topo interno reclutado por agentes de inteligencia holandeses a instancias de la CIA y la agencia de inteligencia israelí, el Mossad, según fuentes que hablaron con Yahoo News.

Un ingeniero iraní reclutado por la agencia de inteligencia holandesa AIVD proporcionó datos críticos que ayudaron a los desarrolladores estadounidenses a dirigir su código a los sistemas de Natanz, según cuatro fuentes de inteligencia. Ese topo luego proporcionó el acceso interno muy necesario cuando llegó el momento de deslizar Stuxnet en esos sistemas utilizando una unidad flash USB.

En 2004, se pidió a los holandeses que ayudaran a la CIA y al Mossad a acceder a la planta, pero no fue hasta tres años después que el topo, que se hizo pasar por un mecánico que trabajaba para una empresa de fachada que trabajaba en Natanz, entregó el arma digital. a los sistemas específicos. “[El] topo holandés fue la forma más importante de introducir el virus en Natanz“, dijo una de las fuentes a Yahoo.

Ni la CIA ni el Mossad respondieron a las preguntas de Yahoo News sobre la información. La AIVD declinó hacer comentarios sobre su participación en la operación.

La ahora famosa operación encubierta conocida como “Juegos Olímpicos” fue diseñada no para destruir el programa nuclear de Irán directamente, sino para retrasarlo y ganar tiempo para que las sanciones y diplomacia surtieran efecto. Esa estrategia fue exitosa en ayudar a traer a Irán a la mesa de negociaciones, lo que finalmente resultó en un acuerdo con el país en 2015.

La revelación de la participación holandesa se remonta a una época en que todavía había una amplia cooperación y un fuerte acuerdo multilateral entre los EEUU y sus aliados sobre cómo lidiar con el programa nuclear iraní, una situación que cambió el año pasado después de que la administración Trump se retiró del acuerdo nuclear que tanto se ganó con Teherán.

Natanz 2010

La operación “Juegos Olímpicos” fue principalmente una misión conjunta de Estados Unidos e Israel que involucró a la NSA, la CIA, el Mossad, el Ministerio de Defensa israelí y la Unidad Nacional Israelí SIGINT, el equivalente israelí de la NSA. Pero Estados Unidos e Israel recibieron asistencia de otras tres naciones, de acuerdo con las fuentes, de ahí el nombre en clave encubierto que dio un guiño al símbolo de cinco anillos del evento deportivo internacional más famoso del mundo. Dos de los tres jugadores participantes fueron Holanda y Alemania. Se cree que el tercero es Francia, aunque la inteligencia del Reino Unido también jugó un papel.

Alemania aportó especificaciones técnicas y conocimientos sobre los sistemas de control industrial realizados por la firma alemana Siemens que se utilizaron en la planta iraní para controlar las centrifugadoras giratorias, según las fuentes. Se cree que Francia ha proporcionado inteligencia de un tipo similar.

El Padre de la Bomba Atómica Islámica

Pero los holandeses estaban en una posición única para desempeñar un papel diferente: brindar inteligencia clave sobre las actividades de Irán para adquirir equipos de Europa para su programa nuclear ilícito, así como información sobre las centrifugadoras. Esto se debe a que las centrifugadoras en Natanz se basaron en diseños robados a una empresa holandesa en la década de 1970 por el científico pakistaní Abdul Qadeer Khan.

Venerado en Pakistán como el “padre” de la bomba islámica, el Sr. Khan es considerado un paria en Occidente debido a su papel en el establecimiento de una red clandestina de comercio internacional que alimentó un mercado ilegal de tecnologías de armas nucleares y misiles balísticos. Khan robó los diseños para construir el programa nuclear de Pakistán, luego procedió a comercializarlos a otros países, incluidos Irán y Libia.

La agencia de inteligencia holandesa, conocida como AIVD, junto con la inteligencia de EEUU y Gran Bretaña, se infiltró en la red de suministro de consultores europeos y compañías líderes de Khan que ayudaron a construir los programas nucleares en Irán y Libia. Esa infiltración no solo involucró el oficio de la vieja escuela, sino que también empleó operaciones de hacking ofensivas que se desarrollaban como parte del floreciente campo del espionaje digital.

Las capacidades cibernéticas de AIVD son bien conocidas ahora: el año pasado se reveló que AIVD fue responsable de informar al FBI sobre el hackeo del Comité Nacional Demócrata (DNC por sus siglas en inglés) en 2016, conocimiento que había adquirido porque sus operativos habían hackeado computadoras pertenecientes al grupo de piratería ruso conocido como Cozy Bear en 2014 y estaban viendo en 2015 cuando los rusos irrumpieron en las computadoras del Departamento de Estado de los EEUU y el DNC.

