Tag Ciberseguridad

Las estafas de préstamos personales se aprovechan de la vulnerabilidad financiera y pueden llegar a atraparte en un círculo vicioso de deudas. ESET, compañía líder en detección proactiva de amenazas, explica cómo evitar este tipo de estafa.

Ecuador ­– Desde la pandemia, los tiempos han sido difíciles económicamente, afectando personas de todo el mundo. Las perturbaciones climáticas, las subidas de los precios de los alimentos y la energía y la persistente inflación en otros lugares han reducido el gasto de los hogares y ejercido presión sobre las familias. Los ciberdelincuentes están a la espera para ver cómo pueden sacar provecho de la desgracia ajena y últimamente se identificaron fraudes vinculados a la temática de préstamos.

“El fraude en los préstamos puede adoptar varias formas, pero en el fondo utiliza el señuelo de los préstamos sin condiciones para engañar a internautas vulnerables. Quienes corren mayor riesgo son los jóvenes, las personas mayores, los hogares con bajos ingresos y las personas con baja solvencia ya que los estafadores saben que estos grupos son los más afectados por la crisis del costo de la vida y desarrollaron diversas estrategias para engañarlos y hacerles entregar su dinero. Además, puede ser especialmente común en determinadas épocas del año, por ejemplo, la Autoridad de Conducta Financiera (FCA), alertó en diciembre sobre el aumento de los fraudes relacionados con comisiones de préstamos, ya que el 29% de las madres y padres británicos han pedido dinero prestado, o tienen intención de hacerlo, en vísperas de Navidad.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Las principales amenazas de fraude en los préstamos, según ESET, son:

1. Fraude de comisiones de préstamo (comisiones por adelantado): Probablemente el tipo más común de fraude de préstamos, suele implicar a un estafador que se hace pasar por un prestamista legítimo. Afirmarán que ofrecen un préstamo sin condiciones, pero le pedirán que pague una pequeña cantidad por adelantado para acceder al dinero. A continuación, los estafadores desaparecen con el dinero. Pueden decir que la comisión es un “seguro”, una “comisión administrativa” o incluso un “depósito”, o que se debe a que la víctima tiene una mala calificación crediticia. Normalmente, el estafador dirá que es reembolsable. Sin embargo, a menudo pedirá que se pague en criptomoneda, a través de un servicio de transferencia de dinero o incluso como un cheque regalo. De este modo, será prácticamente imposible recuperar los fondos perdidos.

From where did you get my Whatsapp no. Who gave you the consent to send me loan scam message ? @DigitMoneyIndia pic.twitter.com/Be45Sm0Rx6

— Debasis (@KindXeeker) February 26, 2024

2. Fraude de préstamos estudiantiles: Estas estafas también incluyen condiciones de préstamo tentadoras o incluso la condonación de la deuda, asistencia falsa para el reembolso del préstamo, promesas fraudulentas de reducir los pagos mensuales, consolidar varios préstamos estudiantiles en un “paquete” más manejable o negociar con los prestamistas en nombre de los prestatarios, a cambio de comisiones por adelantado por estos “servicios”. A menudo se engaña a personas desprevenidas para que faciliten su información personal y financiera, que los estafadores utilizan después con fines fraudulentos o de usurpación de identidad.

3. Fraude “phishing” de préstamos: Algunas estafas pueden consistir en que el estafador le pida que rellene un formulario en línea antes de poder “tramitar” el préstamo, pero al hacerlo entregará sus datos personales y financieros directamente a los ciberdelincuentes para que los utilicen en un fraude de identidad más grave. Este tipo de estafa puede combinarse con la de los anticipos, con la consiguiente pérdida de dinero y de datos personales y bancarios confidenciales.

4. Aplicaciones de préstamos maliciosas: En los últimos años, ESET ha observado un aumento preocupante de aplicaciones maliciosas para Android disfrazadas de aplicaciones de préstamos legítimas. A principios de 2022, notificó a Google por 20 de estas aplicaciones fraudulentas que habían superado los nueve millones de descargas colectivas en la tienda oficial Play Store. Las detecciones de aplicaciones “SpyLoan” aumentaron un 90% entre el segundo semestre de 2022 y el primero de 2023. Y en 2023, ESET encontró otras 18 apps maliciosas con 12 millones de descargas.

Aplicaciones fraudulentas de préstamos

Las aplicaciones SpyLoan atraen a las víctimas con la promesa de préstamos fáciles a través de mensajes SMS y en redes sociales como X (antes Twitter), Facebook y YouTube. A menudo imitan la marca de empresas reconocidas de préstamos y servicios financieros en un intento de dar legitimidad a la estafa. Al descargar una de estas aplicaciones, se solicita confirmar un número de teléfono y facilitar abundante información personal. Esto podría incluir la dirección, información sobre cuentas bancarias y fotos de carnés de identidad, así como una fotografía selfie, todo lo cual puede utilizarse para el fraude de identidad. Incluso si no se solicita un préstamo (que en cualquier caso será rechazado), los desarrolladores de la aplicación pueden empezar a acosar y chantajear al usuario para que le entregue dinero, amenazándolo incluso con hacerle daño físico.

