Phishing

All posts tagged Phishing

malspam.png

Olvídate de los archivos adjuntos, la mayoría del malspam estos días contiene una URL maliciosa

La nueva generación de MalSpam, en lugar de una serie de archivos adjuntos maliciosos, contiene solamente una gran cantidad de enlaces que son los que te llevan directamente a los enlaces que te descargarán estos archivos. En el siguiente post te damos los detalles.

El MalSpam se adapta

Según la telemetría recopilada por la firma de ciberseguridad Proofpoint, la mayoría de los correos no deseados (MalSpam) enviados en la primera mitad del año contienen enlaces a archivos maliciosos, en lugar de archivos adjuntos.

Más precisamente, el 85% de todos los malspam enviados en el segundo trimestre de 2019 (abril, mayo y junio) contenían un enlace a una descarga de archivos maliciosos, en lugar del archivo malicioso real adjunto al correo electrónico.

Si la mayoría del contenido de malspam enviado en estos días aprovecha los enlaces maliciosos, esto significa que los operadores obtienen más clics e infecciones en comparación con la técnica clásica de adjuntar archivos a correos electrónicos.

Si bien la razón del dominio continuo de las URL puede deberse a una variedad de factores, es probable que la mayoría de los usuarios finales hayan sido condicionados a sospechar de los archivos adjuntos en correos electrónicos no solicitados. Las URL, por otro lado, son cada vez más comunes en el correo electrónico comercial, ya que regularmente recibimos notificaciones de archivos compartidos y actualizaciones de colaboración por correo electrónico a medida que las organizaciones se trasladan a la nube“, dijo Proofpoint.

Los hallazgos de Proofpoint deberían tener repercusiones en todo el mercado de ciberseguridad. Las empresas que proporcionan capacitación contra el phishing deben ser las que tomen notas y adapten los cursos en consecuencia, centrándose en preparar a los empleados para esta tendencia reciente.

Sin embargo, la educación y capacitación de los empleados ayuda. Y es que un informe anterior de Proofpoint descubrió que el 99% de todos los ataques cibernéticos basados ​​en correo electrónico requieren interacción humana, es decir, que el objetivo abre archivos, hace clic en enlaces o realiza algún otro tipo de acción. Con un poco de capacitación, se puede enseñar a los empleados a reconocer y evitar ser víctimas de estos ataques. Otros hallazgos del Informe de amenazas Proofpoint Q2 2019, publicado a principios de este mes, incluyen:

  • El 57% de todos los MalSpam usan suplantación de dominio.
  • El malware basado en botnet fue la carga útil de malware más popular enviada a través de campañas de MalSpam, representando el 37% de todos los correos electrónicos.
  • El malware de botnet fue seguido por troyanos bancarios (23%), InfoStealers (16%), cargadores de malware (8%), troyanos de acceso remoto (6%) y troyanos backdoor (5%).
  • Como en los últimos trimestres, el ransomware estuvo prácticamente ausente en el segundo trimestre.
  • Ursnif representó el 80% de todas las cargas útiles de troyanos bancarios enviados por correo electrónico. Fue seguido por URLZone, The Trick y Dridex.
  • El ranking de InfoStealer tenía a Pony al frente, seguido de AZORult, Loki Bot y Formbook.

¿Qué es el MalSpam?

Ejemplo de phishing email.
Los enlaces ofuscan o modifican su destino.

MalSpam, o spam malicioso, es un método muy popular y efectivo para enviar correos electrónicos en masa que contengan archivos infectados o enlaces que redirigen a los usuarios a sitios web que contienen éstos kits de explotación.

Referencia: https://www.zdnet.com/article/most-malspam-contains-a-malicious-url-these-days-not-file-attachments/

leer más
Diarleth G.Olvídate de los archivos adjuntos, la mayoría del malspam estos días contiene una URL maliciosa
YouTube-hacked-1.png

23 millones de YouTubers en peligro tras hackeo ‘masivo’

YouTubers de alto perfil han sido blanco de cibercriminales durante el fin de semana en lo que parece haber sido un ataque altamente coordinado y “masivo”. La advertencia de seguridad fue hecha por Catalin Cimpanu, un reportero de ZDNet, que habló con un miembro de OGUsers, un foro de Internet con un historial de acceso comercial a cuentas hackeadas. Esto es lo que sabemos hasta ahora y lo que debes hacer para proteger tu propia cuenta de YouTube.

¿Qué cuentas de YouTube han sido hackeadas?