Pero durante los primeros días del programa nuclear de Irán, el equipo de hackers de AIVD era pequeño y todavía estaba en desarrollo.

El programa iraní, que había estado en segundo plano durante años, se puso en marcha en 1996, cuando Irán compró en secreto un conjunto de planos y componentes de centrífuga de Khan. En 2000, Irán comenzó a construir en Natanz con planes de construir una instalación que albergaría 50,000 centrífugas para enriquecimiento del gas de uranio.

Centrifugas para enriquecimiento de Uranio.

Ese mismo año, la AIVD hackeo el sistema de correo electrónico de una organización de defensa iraní clave en un esfuerzo por obtener más información sobre los planes nucleares de Irán, según las fuentes.

Las agencias de inteligencia israelíes y occidentales monitorearon en secreto el progreso en Natanz durante los próximos dos años, hasta agosto de 2002, cuando un grupo disidente iraní expuso públicamente el programa iraní en una conferencia de prensa en Washington, DC, utilizando la información proporcionada por las agencias de inteligencia. Los inspectores de la Agencia Internacional de Energía Atómica (IAEA por sus siglas en inglés), el organismo de las Naciones Unidas que monitorea los programas nucleares en todo el mundo, exigieron acceso a Natanz y se alarmaron al descubrir que el programa iraní estaba mucho más avanzado de lo que se creía.

En un laboratorio…

Se presionó a Irán para que aceptara detener toda actividad en Natanz, mientras que la IAEA buscó obtener más información sobre el programa nuclear, y la suspensión continuó durante todo 2004 y la mayor parte de 2005. Pero era solo cuestión de tiempo antes de que se reanudaran las operaciones en Natanz , y la CIA y el Mossad querían estar adentro cuando lo hicieron.

La solicitud de ayuda a los holandeses llegó a fines de 2004, cuando un enlace del Mossad que trabajaba en la Embajada de Israel en La Haya y un funcionario de la CIA con sede en la Embajada de los Estados Unidos se reunieron con un representante de la AIVD. Todavía no se habló de insertar un arma digital en los sistemas de control de Natanz; el objetivo en ese momento seguía siendo solo inteligencia.

Pero el momento no fue al azar. En 2003, la inteligencia británica y estadounidense había dado un gran golpe cuando interceptaron un barco que contenía miles de componentes de centrífuga con destino a Libia, componentes para el mismo modelo de centrífugas utilizado en Natanz. El envío proporcionó pruebas claras del programa nuclear ilícito de Libia. Se persuadió a Libia para que abandonara el programa a cambio del levantamiento de las sanciones, y también acordó renunciar a cualquier componente ya recibido.

Científico en Laboratorio Nacional de Oak Ridge, en Tennessee, EEUU.

En marzo de 2004, Estados Unidos, bajo protesta de los holandeses, había incautado los componentes del barco y los que ya estaban en Libia y los había llevado al Laboratorio Nacional Oak Ridge en Tennessee y a una instalación en Israel. En los próximos meses, los científicos ensamblaron las centrífugas y las estudiaron para determinar cuánto tiempo le tomaría a Irán enriquecer suficiente gas para fabricar una bomba. De esto surgió el complot para sabotear las centrifugadoras.

…Nace Stuxnet

La agencia de inteligencia holandesa ya tenía una información privilegiada en Irán, y después de la solicitud de la CIA y el Mossad, el topo decidió establecer dos vías paralelas, cada una con una compañía local de fachada, con la esperanza de que uno lograra ingresar a Natanz.

Establecer una empresa ficticia con empleados, clientes y registros que muestren un historial de actividad, lleva tiempo y el tiempo escasea. A fines de 2005, Irán anunció que se retiraría del acuerdo de suspensión, y en febrero de 2006 comenzó a enriquecer su primer lote de gas hexaflourido de uranio en una planta piloto en Natanz. Sin embargo, los iraníes tuvieron algunos problemas que los ralentizaron, y no fue sino hasta febrero de 2007 que lanzaron formalmente el programa de enriquecimiento instalando las primeras centrífugas en las salas principales de Natanz.

Para entonces, el desarrollo del código de ataque de Stuxnet ya estaba en marcha. En 2006, se realizó una prueba de sabotaje con centrifugadoras y se presentó al presidente George Bush, quien autorizó la operación encubierta una vez que se le mostró que realmente podía tener éxito.