5. Estafas de préstamos de día de pago: Estos estafadores se dirigen a personas que necesitan dinero rápido, a menudo personas con problemas de crédito o dificultades financieras. Al igual que en las otras variantes, prometen una aprobación rápida y fácil del préstamo con una documentación mínima y sin comprobar el crédito, aprovechándose de la urgencia de la situación financiera del prestatario. Para solicitar el préstamo, el estafador suele pedir que se facilite información personal y financiera confidencial, como su número de la seguridad social, datos de cuentas bancarias y contraseñas, utilizándola para el robo de identidad y el fraude financiero.

6. Fraude en el reembolso de préstamos: Algunas estafas requieren más trabajo de reconocimiento previo por parte de los delincuentes. En esta versión, se dirigen a víctimas que ya han solicitado un préstamo. Suplantando a la compañía de préstamos, le enviarán una carta, mensaje o un correo electrónico alegando que ha incumplido un plazo de devolución y exigiéndole el pago más una penalización.

7. Suplantación de identidad: Un método ligeramente distinto consiste en robar datos personales y financieros mediante, por ejemplo, un ataque de phishing. Luego utilizarlos para pedir un préstamo en nombre de la víctima: el estafador pedirá el máximo del préstamo y desaparecerá, dejando al usuario con las manos vacías y el pago pendiente.

Para protegerse del fraude en los préstamos, ESET recomienda prestar atención a las siguientes señales de alarma:

• Aprobación garantizada de un préstamo
• Solicitud de una comisión por adelantado
• Contacto no solicitado de la empresa de préstamos
• Tácticas de presión y sensación de urgencia, que son un truco sumamente popular entre los estafadores de diversos tipos
• La dirección de correo electrónico del remitente o dominio del sitio web no coincide con el nombre de la empresa

Tener en cuenta también las siguientes medidas de precaución:

• Investigar la empresa que dice ofrecer el préstamo.
• Nunca pagar una comisión por adelantado a menos que la empresa envíe una notificación oficial en la que se expongan las condiciones del préstamo y los motivos del recargo (que deberá aceptar por escrito).
• Utilizar siempre antimalware en computadoras, laptops, tabletas electrónicas y autenticación multifactor (MFA) para reducir las posibilidades de robo de datos.
• No responder directamente a correos electrónicos no solicitados.
• No compartir demasiado en Internet: los estafadores pueden estar rastreando las redes sociales en busca de oportunidades para aprovecharse de la situación financiera de los usuarios.
• Descargar únicamente aplicaciones de las tiendas oficiales de Google/Apple.
• Asegurarse de que el dispositivo móvil está protegido con software de seguridad de un proveedor de confianza.
• No descargar aplicaciones que pidan demasiados permisos.
• Leer las opiniones de los usuarios antes de descargar cualquier aplicación.
• Denunciar las sospechas de estafa a las autoridades.

“Mientras haya personas que necesiten financiación, el fraude en los préstamos será una amenaza. Si te mantienes escéptico en Internet y conoces las tácticas de los estafadores, podrás tomar las medidas de protección necesarias para mantenerte alejado de sus garras.”, concluye Gutiérrez Amaya de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador

ECUADOR­, Una de las primeras líneas de defensa contra las invasiones de la privacidad y el robo de identidad es una contraseña fuerte y segura. Con la creciente digitalización de nuestras vidas, la seguridad es una preocupación creciente.

A la hora de crear una contraseña fuerte, es fundamental tener en cuenta varios aspectos que aumentan su resistencia a los ciberataques. Estos son algunos puntos clave que comparte ESET:

• Longitud: La longitud de una contraseña es un factor clave en su seguridad. Las contraseñas más largas proporcionan una barrera que es más difícil de penetrar para los ataques de fuerza bruta, en la que los piratas informáticos intentan todas las combinaciones posibles para obtener acceso a una cuenta. Se recomienda que las contraseñas tengan al menos 12 caracteres, pero cuanto más largas, mejor. Una contraseña con 20 caracteres o más es aún más segura.
• Complejidad: Además de la longitud, la complejidad de las contraseñas juega un papel crucial en su seguridad. Una contraseña segura debe incluir una variedad de caracteres, como letras mayúsculas y minúsculas, números y símbolos especiales como @, #, $, %, y más. La inclusión de estos elementos aumenta exponencialmente el número de combinaciones posibles, haciendo que la contraseña sea mucho más difícil de descifrar.
• Aleatoriedad: Evitar patrones predecibles o secuencias obvias. Las contraseñas que consisten en palabras comunes, nombres de personas, fechas de nacimiento o cadenas como «123456» o «qwerty» son extremadamente vulnerables a los ataques. Opta por contraseñas generadas aleatoriamente o crea tus propias combinaciones que no tengan nada que ver con la información personal.
• Diversidad: Es tentador usar la misma contraseña para varias cuentas, después de todo, es más fácil de recordar. Sin embargo, esta práctica es muy arriesgada. Si una contraseña se ve comprometida en una cuenta, todas las demás cuentas que comparten esa contraseña son vulnerables. Por lo tanto, debes utilizar contraseñas diferentes para cada cuenta en línea que tengas.