Según la investigación de ZDNet, muchas cuentas pertenecientes a conocidos YouTubers dentro de la comunidad automovilística han sido secuestradas. Sin embargo, parece que el ataque en sí se ha dirigido principalmente a “influencers” en muchos géneros de canales de YouTube. Entre los que acudieron a Twitter para quejarse de que sus cuentas de YouTube fueron hackeadas y se perdió el acceso a sus canales, se encontraban YouTubers que cubrían tecnología, música, juegos y Disney. Sin embargo, con más de 23 millones de canales de YouTube, cualquiera que cree contenido debería prestar atención a esta advertencia.

¿Cómo hackearon las cuentas de YouTube?

La investigación de Cimpanu apunta claramente hacia una campaña de phishing coordinada. Habiendo hablado con un miembro de un foro de Internet en el que se sabe que los secuestradores de cuentas en línea chatean, Cimpanu pudo determinar que probablemente se trataba de una campaña altamente dirigida, o “spear phishing“, en lugar de una operación de rociar y rezar. El miembro del foro le dijo a ZDNet que, como resultado, alguien había conseguido una “base de datos realmente buena” y que “estaban ganando mucho dinero“.

La metodología de ataque parecería ser nada fuera de lo común, la verdad sea dicha.

Los correos electrónicos se envían a las personas para que sean seleccionados desde la lista de influenciadores de YouTuber, atrayéndolos a una página de inicio de sesión falsa de Google. Esto se utiliza para recolectar sus credenciales de cuenta de Google que luego le dan acceso al atacante a las cuentas de YouTube. Luego se transfieren a un nuevo propietario y se cambia la URL personalizada. El propietario real de ese canal y aquellos que se suscriben a él se quedan pensando que la cuenta ha sido eliminada.

Según el informe de ZDNet, al menos algunas de las cuentas que fueron hackeadas con éxito habían estado utilizando autenticación de dos factores (2FA) para protección adicional. Esto sugiere que los atacantes estaban utilizando un kit de herramientas de proxy inverso, como el popular paquete de phishing Modlishka, para interceptar códigos 2FA enviados mediante SMS.

¿Cómo puedes proteger mejor tu cuenta de YouTube?

Me puse en contacto con James Houghton, CEO de la plataforma de capacitación de concientización de seguridad Phishing Tackle, quien dice que se trata de un “ataque extremadamente impresionante y coordinado, que potencialmente utiliza la intercepción basada en el hombre en el medio o el proxy inverso” para la captura en tiempo real de códigos de autenticación de dos factores. Todo esto suena muy sofisticado y de alta tecnología, pero “la vulnerabilidad aquí sigue siendo la humana“, dice Houghton, “este ataque se basa en un clic individual y después de un clic antes de verificar los conceptos básicos“. Houghton dice que el problema se debe principalmente a una “falta de conocimiento sobre qué buscar en un correo electrónico de phishing y, por el contrario, qué buscar en un correo electrónico legítimo“.

Estos correos electrónicos de phishing generalmente se construyen bien y “pueden parecer genuinos a primera vista, incluso para el ojo entrenado“, dice Jake Moore, especialista en ciberseguridad de ESET. “Señales reveladoras, como el enlace que se muestra en el cuerpo del correo electrónico o incluso cuestionar por qué lo han enviado en primer lugar, deberían ser suficientes para pausar sus acciones“, dice Moore.

Luego está la página de inicio de sesión de Google clonada en la que el enlace habría aterrizado. La URL de esta página reflejada no se “miró con suficiente vigilancia“, dice Houghton, ya que esto podría ofuscarse de alguna manera y no de la misma manera que la página original de la cuenta de Google. Solía ​​ser el caso de que la falta de un certificado HTTPS para un sitio, indicado por el candado verde o similar en la barra de direcciones del navegador, sería suficiente para hacer sonar las alarmas. Ese no es el caso ahora, y “la eliminación de la información de Validación Extendida (EV) en la barra de direcciones“, dice Houghton, hace que sea mucho más difícil de detectar. No, por supuesto, que un sitio con un certificado SSL sea una garantía de validez; solo significa que el propietario del sitio ha protegido el canal de comunicaciones entre el navegador y el sitio web, nada más.