Para mayo de 2007, Irán tenía 1,700 centrifugadoras instaladas en Natanz que enriquecían el gas, con planes de duplicar esa cantidad para el verano. Pero en algún momento antes del verano de 2007, el topo holandés estaba dentro de Natanz.

La primera compañía que estableció el topo no había logrado ingresar a Natanz: había un problema con la forma en que se creó la compañía, según dos de las fuentes, y “los iraníes ya sospechaban“, explicó uno.

La segunda compañía, sin embargo, recibió asistencia de Israel. Esta vez, el topo holandés, que era un ingeniero entrenado, logró ingresar a Natanz haciéndose pasar por mecánico. Su trabajo no implicó la instalación de las centrífugas, pero lo llevó a donde necesitaba estar para recopilar información de configuración sobre los sistemas. Al parecer, regresó a Natanz varias veces en el transcurso de algunos meses.

[Él] tuvo que volver … varias veces para recopilar información esencial [que podría usarse para] actualizar el virus en consecuencia“, dijo una de las fuentes a Yahoo News.

Las fuentes no proporcionaron detalles sobre la información que recopiló, pero Stuxnet estaba destinado a ser un ataque de precisión que solo desataría su sabotaje si encontraba una configuración muy específica de los equipos y las condiciones de la red. Usando la información que proporcionó el topo, los atacantes pudieron actualizar el código y proporcionar algo de esa precisión.

De hecho, hay evidencia de actualizaciones al código que ocurren durante este período. Según la firma de seguridad Symantec, que realizó ingeniería inversa de Stuxnet después de ser descubierto, los atacantes actualizaron el código en mayo de 2006 y nuevamente en febrero de 2007, justo cuando Irán comenzó a instalar las centrífugas en Natanz. Pero hicieron cambios finales al código el 24 de septiembre de 2007, modificaron las funciones clave que se necesitaban para llevar a cabo el ataque y compilaron el código en esa fecha. Compilar código es la etapa final antes de lanzarlo.

Todo por una simple unidad flash USB

El código fue diseñado para cerrar las válvulas de salida en números aleatorios de centrifugadoras para que el gas entrara en ellas pero no pudiera salir. Esto tenía la intención de aumentar la presión dentro de las centrífugas y causar daños con el tiempo y también gas residual.

Esta versión de Stuxnet tenía solo una forma de propagarse: a través de una unidad flash USB. Los sistemas de control de Siemens en Natanz estaban vacíos, lo que significa que no estaban conectados a Internet, por lo que los atacantes tuvieron que encontrar una manera de saltar esa brecha para infectarlos. Los ingenieros de Natanz programaron los sistemas de control con el código cargado en las unidades flash USB, por lo que el topo instaló directamente el código él mismo insertando un USB en los sistemas de control o infectó el sistema de un ingeniero, que luego entregó involuntariamente Stuxnet cuando programó el sistemas de control con una memoria USB.

Una vez que se logró eso, el topo no regresó a Natanz nuevamente, pero el malware logró su sabotaje durante 2008. En 2009, los atacantes decidieron cambiar de táctica y lanzaron una nueva versión del código en junio de ese año y nuevamente en marzo y abril de 2010. Esta versión, en lugar de cerrar las válvulas en las centrifugadoras, varió la velocidad a la cual las centrifugadoras giraron, alternativamente acelerándolas hasta un nivel más allá del cual fueron diseñadas para girar y desacelerarlas. El objetivo era dañar las centrifugadoras y socavar la eficiencia del proceso de enriquecimiento. Esto de alguna forma consiguió un efecto doble, de alterar las operaciones por un lado, y por otro, mostrarse como un error interno, y no un hackeo. Lo que le permitiría mantenerse oculto por meses o años. Notablemente, los atacantes también actualizaron y compilaron esta versión del código de ataque el 24 de septiembre de 2007, cuando compilaron el código para la primera versión, lo que sugiere que la inteligencia que el topo holandés había proporcionado en 2007 puede haber contribuido a esta versión también.

Sin embargo, cuando se lanzó esta última versión del código, los atacantes habían perdido el acceso interno a Natanz que habían disfrutado a través del topo, o tal vez simplemente ya no lo necesitaban. Consiguieron esta versión de Stuxnet en Natanz al infectar a objetivos externos que la trajeron a la planta. Los objetivos eran empleados de cinco compañías iraníes, todas ellas contratistas en el negocio de instalar sistemas de control industrial en Natanz y otras instalaciones en Irán, que se convirtieron en correos involuntarios para el arma digital.