Tener en cuenta estos principios fortalecerá significativamente la seguridad de tus cuentas en línea, reducirá los riesgos de vulneraciones, y protegerá tu información personal. Un administrador de contraseñas puede ayudar a manejar de forma segura varias contraseñas sin necesidad de memorizarlas. Estas herramientas le permiten almacenar de forma segura varias contraseñas. Además, muchos administradores de contraseñas ofrecen funciones para generarlas automáticamente, lo que elimina la necesidad de crearlas manualmente.

¿Cómo agregarles seguridad a tus cuentas?

Además de crear contraseñas seguras, hay una serie de pasos adicionales que puede tomar para fortalecer la seguridad y proteger su información personal, como la autenticación de dos factores (2FA). La autenticación de dos factores es una capa adicional de seguridad que requiere no solo la contraseña, sino también un segundo método de verificación, como un código enviado a su teléfono móvil o generado por una aplicación de autenticación. Al habilitar 2FA es más difícil el acceso no autorizado, incluso si la contraseña se ve comprometida.

“Mantener actualizadas las contraseñas también hace a la seguridad. Es importante no solo crear contraseñas seguras, sino también actualizarlas regularmente. Esto es especialmente importante si sospechas que tus cuentas pueden haber sido comprometidas. Al cambiarlas periódicamente, reduces el tiempo de exposición en caso de una brecha de seguridad.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica. “En un mundo donde la seguridad en línea es una prioridad absoluta, tomar estas medidas adicionales de protección es esencial para garantizar la seguridad de tus cuentas e información personal. Al seguir estas pautas y mejores prácticas, puede navegar por Internet con más confianza, sabiendo que tus cuentas en línea están protegidas de las amenazas cibernéticas.”, concluye el investigador.

Fuente: Departamento de Comunicación ESET Ecuador.

En el Día Internacional de la Mujer, te invitamos a reflexionar sobre la representación femenina en el ámbito de la ciberseguridad, repasando qué avances hubo y qué retos enfrentamos en el camino hacia la equidad de género.

Nuestros colegas realizaron un estudio en el que, entre otras cosas, evaluaron cómo la educación en el campo de la seguridad de la información se relaciona con una carrera en ese campo.

El mercado laboral ha experimentado durante mucho tiempo una escasez de expertos en ciberseguridad. A menudo, las empresas que necesitan especialistas en seguridad de la información no pueden encontrar ninguno, al menos, aquellos que tengan la educación formal especializada y la experiencia necesaria. Para comprender lo importante que es para una empresa contar con especialistas con educación formal en esta área y qué tan bien dicha educación satisface las necesidades modernas, nuestros colegas realizaron un estudio en el que entrevistaron a más de mil empleados de 29 países en diferentes regiones del mundo. Entre los encuestados se encontraban especialistas de varios niveles: desde principiantes con dos años de experiencia, hasta directores de Tecnología de la Información (CIO) y gerentes de Centros de Operaciones de Seguridad (SOC) con 10 años de experiencia. Y, a juzgar por las respuestas de los encuestados, parece que la educación clásica no se mantiene al día con las tendencias de la seguridad de la información.

En primer lugar, los resultados de la encuesta indicaron que no todos los especialistas tienen una educación superior: más de la mitad (53 %) de los trabajadores de la seguridad de la información no tienen educación de posgrado. Y, en lo que respecta a los que sí la tienen, uno de cada dos trabajadores duda de que su educación formal realmente les ayude a realizar sus tareas laborales.

La ciberseguridad es una industria que cambia rápidamente. El panorama de amenazas está cambiando tan rápido que incluso un retraso de un par de meses puede ser crítico, mientras que la obtención de un título académico puede llevar de cuatro a cinco años. Durante este tiempo, los atacantes pueden modernizar sus tácticas y métodos de tal manera que un “especialista” graduado en seguridad de la información tendría que leer rápidamente todos los artículos más recientes sobre amenazas y métodos de defensa en caso de un ataque real.

Los especialistas en seguridad de la información con experiencia en la vida real sostienen que las instituciones educativas, en cualquier caso, no proporcionan suficientes conocimientos prácticos y no tienen acceso a tecnologías y equipos modernos. Por lo tanto, para trabajar en el campo de la seguridad de la información y luchar contra las ciberamenazas reales, de todos modos se requiere cierta educación adicional.