A pesar de que 2FA aparentemente ha sido burlado por al menos algunos de estos ataques a la cuenta de YouTube; Jake Moore dice que aún es esencial que “todas las cuentas que poseas utilicen 2FA“. Sin embargo, esto debería “idealmente ser una aplicación de autenticación en lugar de un código enviado por SMS“, dice Moore

“No hemos visto evidencia de un aumento en los intentos de piratería durante el fin de semana. Nos tomamos muy en serio la seguridad de las cuentas y notificamos regularmente a los usuarios cuando detectamos actividades sospechosas. Alentamos a los usuarios a habilitar la autenticación de dos factores como parte de la verificación de seguridad de la cuenta de Google, lo que disminuye el riesgo de hackeo. Si un usuario tiene razones para creer que su cuenta se vio comprometida, puede notificar a nuestro equipo para asegurar la cuenta y recuperar el control. “

Un portavoz de YouTube.

Este artículo es una transcripción de: https://www.forbes.com/sites/daveywinder/2019/09/23/youtube-security-warning-issued-for-23-million-creators-as-massive-hack-attack-confirmed/#54ffe8926b4f

leer más
Editorial23 millones de YouTubers en peligro tras hackeo ‘masivo’
iPhone-hack.jpg

El mayor hackeo del iPhone de la historia

Hackear el iPhone ha sido considerado durante mucho tiempo una hazaña casi imposible, llevado a cabo por sofisticados estados nacionales solo contra objetivos de mayor valor. Pero un descubrimiento realizado por un grupo de investigadores de Google ha volcado esa idea sobre su cabeza.

Durante dos años por lo menos, alguien ha estado utilizando una rica colección de vulnerabilidades del iPhone de forma vasta y por demás convencional. Han logrado hackear indiscriminadamente miles de iPhones con solo lograr que visiten un sitio web.

El jueves por la noche, el equipo de investigación de seguridad del Project Zero de Google reveló una amplia campaña de piratería de iPhone. Un puñado de sitios web accesibles al público contenía cinco cadenas de exploits, herramientas que vinculan las vulnerabilidades de seguridad, permitiendo que un hacker penetre en cada capa de las protecciones digitales del iOS. Las raras e intrincadas cadenas de código explotaron un total de 14 fallas de seguridad, dirigidas a todo, desde el mecanismo de aislamiento “sandbox” del navegador hasta el núcleo del sistema operativo conocido como Core, finalmente obteniendo el control completo sobre el teléfono.

También se usaron cualquier cosa menos con moderación. Los investigadores de Google dicen que los sitios maliciosos fueron programados para evaluar los dispositivos que los cargaron y, de ser posible, comprometerlos con un poderoso malware de monitoreo. Casi todas las versiones de iOS 10 a iOS 12 eran potencialmente vulnerables. Los sitios estaban activos desde al menos 2017 y tenían miles de visitantes por semana.

Esto es aterrador“, dice Thomas Reed, especialista en investigación de malware para Mac y dispositivos móviles en la firma de seguridad Malwarebytes. “Estamos acostumbrados a que las infecciones de iPhone sean ataques dirigidos por adversarios del tipo estado-nación. La idea de que alguien estaba infectando todos los iPhones que visitaron ciertos sitios web es escalofriante“.

Un nuevo paradigma

El ataque es notable no solo por su amplitud, sino por la profundidad de la información que podría obtener de un iPhone hackeado. Una vez instalado, podría monitorear los datos de ubicación en vivo, o usarse para tomar fotos, contactos e incluso contraseñas y otra información confidencial del llavero iOS.

Con un acceso tan profundo al sistema, los atacantes también podrían potencialmente leer o escuchar las comunicaciones enviadas a través de servicios de mensajes cifrados, como WhatsApp, iMessage o Signal. El malware no rompe el cifrado subyacente, pero estos programas aún descifran datos en los dispositivos del remitente y del receptor. Los atacantes pueden incluso haber tomado tokens de acceso que se pueden usar para iniciar sesión en servicios como redes sociales y cuentas de comunicación. Reed dice que los usuarios de iPhone víctimas probablemente no hubieran tenido indicios de que sus dispositivos estuvieran infectados.

Google no ha nombrado los sitios web que sirvieron como mecanismo de infección de “pozo de agua”, ni ha compartido otros detalles sobre los atacantes o quiénes fueron sus víctimas. Google dice que alertó a Apple sobre sus vulnerabilidades día cero de iOS el 1 de febrero, y Apple las parchó en iOS 12.1.4, lanzado el 7 de febrero. Apple se negó a comentar sobre los hallazgos. Pero según la información que Project Zero ha compartido, la operación es casi seguramente el mayor incidente de piratería de iPhone conocido de todos los tiempos.