El virus Stuxnet se propaga

Es sorprendente que sigamos obteniendo información sobre el proceso de desarrollo de Stuxnet [10 años después de su descubrimiento]“, dijo Liam O’Murchu, director de desarrollo de la división de Tecnología de Seguridad y Respuesta de Symantec. O’Murchu fue uno de los tres investigadores de la compañía que revirtió el código después de que se descubrió. “Es interesante ver que tenían la misma estrategia para [la primera versión de Stuxnet] pero que era un proceso más manual. … Necesitaban tener a alguien en el terreno cuya vida estuviera en riesgo cuando realizaban esta operación“.

O’Murchu cree que el cambio de tácticas para la versión posterior de Stuxnet puede ser una señal de que las capacidades de los atacantes mejoraron para que ya no necesitaran un topo interno.

Quizás … en 2004 no tenían la capacidad de hacer esto de manera automatizada sin tener a alguien en el terreno“, dijo. “Mientras que cinco años después pudieron llevar a cabo todo el ataque sin tener un activo en el terreno y poner a alguien en riesgo“.

Pero su táctica posterior tuvo un inconveniente diferente. Los atacantes agregaron múltiples mecanismos de difusión a esta versión del código para aumentar la probabilidad de que llegue a los sistemas objetivo dentro de Natanz. Esto causó que Stuxnet se extendiera sin control, primero a otros clientes de los cinco contratistas, y luego a miles de otras máquinas en todo el mundo, lo que llevó al descubrimiento de Stuxnet y la exposición pública en junio de 2010.

Comienza la carrera armamentista cibernética

Meses después del descubrimiento de Stuxnet, un sitio web en Israel indicó que Irán había arrestado y posiblemente ejecutado a varios trabajadores en Natanz bajo la creencia de que ayudaron a introducir el malware en los sistemas de la planta. Dos de las fuentes de inteligencia que hablaron con Yahoo News indicaron que efectivamente hubo pérdida de vidas por el programa Stuxnet, pero no dijeron si esto incluía al topo holandés.

Si bien Stuxnet no retrasó significativamente el programa iraní, debido a su descubrimiento prematuro, ayudó a ganar tiempo para la diplomacia y las sanciones para llevar a Irán a la mesa de negociaciones.

Stuxnet también cambió la naturaleza de la guerra y lanzó una carrera armamentista digital. Condujo a otros países, incluido Irán, a ver el valor del uso de operaciones cibernéticas ofensivas para lograr objetivos políticos, una consecuencia con la que Estados Unidos ha estado lidiando desde entonces.

El general Michael Hayden, ex jefe de la CIA y la NSA, reconoció su naturaleza innovadora cuando comparó la operación Stuxnet con las bombas atómicas lanzadas sobre Hiroshima y Nagasaki.

No quiero fingir que es el mismo efecto“, dijo, “pero al menos en un sentido, es agosto de 1945“.

Una versión de este artículo apareció publicada en Yahoo News: https://news.yahoo.com/revealed-how-a-secret-dutch-mole-aided-the-us-israeli-stuxnet-cyber-attack-on-iran-160026018.html?soc_src=hl-viewer&soc_trk=tw#Navigation

leer más
Isaul CarballarCómo un topo holandés ayudó a EEUU/Israel a infectar a Irán con el virus Stuxnet
wordpress-plugin-hack.png

Sitios WordPress bajo ataque masivo vía populares plugins

Un grupo de hackers está explotando vulnerabilidades en más de diez plugins de WordPress buscando crear cuentas de administrador falsas en sitios usando WordPress, el sistema de administración de contenidos más popular en el Internet.

Los ataques son parte de una campaña de hacking que comenzó el mes pasado. Durante ataques anteriores, los hackers explotaron vulnerabilidades en los mismos plugins para plantar malware en los sitios pirateados. Este código estaba destinado a mostrar anuncios emergentes o redirigir a los visitantes entrantes a otros sitios web.

Sin embargo, hace dos semanas, el grupo detrás de estos ataques cambió su táctica. Mikey Veenstra, analista de amenazas de la empresa de seguridad cibernética Defiant, dijo a ZDNet que a partir del 20 de agosto, el grupo de hackers modificó el malware plantado en sitios hackeados.

Pop-ups, Malware y Backdoors

En lugar de simplemente insertar ventanas emergentes (pop-ups) y redireccionamientos, el malware también ejecutó una función para probar si el visitante del sitio tenía la capacidad de crear cuentas de usuario en el sitio, una característica solo disponible para las cuentas de administrador de WordPress.