Todo esto, por supuesto, no significa que los profesionales de la ciberseguridad con educación superior sean menos competentes que sus colegas sin ella. En última instancia, la pasión y la capacidad de mejorar continuamente son de suma importancia en el desarrollo profesional. Muchos encuestados señalaron que recibieron más conocimientos teóricos que prácticos en las instituciones educativas tradicionales, pero sintieron que la educación formal seguía siendo útil ya que, sin una base teórica sólida, la incorporación de nuevos conocimientos progresaría más lentamente. Por otro lado, los especialistas que no tienen ninguna educación de posgrado, o que llegaron a la seguridad de la información desde otra industria de la tecnología de la información, también pueden convertirse en especialistas efectivos en la protección contra las ciberamenazas. Realmente todo depende de la persona.

Cómo mejorar la situación del mercado

Para que el mercado atraiga a un número suficiente de expertos en seguridad de la información, la situación debe ser equilibrada para ambas partes. Primero, tiene sentido que las universidades consideren asociarse con Kaspersky Academy Alliance empresas de ciberseguridad. Esto les permitiría proporcionar a los estudiantes conocimientos más aplicables en la práctica. Y, en segundo lugar, es una buena idea que las empresas desarrollen periódicamente la experiencia de sus empleados con la ayuda de cursos educativos especializados.

Fuente: latam.kaspersky.com

El aumento de la responsabilidad y la carga de trabajo de Chief Information Security Officers hacen temblar las estrategias de ciberdefensa de una organización.

La presión creciente sobre los CISO está afectando la ciberseguridad corporativa.

Conoce esta táctica que dificulta la comprensión de código fuente a personas no autorizadas, o malintencionadas, y fortalece la protección de sistemas sensibles.

Las técnicas de ofuscación de código han existido durante décadas, y han evolucionado a medida que la programación y la seguridad informática avanzaron. Su origen se remonta a los primeros días de la programación.

Entre los años 80 y 90, el desarrollo de software comercial y la necesidad de proteger la propiedad intelectual y los algoritmos subyacentes, popularizó estas técnicas de ofuscación en lenguajes como C y lenguaje ensamblador con el fin de dificultar la ingeniería inversa y la comprensión del código fuente por parte de terceros. 

Con el auge de Internet y la distribución de software, estas técnicas se convirtieron en una herramienta común para proteger aplicaciones, especialmente en el ámbito de la seguridad informática y el desarrollo de software propietario.

Aunque la ofuscación de código no proporciona una protección absoluta contra la ingeniería inversa, sí dificulta el análisis y la comprensión del código por parte de personas no autorizadas y desempeña un papel crucial al proporcionar una capa adicional de protección contra intentos maliciosos de explotar vulnerabilidades en el software.

Además, puede desalentar a los piratas informáticos y a competidores deshonestos en sus intentos de copiar o modificar el software protegido.

Como contrapartida, los ciberatacantes utilizan también estas técnicas para robustecer el desarrollo de sus códigos, lo que desafía a los analistas de malware a la hora de examinar código y comprender su funcionamiento.

¿Qué es la Ofuscación de Código?

La ofuscación de código consiste en transformar el código fuente de un programa en una forma más compleja y difícil de comprender, sin alterar su funcionalidad. El objetivo es dificultar la ingeniería inversa y desalentar a los actores malintencionados que buscan descifrar y comprometer el sistema. Hace que sea mucho más difícil para un atacante comprender su lógica y estructura interna.

En el ámbito de la seguridad de aplicaciones, las Metodologías de Desarrollo Seguro de Software deben contemplar distintas técnicas de análisis de seguridad y el análisis estático del código fuente, y una vez fixeados los errores detectados agregar capas de seguridad, entre otras técnicas utilizadas en esta línea sen encuentra la ofuscación al código.

Ejemplos de Técnicas de Ofuscación de Código

1. Ofuscación de Nombres de Variables y Funciones

Una de las técnicas más comunes de ofuscación de código implica cambiar los nombres de variables y funciones a formas crípticas o poco descriptivas, de manera que sigan siendo funcioanles pero resulten difíciles de entender para quien lea el código. Por ejemplo, un nombre de variable «contraseña» podría ofuscarse como «a1b2c3d4» para complicar la comprensión del código.

Veamos un ejemplo sencillo a continuación:

Supongamos que tenemos el siguiente código en C sin ofuscar:

Ahora, apliquemos ofuscación cambiando nombres de variables y funciones:

En este ejemplo, los nombres de las variables y la función suma fueron cambiados a nombres genéricos.

La idea es cambiar los nombres de variables, funciones y otros identificadores a nombres más difíciles de entender, como usar nombres aleatorios o sin significado haciendo que sea más difícil para alguien que lee el código entender su propósito sin un análisis más profundo.

Siempre debemos recordemos que la ofuscación no cambia la lógica del programa, solo dificulta la comprensión del mismo.

2. Reordenamiento de Código

Implica cambiar la estructura, sin modificar su funcionalidad. Se trata de cambiar el orden de instrucciones o bloques de código sin alterar la lógica del programa para dificultar la lectura secuencial.

Veamos un ejemplo básico de cómo se podría ofuscar un programa simple en C mediante el reordenamiento de código:

Ahora, aplicando una técnica de reordenamiento, se podría alterar el orden de las líneas y cambiar el flujo del programa mientras se mantiene la misma funcionalidad:

En este ejemplo, se ha cambiado el orden de la declaración de variables y la impresión del resultado, lo que dificulta la lectura y comprensión del flujo del programa.

3. Inserción de código inútil

La inserción de código inútil es una técnica de ofuscación que añade líneas de código sin funcionalidad real, redundantes o sin sentido lógico, y por supuesto complica la comprensión del programa sin alterar su lógica.

Supongamos que tenemos un programa simple en C que calcula el cuadrado de un número ingresado por el usuario:

Para ofuscar este código utilizando la técnica de inserción de código inútil, agregando líneas adicionales que no afecten la lógica del programa:

En este ejemplo, hemos agregado variables y operaciones que no tienen ningún impacto en la lógica del programa.

Estas líneas extras no alteran el cálculo del cuadrado del número ingresado, pero sin dudas hacen que el código sea más difícil de entender para alguien que lo esté revisando.

Una técnica similar es la de inserción de código falso, en la que podemos insertar fragmentos de código falso o sin sentido en el programa para dificultar aún más la comprensión de su lógica. Con esto se logra confundir a los posibles atacantes y llevarlos a realizar suposiciones incorrectas sobre el funcionamiento real del software.

Supongamos que tenemos un programa que simplemente calcula la suma de dos números ingresados por el usuario:

Ahora, podemos aplicar la técnica de inserción de código falso añadiendo líneas adicionales que no alteren el funcionamiento del programa:

En este ejemplo, hemos agregado un bloque de código que define una variable fakeVar, calcula un resultado falso fakeResult basado en esa variable y muestra estos valores por pantalla. Estas líneas no afectan la funcionalidad del programa original, pero pueden confundir a alguien que esté intentando entender el propósito de esas variables ficticias.

4. Transformación de Estructuras de Control

Esta técnica de ofuscación de código consiste en cambiar la forma en que se organizan y presentan las instrucciones del código, modificando la estructura de las sentencias de control para hacer que el flujo del programa sea menos predecible y dificultar la comprensión de los flujos de ejecución y la lógica subyacente del software.

Veamos un ejemplo simple en C donde se aplica esta técnica:

Para ofuscar este código utilizando la técnica de transformación de estructuras de control, podríamos reescribir las condiciones utilizando operadores ternarios y cambiar el flujo lógico para hacerlo menos evidente:

En este ejemplo, la función funcionPrincipal se reescribe para utilizar un operador ternario en lugar de la estructura if-else. Esto hace que el código sea más compacto y menos legible a primera vista. Sin embargo, debemos tener en cuenta que la ofuscación puede dificultar la comprensión del código para otros desarrolladores, por lo que se debe usar con precaución, especialmente en entornos donde la legibilidad y el mantenimiento del código son importantes.

5. Cifrado y codificación

Veamos un ejemplo básico de cómo podríamos aplicar ofuscación a un programa en C usando técnicas de cifrado y codificación. Usaremos una combinación de cifrado XOR y codificación en base64:

Esta es solo una demostración básica y la seguridad que proporciona este tipo de ofuscación es limitada. En entornos reales, puede ser más compleja y el código puede ser revertido con esfuerzo suficiente.

Además, para aplicaciones de seguridad, es preferible utilizar métodos estándar y robustos en lugar de crear soluciones de seguridad caseras.

6. Sustitución de constantes por expresiones equivalentes

La técnica de sustitución de constantes por expresiones equivalentes es una forma de complicar el código reemplazando valores directos por expresiones más complejas que resulten en el mismo valor. Veamos un ejemplo sencillo en C:

Supongamos que tenemos un programa con una constante:

Para ofuscar el código usando la técnica de sustitución de constantes por expresiones equivalentes, podríamos reemplazar la constante 5 por una expresión equivalente, como (15 – 10), manteniendo la misma lógica del programa, pero dificultando la lectura directa del valor:

Esta modificación hace que el programa calcule el mismo resultado (50 en este caso), pero alguien que lea el código tendrá que deducir la relación entre 15 y 10 para entender que representa el mismo valor que la constante 5 en el contexto del cálculo.

7. Eliminación de información redundante

La técnica de eliminación de información redundante puede ser empleada para hacer el código más críptico.

Veamos un ejemplo simple en C, suponiendo que tienes una función simple que suma dos números:

Ahora, utilizando la técnica de eliminación de información redundante, podemos ofuscar el código así:

En este ejemplo, hemos reemplazado palabras clave como int, return, printf, main, etc., con letras únicas o abreviaciones utilizando #define.