Básicamente, este malware esperaba que el propietario del sitio acceda a sus propios sitios web. Cuando lo hicieron, el malware creó una nueva cuenta de administrador llamada wpservices, utilizando la dirección de correo electrónico de wpservices@yandex.com y la contraseña de w0rdpr3ss .

Al crear estas cuentas, el grupo de hackers detrás de esta campaña cambió las tácticas de explotar sitios para obtener ganancias monetarias, para agregar también puertas traseras (backdoors) para uso futuro y para un punto de apoyo más persistente.

El ataque de los plugins

De acuerdo con Veenstra, estos ataques recientes apuntan a vulnerabilidades en los siguientes plugins de WordPress.

Los plugins están vinculados a sus respectivas vulnerabilidades, por lo que los lectores pueden determinar la versión que necesitan actualizar, para evitar ataques en caso de que estén utilizando uno de los plugins anteriormente mencionados.

Además de actualizar los anteriores plugins, también se recomienda a los propietarios de sitios que verifiquen los nombres de usuario de administrador registrados en sus sitios. La eliminación de estas cuentas previa a la actualización de los plugins es imprescindible, ya que su único propósito es crear un camino de regreso a los sitios web después de que los usuarios actualicen los plugins vulnerables.

Limpiar sitios infectados de WordPress puede ser bastante complicado, ya que los propietarios de sitios también tendrán que escanear sus sitios web con plugins de seguridad de WordPress en busca de otros mecanismos de puerta trasera que los hackers podrían haber dejado atrás. Se aconseja a los usuarios no técnicos que busquen ayuda profesional.

leer más
Isaul CarballarSitios WordPress bajo ataque masivo vía populares plugins
00-3.jpg

El Banco Central Europeo es víctima de hackeo

La seguridad informática se ha convertido en el eje central de todas las empresas que manejan grandes cantidades de datos. Esto, a raíz del gran crecimiento que ha tenido los ciberataques a nivel mundial. Hoy una nueva víctima ha aparecido y se trata del Banco Central Europeo (BCE), según una declaración emitida por ellos mismos. La noticia alertó a todos sus clientes y desde luego a toda la comunidad que trabaja en esa entidad.

El Banco Central Europeo es víctima de hackeo

El Banco Central Europeo confirmó que haber sufrido de una violación de seguridad que involucró a atacantes que inyectaron malware conduciendo así a una posible pérdida de datos. Esta declaración fue publicada el 15 de agosto y dejo constancia de como los piratas informáticos lograron infringir la seguridad del sitio web del Diccionario Integrado de Informes (BIRD) de sus bancos. Según han dicho, este sitio fue atacado en diciembre de 2018 pero la brecha no pudo ser descubierta sino meses más tarde mientras se hacían trabajos de mantenimiento.

A pesar de que el sitio web de BIRD es de suma importancia y relevancia, ya que proporciona a la industria bancaria detalles de cómo producir informes estadísticos de supervisión, por fortuna físicamente se encuentra separado de cualquier otro sistema del banco central europeo tanto interno como externamente. Esto permitió que al momento del descubrimiento del problema se pudiera aislar la parte afectada sin que existiera la posibilidad de un daño extremo a los datos de los usuarios.

Sin embargo, al confirmarse el cierre del sitio web BIRD, los encargados de reportar el fallo para BCE revelaron que los datos personales de algunos suscriptores del boletín BIRD pudieron ser plagiados. Esos datos, que afectaron a 481 suscriptores, incluían nombres, títulos de posición y direcciones de correo electrónico, pero no contraseñas, según el BCE, banco que se ha mantenido en total comunicación con personas cuyos datos pueden haber sido comprometidos.

Ningún sistema interno del BCE ni datos sensibles al mercado se vieron comprometidos según la declaración.  El banco también agregó: “hemos informado al Supervisor Europeo de Protección de Datos sobre la violación”.

Tom Draper, el líder de tecnología y práctica cibernética en el equipo de gestión de riesgos Gallagher, dijo que el ataque al BCE parece haber sido causado por una violación del servidor de un proveedor. “Similar a la violación de Capital One a principios de este verano”, continuó Draper, “esto demuestra aún más las exposiciones asociadas con terceros fuera del equipo de seguridad de una empresa”.

El BCE también sufrió una violación de datos en 2014. En una declaración publicada el 24 de julio de 2014, el BCE dijo que una base de datos que sirve a su sitio web público había sido hackeada. Esa declaración confirmó que se envió un correo electrónico anónimo al BCE en busca de una compensación financiera por los datos. Si bien la mayoría de los datos estaban encriptados, partes de la base de datos incluían direcciones de correo electrónico, algunas direcciones y números de teléfono que no estaban encriptados. La base de datos también contiene datos sobre descargas del sitio web del BCE en forma cifrada.

La conclusión de esta declaración terminó con la típica frase “El BCE toma la seguridad de los datos muy en serio”. Un lema que se está volviendo demasiado común en muchos sectores de la industria a medida que las violaciones de seguridad llegan a los titulares. Tan solo este año han sucedido más de tres ciberataques al sistema financiero lo que nos hacen pensar que realmente no están haciendo lo suficiente para mantener los datos de los usuarios seguros.

leer más
Diarleth G.El Banco Central Europeo es víctima de hackeo
phishing-765x.jpg

Un grupo de piratería intentó ingresar a las empresas de servicios públicos en EEUU

Las estrategias de phishing siguen haciendo de las suyas. Esta vez, un grupo sospechoso de piratería patrocinado por el estado terrorista (estados que colaboran con el terrorismo: Corea del Norte, Irán, Sudán y Siria) intentó infiltrarse en empresas de servicios públicos estadounidenses en julio, según informaron los investigadores de Proofpoint Michael Raggi y Dennis Schwarz.

Entre el 19 y el 25 de julio, se enviaron correos electrónicos de phishing (estrategia de robo de identidad) a tres compañías estadounidenses responsables de proporcionar servicios públicos al público. El remitente de los correos se hacía pasar por una junta de licencias de ingeniería, el Consejo Nacional de Examinadores de Ingeniería y Topografía de EE. UU. El mensaje intentaba generar pánico, pues señalaba que la compañía que recibía el mensaje había reprobado un examen de seguridad emitido por este organismo.

Inducir el pánico es una técnica común de los correos de phishing. Si un objetivo está asustado, es más probable que siga las instrucciones de un correo electrónico de phishing sin pensarlo detenidamente.

El mensaje incluía un documento adjunto de Microsoft Word, llamado Result Notice.doc, que utilizaba macros incrustadas para generar código malicioso en un sistema receptor. Cuando los investigadores examinaron la IP descubrieron que se trataba de todo un grupo de dominios utilizados para suplantar a otras agencias de ingeniería y licencias eléctricas en los Estados Unidos. Aunque solo determinaron que el dominio original, nceess [.] Com, está activo en las campañas de phishing actuales. 

El malware que venía con los macros del archivo adjunto, se conoce como LookBack, y se inicia a través de GUP.exe y libcurl.dll. 

“LookBack es un troyano de acceso remoto (RAT), escrito en C ++, que puede ver datos del sistema, ejecutar shellcode, manipular, robar y eliminar archivos, tomar capturas de pantalla, eliminar procesos, mover y hacer clic con el mouse sin interacción del usuario, forzar una PC infectada para reiniciar a su antojo y eliminarse de una máquina”, reseña el medio ZDNet.

Pero LookBack puede hacer más, es capaz de crear un canal C2 y un proxy para filtrar y enviar información del sistema al servidor del atacante. 

De momento no se puede presumir que un grupo patrocinado por el estado busca interrumpir las utilidades y servicios públicos centrales. La evidencia es que el malware no se ha asociado activamente con ningún APT anteriormente y “no se identificaron superposiciones adicionales de infraestructura o código para sugerir una atribución a un adversario específico”, señalaron los investigadores.

Sin embargo las macros utilizadas proporcionan una pista de estas actividades fraudulentas, y son sorprendentemente similares al código utilizado en los ataques japoneses con campañas APT en 2018.

“Creemos que este puede ser el trabajo de un actor APT patrocinado por el estado basado en superposiciones con campañas históricas y macros utilizadas”, dice Proofpoint. “La utilización de esta metodología de entrega distinta junto con el malware LookBack único resalta las continuas amenazas que representan los adversarios sofisticados para los sistemas de servicios públicos y los proveedores de infraestructura crítica”.

leer más
Diarleth G.Un grupo de piratería intentó ingresar a las empresas de servicios públicos en EEUU
00-2.jpg

Un hombre de Hong Kong es acusado por una ola de anuncios maliciosos

La publicidad en internet es molesta, y en ocasiones pensamos que se encuentra fuera de control. No existe una página libre de publicidad y por lo general se peca por exceso. Mucha de la publicidad que aparece en internet es maliciosa y viene con otros fines que son mucho más oscuros que el comercio. Hace poco, por ejemplo, Microsoft comenzó a sufrir de fuertes ataques de publicidad. Ante estos hechos comenzaron una serie de investigaciones que los llevaron a Hong Kong.

La empresa Microsoft ha estado sufriendo de una fuerte ola de anuncios maliciosos (malware) que han afectado sus sistemas fuertemente. Este problema lo han venido presentando desde hace varios meses sin dar con el causante de este mal. Sin embargo, las investigaciones apintaron a Hong Kong.

Y es que se cree que el sospechoso es un hombre de Hong Kong que opera al menos en dos compañías principales de la ciudad llamadas Fiber-Ads y Clockfollow, así lo ha dejado ver una investigación compartida esta semana por una firma de seguridad cibernética Confiant especializada en el seguimiento de campañas de publicidad maliciosa. Confiant dice que el sospechoso utiliza a las dos compañías para colocar anuncios con redes publicitarias legítimas. El código malicioso oculto en los anuncios secuestra a los usuarios que los ven y los redirige a otros sitios.

El sospechoso que en internet se le conoce con el seudónimo de MyMediaAds, usa una plataforma para anunciantes en línea, para vender el tráfico secuestrado a otros actores de amenazas, redirigiendo a los usuarios de aplicaciones y sitios web legítimos a sitios que promocionan aplicaciones,  antivirus falsos, actualizaciones de Flash, sitios de soporte técnico y otras estafas.

Basándose en sus datos internos, la empresa de seguridad informática Confiant dijo que este actor de amenazas con sede en Hong Kong ha sido responsable de más de 100 millones de anuncios maliciosos solo este año.

Confiant afirmó que este actor de amenazas está detrás de la ola de anuncios maliciosos en la aplicación Microsoft News, dentro de varios juegos de Microsoft y Outlook. El proceso funciona de la siguiente manera: un usuario abre una aplicación de Microsoft, la aplicación carga un anuncio y el código malicioso en el anuncio abre el navegador predeterminado del usuario a una URL maliciosa.

Algunas de estas campañas de publicidad maliciosa han sido muy silenciosas y han afectado a usuarios en áreas geográficas pequeñas, como Francia o Alemania. Sin embargo, la actividad maliciosa de este actor de amenazas va más allá de mostrar anuncios en las aplicaciones de Microsoft, algo que Confiant está trabajando fuertemente en descubrir ya que piensan que las motivaciones de este actor pueden ser mucho más delicadas.

leer más
Diarleth G.Un hombre de Hong Kong es acusado por una ola de anuncios maliciosos
2017_02_21_21946_1487651919.jpg

Hackers pueden modificar fácilmente tus archivos multimedia en WhatsApp, Telegram: Symantec

Las aplicaciones de mensajería instantánea WhatsApp y Telegram utilizan el sistema de cifrado como un escudo de seguridad de datos. Pero eso no significa que los datos recibidos o enviados estén a salvo de la piratería.

Investigadores de Symantec revelaron recientemente el potencial de ataques de malware que podrían infiltrarse en los mensajes de WhatsApp y Telegram. A través de esta brecha de seguridad, los hackers pueden editar de manera informal datos multimedia, como imágenes y audio.

De esa manera, la imagen enviada no será la misma que la imagen recibida, aunque los datos sean los mismos. Por ejemplo, la imagen de la cara se reemplaza con otra cara o podrían cambia el número en el comprobante de pago y así sucesivamente.

A continuación tres ejemplos de cómo se hace el cambio de media mediante WhatsApp.

Según Symantec, este malware ingresa a través del espacio de almacenamiento externo. Cuando los datos se almacenan en un almacenamiento externo, otras aplicaciones pueden acceder y manipular esos datos.

En WhatsApp, los datos se almacenarán de forma predeterminada en el almacenamiento externo cuando se descargan. Lo mismo sucede con Telegram cuando la función “Guardar en galería” está activada.

“WhatsApp ha detectado el problema sobre el impacto del almacenamiento de dispositivos móviles en el ecosistema de la aplicación”, explicó el representante de WhatsApp. WhatsApp dice que proporcionará actualizaciones de software para teléfonos Android más tarde. Mientras que el telegrama no ha respondido a este problema.

¿Cómo prevenirse?

Hay formas en que puede hacerlo mientras esperas las actualizaciones de WhatsApp y Telegram. Los métodos de prevención se pueden iniciar cambiando la configuración de almacenamiento. En WhatsApp, puedes ir al menú de configuración y desactivar la descarga automática de medios. En Telegram, se puede hacer desactivando la opción “Guardar en la Galería”.

Pero según WhatsApp, estas configuraciones pueden tener un impacto en las restricciones de las imágenes compartidas. Muchas aplicaciones tienen un menú de almacenamiento de imágenes, que almacena los datos en un espacio externo para mantenerlos almacenados cuando se elimina la aplicación.

Ataque a canales oficiales y no oficiales

Además de encontrar un agujero de seguridad, Symantec también encontró una aplicación de Telegram falsa y WhatsApp en Google Play Store. La aplicación falsa de Telegram llamada MobonoGram se promovió como una versión mejorada de Telegram con características más completas.

Esta aplicación puede dirigir a los usuarios a sitios web maliciosos y fraudulentos. Además, esta aplicación puede hacer que el teléfono sea lento y agotar la batería.

También está Whatsgram, una aplicación de imitación para WhatsApp que tiene la misma amenaza que MobonoGram. De hecho, los desarrolladores son los mismos. Symantec dijo que había bloqueado 1.200 aplicaciones relacionadas con el desarrollador de enero a mayo.

leer más
Isaul CarballarHackers pueden modificar fácilmente tus archivos multimedia en WhatsApp, Telegram: Symantec
3.jpg

Malware oculto ‘TrickBot’ sigue fortaleciendo y comprometiendo más cuentas electrónicas

Con mucha facilidad podemos perder la cuenta de cuántos malware están operando en la actualidad, y es que día tras día salen infinidades de estos software maliciosos intentando dañar todo lo que quede en su paso. Uno de estos malware es TrickBot, que hasta el momento ha logrado comprometer la seguridad de más de 250 millones de cuentas de correo electrónico.

Se trata de un virus muy fuerte que no ha tenido ni la menor intensión de bajar su ritmo de ataque. Una variedad del malware conocido como TrickBot ha estado infectando una gran cantidad de usuarios desde el 2016. Y hoy en día sigue siendo extremadamente fuerte, de hecho, muchos expertos en ciberseguridad lo consideran la principal amenaza para las empresas en este momento. Los expertos creen incluso que TrickBot puede haber comprometido a más de 250 millones de cuentas de correo electrónico hasta el momento.

Los investigadores en DeepInstinct han estado siguiendo la actividad de TrickBot. En los últimos años, han visto evolucionar el malware y agregar nuevas capacidades que lo han hecho aún más peligroso. Una de esas adiciones es algo a lo que DeepInstinct se refiere como TrickBooster. Su trabajo: enviar correos electrónicos no deseados desde computadoras infectadas para aumentar la propagación de infecciones TrickBot.

En esencia, TrickBot es un troyano bancario. Normalmente, el malware se distribuye a través de correos electrónicos fraudulentos, como por ejemplo, currículos falsos enviados a recursos humanos o facturas enviadas al personal de cuentas. Esos archivos normalmente se adjuntan en forma de archivos de Microsoft Word o Excel.

TrickBot puede propagarse a través de una organización de diferentes maneras. Una forma es explotar las vulnerabilidades en SMB, un protocolo que permite a las computadoras con Windows compartir y acceder fácilmente a archivos y carpetas en otros sistemas en la misma red.

El malware que se propaga a través de SMB puede propagarse rápidamente en una organización donde las configuraciones de hardware y software tienden a ser bastante homogéneas. Esa uniformidad tiende a conducir a un gran número de computadoras que cuentan con las mismas vulnerabilidades, lo que hace mucho más fácil la propagación de malware como TrickBot.

Una segunda forma altamente efectiva de propagar la infección es enviando correos electrónicos desde direcciones confiables dentro de una organización, allí TrickBot aumenta las probabilidades de que una posible víctima abra uno de sus archivos adjuntos troyanos.

DeepInstinct logró echar un vistazo a una base de datos conectada a las operaciones de TrickBot. Los investigadores de la compañía descubrieron un tesoro de casi 250 millones de direcciones de correo electrónico que habían sido recogidas por TrickBot. De manera alarmante, DeepInstinct notó que esas direcciones no parecen provenir de violaciones previamente conocidas.

En la larga lista se encontraron, más de 25 millones de cuentas Gmail, 21 millones de Yahoo, y 11 millones de Hotmail. Otros 10 millones pertenecen a usuarios de AOL y MSN. Si bien esos seis servicios enfocados en el consumidor representan aproximadamente 70 millones del total de entradas en la base de datos, DeepInstinct también detectó decenas de direcciones pertenecientes a trabajadores del gobierno. A la fecha se desconoce el alcance total que está teniendo este malware, pero lo que sé se sabe es que está resultando ser indetenible.

leer más
Diarleth G.Malware oculto ‘TrickBot’ sigue fortaleciendo y comprometiendo más cuentas electrónicas