Además, modificamos la estructura del código para hacerlo menos legible, y en este punto es importante tener en cuenta que la ofuscación excesiva puede hacer que el mantenimiento del código sea extremadamente difícil, por lo que se debe usar con precaución y siempre documentar de manera clara el propósito y funcionamiento del código.

8. Manipulación de estructuras de datos

La manipulación de estructuras de datos es una técnica común para ofuscar el código. Veamos un ejemplo simple en C que utiliza esta técnica para ofuscar una cadena de texto:

En este ejemplo, la función ofuscar toma una cadena y realiza una manipulación simple de los datos invirtiendo los caracteres. El mensaje original se pasa a esta función para ser ofuscado. Al ejecutar el programa, se verá cómo el mensaje se invierte logrando la ofuscación deseada.,

Las técnicas que describimos aquí son solo algunas de las existentes ya que hay muchas otras técnicas más avanzadas para ofuscar código, como el uso de punteros complicados, renombrado de variables de forma aleatoria, entre otros métodos, que pueden dificultar aún más la comprensión del código.

Más allá de que tu puedes desarrollar tus propios ofuscadores, existe software especializado para lograr tareas de ofuscación personalizables tales como, Proguard, Dotfuscator , FLOSSfuscator , o C++ Obfuscator, por supuesto cual será la mas apropiada dependerá del tipo de software y lenguaje que estes desarrollando.

La ofuscación de Código del lado de los atacantes

Las técnicas de ofuscación sirven como una capa protectora ante el reversing de código fuente, y debemos utilizarlas a la hora de codear nuestro software, pero también los ciberatacantes hacen uso de ellas para no ser detectados y poder infiltrarse en las profundidades de los sistemas víctimas.

Una parte de los cibertacantes se dedican al desarrollo de malware, y por supuesto cuando los analistas quieren examinar una muestra de algún tipo de malware se encuentran con complejas capas de ofuscación. Eso vuelve su trabajo desafiante ya que deben ser expertos en técnicas de reversing; hay códigos maliciosos que están quirúrgicamente diseñados y cuentan en algunos casos con la capacidad de descargar nuevos códigos de distintos repositorios y usar técnicas para pasar desapercibidos por los sistemas de seguridad y los usuarios finales.

En el siguiente ejemplo, que está basado en la campaña Operación Pulpo Rojo: malware dirigido a organismos de alto perfil de Ecuador , se observa que en caso de que el archivo malicioso descargado esté corriendo con privilegios elevados, procede a desofuscar un comando que va a ser ejecutado por medio de la función system de las APIs de Windows. Este comando invoca al interprete PowerShell para ejecutar un código malicioso que está codificado en base64.

Tanto los comandos como muchas cadenas de caracteres que son utilizadas por el archivo malicioso se encuentran ofuscados a través de distintos algoritmos implementados por los cibercriminales. La gran mayoría de estos algoritmos se basan en hacer uso del operador lógico XOR con diferentes claves para cada comando y/o cadenas de caracteres.

En la siguiente captura de pantalla, se puede ver cómo es la rutina utilizada para des ofuscar un comando que luego va a ser ejecutado por medio de la llamada a la función system.

Ejemplo de un comando ofuscado donde se le aplica un algoritmo para desofuscarlo y luego ejecutarlo con la función system

Ejemplo de una cadena de caracteres ofuscada que utiliza el operador lógico XOR con múltiples claves para des ofuscar su contenido.

Como pudimos observar el código se encuentra ofuscado, luego se des ofusca y se ejecuta., Y en esta línea es que el analista, debe optar por analizarlo de forma dinámica o estática para poder deducir este funcionamiento.

Conclusiones

Sin dudas la ofuscación de código se ha convertido en una táctica vital para fortalecer la seguridad del software y proteger la propiedad intelectual, y la integridad, confidencialidad, y disponibilidad de los datos en el mundo digital.

Aunque no es una medida infalible, su implementación puede disuadir a los atacantes y dificultar sus esfuerzos para comprometer sistemas informáticos sensibles. La comprensión y aplicación adecuadas de las técnicas de ofuscación de código son esenciales para mantener la integridad y la seguridad de los sistemas.

Fuente: www.welivesecurity.com

En un mundo cada vez más digitalizado, la ciberseguridad se ha convertido en una prioridad crucial para las empresas. Para evaluar y fortalecer la postura de seguridad, es esencial utilizar métricas clave y KPI (Indicadores Clave de Desempeño).

En este artículo, exploraremos algunas de las métricas más relevantes que las empresas deben seguir para gestionar de manera efectiva su seguridad digital.

1. Tasa de Detección de Amenazas:

• Definición: Porcentaje de amenazas detectadas con éxito en comparación con el total de amenazas.
• Importancia: Mide la eficacia de los controles de seguridad y la capacidad de detectar amenazas antes de que causen daño.

2. Tiempo Medio de Detección (MTTD):

• Definición: El tiempo promedio que tarda una organización en detectar una amenaza desde su inicio.
• Importancia: Cuanto menor sea el MTTD, más rápido se puede responder a las amenazas, reduciendo el impacto potencial.

3. Tiempo Medio de Respuesta (MTTR):

• Definición: El tiempo promedio necesario para contener y eliminar una amenaza una vez detectada.
• Importancia: Un MTTR bajo indica una respuesta rápida y eficiente a las amenazas, minimizando el tiempo de exposición.

4. Porcentaje de Cumplimiento de Políticas de Seguridad:

• Definición: Proporción de cumplimiento de las políticas de seguridad establecidas.
• Importancia: Evalúa la conformidad con las políticas internas y regulaciones externas, reduciendo el riesgo de infracciones.

5. Niveles de Acceso No Autorizado:

• Definición: Frecuencia de intentos o casos de acceso no autorizado.
• Importancia: Mide la efectividad de los controles de acceso y la resistencia a intrusiones no autorizadas.

6. Niveles de Phishing Exitosos:

• Definición: Porcentaje de intentos de phishing que los empleados han ejecutado exitosamente.
• Importancia: Evalúa la conciencia y la preparación de los empleados frente a ataques de phishing.

7. Número de Incidentes de Seguridad:

• Definición: Cantidad total de incidentes de seguridad reportados.
• Importancia: Proporciona una visión general de la frecuencia y la diversidad de las amenazas enfrentadas.

8. Eficiencia del Sistema de Gestión de Incidentes (SIEM):

• Definición: Capacidad del SIEM para detectar, responder y recuperarse de incidentes.
• Importancia: Mide la capacidad del sistema para gestionar y responder eficazmente a eventos de seguridad.

9. Niveles de Actualización y Parcheo:

• Definición: Porcentaje de sistemas actualizados y parcheados en comparación con el total.
• Importancia: Un alto nivel indica una menor superficie de ataque, reduciendo las vulnerabilidades.

10. Evaluación de la Conciencia de Seguridad:

• Definición: Resultados de evaluaciones de conciencia de seguridad entre los empleados.
• Importancia: Mide la preparación de los empleados y su comprensión de las mejores prácticas de seguridad.

La ciberseguridad no es solo un desafío técnico, sino también una cuestión de gestión y conciencia organizativa. Al seguir y analizar meticulosamente estas métricas clave y KPI, las empresas pueden mejorar su capacidad para prevenir, detectar y responder a amenazas cibernéticas. Una estrategia de ciberseguridad efectiva se basa en la comprensión y el seguimiento constante de estos indicadores para proteger de manera proactiva los activos digitales y la reputación de la organización.

Fuente: www.somoslibres.org

La Política Nacional de Ciberseguridad 2023-2028 entró en vigencia como medida para robustecer la ciberseguridad en el país y abordar los desafíos actuales en seguridad de la información.

Desde el Laboratorio de ESET Latinoamérica analizamos las tendencias en ciberseguridad que consideramos que tendrán impacto en el escenario de la región en 2024, un año que será desafiante para la seguridad informática.

ESET, compañía de seguridad informática, advierte sobre aquellas señales de alerta para cuidar los datos personales y cuentas bancarias.

Ecuador – Se destaca que a medida que el trabajo remoto es cada vez más común, las líneas entre ser un usuario hogareño y uno corporativo se hacen difusas y los riesgos de compromiso nunca han sido tan agudos. Según Verizon, tres cuartas partes (74%) de todas las violaciones de acceso globales del año pasado incluyen el «elemento humano», que en muchos casos significa error, negligencia o usuarios que caen víctimas del phishing y la ingeniería social.

“El conocimiento es un arma poderosa que puede convertir a los colaboradores de una organización en la primera línea de defensa contra las amenazas. Para construir un entorno corporativo más ciberseguro, los equipos responsables de TI deberían incorporar a sus programas de concienciación sobre seguridad para asegurarse de que se está haciendo frente a las ciberamenazas de hoy y de mañana, no a los riesgos del pasado.”, comparte Camilo Gutiérrez Amaya, Jefe del laboratorio de Investigación de ESET Latinoamérica.

Los programas de formación y concienciación en materia de seguridad son una forma fundamental de mitigar estos riesgos. Desde ESET aseguran que no hay un camino rápido y fácil hacia el éxito, de hecho, lo que hay que buscar no es tanto la formación o la concienciación, ya que ambas pueden olvidarse con el tiempo, sino que se trata de cambiar los comportamientos de los usuarios a largo plazo.

“La recomendación es ejecutar programas de forma continua, para tener siempre presente lo aprendido y asegurarse de que nadie se quede al margen, lo que significa incluir a trabajadores y trabajadoras temporales, contratistas y el equipo de ejecutivo; cualquiera puede ser un objetivo, y basta un solo error para abrir la puerta de una organización a una amenaza. Es importante organizar sesiones de aprendizaje breves para que los mensajes calen mejor y, siempre que sea posible, incluir ejercicios de simulación o gamificación que sirvan de práctica ante una amenaza concreta.”, agregan desde ESET.

Las lecciones pueden personalizarse para funciones y sectores específicos, a fin de hacerlas más pertinentes para el individuo. Y las técnicas de gamificación pueden ser un complemento útil para hacer que la formación sea más sólida y atractiva.

Desde ESET aconsejan incluir en los programas los siguientes temas:

1) BEC y phishing: El fraude por correo electrónico comercial (BEC), que aprovecha los mensajes de phishing dirigidos, sigue siendo una de las categorías de ciberdelincuencia con mayores ganancias. En los casos notificados al FBI el año pasado, las víctimas perdieron más de 2.700 millones de dólares. Se trata de un delito basado fundamentalmente en la ingeniería social, normalmente engañando a la víctima para que apruebe una transferencia de fondos corporativos a una cuenta bajo el control del estafador. Existen varios métodos utilizados, como hacerse pasar por un directivo general o un proveedor, que pueden integrarse perfectamente en ejercicios de concienciación sobre el phishing. 

El phishing sigue siendo uno de los principales vectores de acceso inicial a las redes corporativas. Gracias a la distracción de los trabajadores remotos, los criminales tienen aún más posibilidades de lograr sus objetivos y sus tácticas están cambiando. Los ejercicios de concienciación sobre el phishing deben actualizarse en consecuencia y las simulaciones en vivo pueden ayudar realmente a cambiar los comportamientos de los usuarios.

Para 2024, desde ESET recomiendan considerar incluir contenidos que concienticen sobre phishing a través de aplicaciones de texto o mensajería (smishing), llamadas de voz (vishing) y nuevas técnicas como la omisión de la autenticación multifactor (MFA). Las tácticas específicas de ingeniería social cambian con mucha frecuencia, por lo que es una buena idea asociarse con un proveedor de cursos de formación que mantenga actualizado el contenido.

2) Seguridad en el trabajo remoto e híbrido: Los expertos llevan tiempo advirtiendo de que los empleados son más propensos a ignorar las directrices/políticas de seguridad, o simplemente a olvidarlas, cuando trabajan desde casa. Un estudio reveló que el 80% de los trabajadores admiten que trabajar desde casa los viernes en verano les hace estar más relajados y distraídos, por ejemplo. Esto puede exponer a un mayor riesgo de peligro, especialmente cuando las redes y dispositivos domésticos pueden estar peor protegidos que los equivalentes corporativos. Ahí es donde deben intervenir los programas de formación con consejos sobre actualizaciones de seguridad para portátiles, gestión de contraseñas y uso exclusivo de dispositivos aprobados por la empresa. Esto debería ir acompañado de formación sobre phishing.

Además, el trabajo híbrido se ha convertido en la norma para muchas empresas. Según un estudio, el 53% de ellas cuenta ya con una política al respecto, y esta cifra seguramente irá en aumento. Sin embargo, desplazarse a la oficina o trabajar desde un lugar público tiene sus riesgos. Uno de ellos son las amenazas de los puntos de acceso Wi-Fi públicos, que pueden exponer a los trabajadores móviles a ataques de intermediario (AitM), en los que los piratas informáticos acceden a una red y espían los datos que viajan entre los dispositivos conectados y el router. Otro de los riesgos son las amenazas de los «gemelos malvados», en los que los delincuentes crean un punto de acceso Wi-Fi duplicado que se hace pasar por uno legítimo en una ubicación específica. También existen riesgos menos “tecnológicos”. Las sesiones de formación pueden ser una buena oportunidad para recordar a los empleados los peligros de la navegación clandestina.

3) Protección de datos: Las multas del GDPR aumentaron un 168% anual hasta superar los 2.900 millones de euros (3.100 millones de dólares) en 2022, ya que los reguladores tomaron medidas enérgicas contra el incumplimiento. Esto supone un argumento de peso para que las organizaciones se aseguren de que su personal sigue correctamente las políticas de protección de datos.

Según ESET, la formación periódica es una de las mejores formas de tener presentes las buenas prácticas en el tratamiento de datos. Esto implica el uso de un cifrado seguro, una buena gestión de las contraseñas, el mantenimiento de la seguridad de los dispositivos y la notificación inmediata de cualquier incidente al contacto pertinente.

El personal también puede beneficiarse de una actualización en el uso de la copia oculta (CCO), un error común que conduce a fugas involuntarias de datos de correo electrónico, y otra formación técnica. Además, se debería considerar si lo que se publica en las redes sociales debe mantenerse confidencial.

“Los cursos de formación y concienciación son una parte fundamental de cualquier estrategia de seguridad. Pero no pueden funcionar de forma aislada. Las organizaciones también deben contar con políticas de seguridad herméticas aplicadas con controles y herramientas sólidas, como la gestión de dispositivos móviles. «Personas, procesos y tecnología» es el mantra que ayudará a construir una cultura corporativa más cibersegura.”, concluye Gutierrez Amaya, de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador