Tag malware

El país ocupa el primer lugar con mayor incidencia del ‘malware’ a nivel andino. El secuestro de equipos es uno de los problemas frecuentes. Foto: Pixabay.

Mientras el covid-19 se propaga por el mundo, los piratas informáticos aprovechan esta situación para expandir virus que afectan tanto a las empresas como a los usuarios del hogar. Entre los países más atacados por gusanos informáticos están Rusia, Alemania, China, Estados Unidos y Brasil. Ecuador no se libra de estos programas maliciosos. Según la empresa de seguridad Kaspersky, nuestro país se ha mantenido en la posición 49 dentro de las estadísticas de países con mayores incidencias de software malicioso o malware. A nivel andino, de acuerdo con el especialista en ciberseguridad Galoget Latorre, Ecuador ocupa el primer lugar en ataques tipo ‘ransomware’, seguido por Bolivia y Venezuela. Este código malicioso permite el secuestro de datos que solo son liberados cuando se paga un rescate. Los incidentes de seguridad en las empresas se dispararon entre el 2018 y el 2019; pero los ataques dejaron de ser masivos y se volvieron más específicos. Fue precisamente el ‘ransomware’ el que proliferó. En Latinoamérica, en el 2018, Ecuador y Venezuela sufrieron la mayor cantidad de ataques a sus empresas (22%), les siguieron Chile, Costa Rica y Panamá con 21%. En el 2019, en América Latina se mantuvieron los ataques a empresas, sobre todo en países como México y Perú. Ecuador ocupó el cuarto lugar en la región en cuanto a compañías con este problema. La modalidad del teletrabajo, por la pandemia, trajo consigo un mayor número de ataques. En Ecuador, el informe ‘ESET Security Report 2020 de Latinoamérica’ indica que el 70% de las empresas que trabajan con esta marca de antivirus en el país reportó incidentes de seguridad. Este valor, de hecho, fue el más alto en la región, solo igualado por Paraguay, que también registró ese porcentaje. En las primeras semanas de este año se observa una proliferación del ‘malware’. Una amenaza informática que prevalece es la denominada JS/Adware.Atocari, con una incidencia del 20,16% entre los virus detectados en el país.

Porcentaje de compañías que han reportado ataques de códigos maliciosos

Los bulos proliferan​Varias campañas de ataque aprovechaban temáticas del coronavirus para difundirse y motivar a que las víctimas abran los archivos adjuntos. La firma de seguridad Check­Point sostiene que, desde principios de enero del 2020, se han registrado más de 16 000 nuevos dominios relacionados con el coronavirus y cerca de un 20% de los mismos fue clasificado como potencialmente peligroso. Latorre señala que para este año se espera un incremento de nuevas variantes de amenazas informáticas, mayor complejidad y formas de infección. Por esta razón, es necesario tomar medidas para reducir el impacto del ‘malware’, lo cual se logra a través de la educación del usuario. La primera barrera de protección son las contraseñas. Estas deben ser complejas, únicas para cada servicio y deben ser cambiadas con frecuencia. Asimismo, es importante no abrir enlaces de origen desconocido, no descargar programas de fuentes no oficiales y no utilizar software pirateado, ya que estos tienen códigos maliciosos ocultos.

Fuente: www.elcomercio.com

Alertan sobre una campaña activa de distribución de criptomineros a través de archivos ZIP que se presentan como películas para descargar y que afecta principalmente a España, México y Chile.

En estos momentos donde varios países han decretado el confinamiento social para combatir el avance de la pandemia del nuevo coronavirus, los cibercriminales están aprovechando el interés por la descarga de películas pirata y están usando archivos torrent y servicios de streaming pirata para distribuir malware, alertó este martes Microsoft a través de la cuenta de Twitter del equipo de seguridad de la compañía. Por otra parte, la compañía detectó una campaña que afecta principalmente a España y otros países de Sudamérica en la que los cibercriminales agregan un script malicioso en VBS para minar criptomonedas en archivos de texto incluidos dentro de archivos ZIP que aparentan ser de películas.

En el caso concreto detectado, el código malicioso se está oculto en archivos ZIP que se presentan como películas populares y utilizan nombres de archivo como “John Wick: Chapter 3 – Parabellum”, “contagio-1080p”, “Punales_por_la_espalda_BluRay_1080p”, “La_hija_de_un_ladron” y “Lo-dejo-cuando-quiera”.

With lockdown still in place in many parts of the world, attackers are paying attention to the increase in use of pirate streaming services and torrent downloads. We saw an active coin miner campaign that inserts a malicious VBScript into ZIP files posing as movie downloads.

— Microsoft Security Intelligence (@MsftSecIntel) April 28, 2020

Una vez que la víctima descarga el archivo y ejecuta el script malicioso en su equipo, a través de la ejecución de una línea de comando que utiliza BITSAdmin, se descargan en segundo plano otros payloads maliciosos, como un script en AutoIT que decodifica una DLL de segunda etapa que, una vez cargada en la memoria del equipo, inyecta un código de criptominería en el proceso Notepad.exe mediante el proceso conocido como Hollowing.

Los atacantes no están utilizando los sitios más populares para la descarga de torrents, como es, por ejemplo, The Pirate Bay, y la mayor cantidad de infecciones tuvo lugar en España, México y Chile, explicó a Cyberscoop Tanmay Ganacharya de Microsoft.

Actividades que más realizan los usuarios de Internet durante el período de confinamiento

Cómo explicó recientemente el investigador de ESET, Daniel Cunha Barbosa, los usuarios deben ser cuidadosos en estos momentos en los que crece la demanda por videojuegos online y el consumo de películas y series, ya que tanto la descarga de archivos como mirar películas y series en sitios no oficiales puede tener consecuencias para el dispositivo con el cual se accede a estos sitios o se realizan las descargas, por lo que se recomienda utilizar sitios confiables, ya que el contenido gratuito suele estar asociado a amenazas de distinto tipo.

Fuente: www.welivesecurity.com

Durante mucho tiempo se creyó que era prácticamente imposible que un virus u otro tipo malware impactaran a Linux. De hecho, se consideraba que los sistemas operativos basados en Linux eran la perfecta combinación entre las bondades del código abierto y una seguridad sólida. Sin embargo, los sistemas operativos basados ​​en Linux ahora se ven cada vez más como un blanco de ataque valioso y viable.

Este cambio de pensamiento es en parte consecuencia de una creciente comprensión por parte de los aficionados a Linux y también de los administradores de sistemas, de que un sistema Linux comprometido, como un servidor web, proporciona a los atacantes un excelente “retorno de la inversión”. Igual de importante, las investigaciones de malware realizadas en los últimos años le han dado una mayor visibilidad a las amenazas que enfrentan los sistemas Linux.

Todavía hay muchas razones que justifican la creencia popular que asocia a Linux con una mayor seguridad, aunque no perfecta. Sin embargo, es importante destacar que esta creencia no distingue entre las distintas distribuciones y casos de uso de sistemas basados ​​en Linux, al tiempo que no tiene en cuenta la existencia de varias amenazas.

Las distribuciones de Linux para escritorio siguen siendo ampliamente superadas en número por los sistemas Windows (y también por las máquinas con macOS). Este estado de nicho sin dudas juega un papel en la relativa escasez de malware basado en Linux. Pero cambie su mirada sobre los servidores públicos y se volverá evidente que hay mucha más actividad maliciosa cocinándose a fuego lento bajo la tapa de Linux. Lo mismo podría decirse de todo tipo de dispositivos integrados, equipos de red y teléfonos inteligentes Android que, de alguna forma, también se basan en Linux.

Centrémonos aquí en los servidores, sobre todo porque llevan la peor parte de los ataques de malware contra sistemas basados en Linux. Las distribuciones Linux para servidores están en el corazón de la mayoría de los data centers y el sistema operativo es grande para empresas que tienen múltiples formas y tamaños. De hecho, gran parte de la web actual, incluidos los servidores operados por Google, Facebook y Twitter, funciona con Linux.

Por lo tanto, no debería sorprendernos que en la historia reciente se hayan visto ejemplos de daños causados ​​por malware que comprometieron la instalación de un servidor Linux. Un servidor vulnerable es un blanco invaluable para varios tipos de acciones nefastas, incluido el robo de datos personales y credenciales de acceso, redirección de tráfico web, ataques DDoS y minería de criptomonedas. Es importante destacar que también se puede abusar del servidor para alojar servidores de comando y control (C&C) para otro código malicioso y para lanzar campañas de spam que desplieguen malware; especialmente malware dirigido a sistemas Windows.

Antecedentes

Ni siquiera es necesario irse muy lejos para encontrar ejemplos ilustrativos de huecos en la armadura de malware de Linux. Hace poco más de un año, investigadores de ESET expusieron una gran cantidad de backdoors OpenSSH, un arma elegida por los atacantes que buscan arrebatar a los administradores el control de los servidores. Los investigadores descubrieron 21 familias de malware basadas en Linux, incluida una docena que no se había documentado antes. Casi todas las cepas tenían funcionalidades de robo de credenciales y de backdoor.

Esta investigación fue el resultado de tres años de trabajo que finalmente ofreció información única sobre el ecosistema de malware de Linux. Sin duda, no fue un esfuerzo aislado, ni ocurrió de la nada. Los investigadores emprendieron la búsqueda con los conocimientos proporcionados por su galardonada investigación sobre la Operación Windigo, que había acorralado alrededor de 25,000 servidores, la mayoría de ellos con Linux, en una de las botnets de servidores más grandes que se haya conocido. Las máquinas comprometidas fueron utilizadas para el robo de credenciales, campañas de spam, redirección de tráfico web a contenido malicioso y otras acciones nefastas.

En el corazón de la campaña se había ejecutado, sin ser detectado durante al menos tres años, el backdoor de Linux/Ebury. Incluso antes de que esta pieza de malware se instalara en un servidor, los atacantes harían que Ebury verificara si el servidor ya estaba cargado con otro backdoor SSH. Fue esta rutina la que provocó la búsqueda de familias de malware OpenSSH activas in-the-wild.

A lo largo de los años, los investigadores de ESET han realizado otros descubrimientos que se agregaron al conjunto de conocimientos sobre el malware para servidores Linux. Entre otras cosas, se descubrió que Windigo estaba vinculado a uno de sus descubrimientos anteriores: Linux/Cdorked, uno de los backdoors más sofisticados dirigidos en ese momento a servidores web Linux Apache. Además, Windigo trajo recuerdos de la investigación de ESET sobre Mumblehard, otra botnet que zombificó a miles de servidores Linux y que finalmente fue eliminada en un esfuerzo internacional de aplicación de la ley con el apoyo de investigadores de ESET.

¿Cómo capturar el malware?

Los investigadores de ESET están ansiosos por compartir sus hallazgos con los profesionales de Linux, que pueden estar inadecuadamente entrenados para combatir el malware dirigido a servidores. La próxima Conferencia RSA 2020 contará con un taller realizado por el experimentado investigador de malware de ESET Marc-Etienne M.Léveillé, quien ha sido una figura central en la mayoría de las investigaciones descritas anteriormente. El taller de Marc-Etienne, Hunting Linux Malware for Fun and Flags, brindará a los administradores de sistemas y a otros profesionales de TI una excelente oportunidad para enfrentar la amenaza que supone el malware para Linux y aplicar las conclusiones en sus propios entornos de servidor.

Compartimos una entrevista que publicaremos con Marc-Etienne en la que nos brinda más detalles sobre el ecosistema de malware para Linux en la actualidad.

Fuente: www.welivesecurity.com

Compartimos un resumen anual con una selección de las noticias e investigaciones más importantes publicadas en WeLiveSecurity a lo largo del 2019.

Compartimos una recopilación con algunos de los hechos más relevantes que tuvieron lugar este 2019 en el mundo de la seguridad informática, que incluye el hallazgo de vulnerabilidades críticas, como es el caso de Bluekeep, nuevas investigaciones sobre la actividad de grupos de APT, como The Dukes, además del malware Machete, la masiva publicación de datos provenientes de filtraciones, llamada Collection #1, entre otras noticias e investigaciones relevantes que publicamos durante este año. A continuación, te invitamos a ver el siguiente video y más abajo un resumen de cada una de las noticias con los enlaces a los artículos completos.

Microsoft y la suspensión del soporte para Windows 7

Como contamos en el video, 2019 fue un año que comenzó con el anuncio por parte de Microsoft de que el 14 de enero del 2020 dejará de lanzar actualizaciones de seguridad y de dar soporte gratuito para el sistema operativo Windows 7.

Vulnerabilidad en WinRAR

En el segundo mes del año se conoció la noticia sobre el hallazgo de una vulnerabilidad crítica en todas las versiones de un popular software como WinRAR. Si bien la compañía detrás de este programa para comprimir archivos lanzó una actualización que solucionaba el fallo, al poco tiempo de conocerse el fallo comenzaron a detectarse campañas que intentaban aprovecharse de este error en equipos que no hubieran actualizado para distribuir desde un backdoor hasta un ransomware. Incluso en foros comenzaron a ofrecerse herramientas para crear archivos RAR maliciosos. Entre las campañas que se aprovecharon de este fallo, investigadores de ESET descubrieron una campaña dirigida a departamentos financieros en los Balcanes (que distribuía un backdoor y un RAT) que explotaba este fallo en WinRAR para comprometer los equipos de sus víctimas.

Vulnerabilidad Bluekeep

Siguiendo con el tema de las vulnerabilidades, una de las que más dio que hablar este año y que probablemente continúe ocupando espacio en los titulares de los medios en 2020 es Bluekeep; la vulnerabilidad (CVE-2019-0708) que afecta a varias versiones de Windows y que permite realizar ataques vía RDP.  En mayo Mirosoft lanzó un comunicado alertando a los usuarios acerca de la importancia de instalar el parche que reparaba este fallo, ya que, en caso de ser explotada, la vulnerabilidad podría tener consecuencias similares a Wannacry. Con el correr de los días, la gravedad del fallo despertó preocupación y curiosidad por parte de la comunidad de investigadores y comenzaron a surgir las primeras pruebas de concepto (POC) que demostraban que el fallo era explotable. Además de la publicación de nuevos comunicados por parte de Microsoft, se sumaron mensajes alertando acerca de BlueKeep por parte de organismos como la NSA, quién también lanzó un comunicado reforzando el mensaje que instaba a instalar el parche de seguridad. Finalmente, en el mes de noviembre, comenzaron a registrarse ataques de Bluekeep, que si bien solo lograron distribuir mineros de criptomonedas y no consiguieron llevar adelante ataques más peligrosos, es muy factible que en el corto plazo se aprovechen de esta vulnerabilidad para intentar distribuir amenazas más peligrosas.

Collection #1: la recopilación de brechas más grande

Este año se conocieron varios casos de filtraciones de datos privados de los usuarios, pero nada fue como Collection#1, que fue el nombre que recibió la recopilación compuestas por siete carpetas con direcciones de correo electrónico y contraseñas filtradas en antiguas brechas. Se estima que en total los datos estaban compuestos por más de 2.200 millones de direcciones y contraseñas. Al momento del hallazgo esta información se estaban comercializando en el mercado negro por $45.

Gandrab dejo de operar

Otra de las noticias relevantes de este año fue el anuncio de que los operadores detrás del ransomware Gandcrab dejarían de operar y la posterior publicación de las claves maestras de descifrado por parte del FBI. Vale la pena recordar que esta familia de ransomware hizo su aparición a principios de 2018 y que en poco tiempo se posicionó como una de las familias más detectadas en América Latina.

Ransomware dirigido: una tendencia que se confirmó

Continuando con el tema del ransomware, algo que se consolidó este año fue la tendencia de los ataques de ransomware dirigidos, algo que los especialistas de ESET predijeron en Tendencias 2019. Entre los varios ataques de ransomware dirigidos que se vieron este año, se destaca el que afectó a 23 agencias gubernamentales en Texas, los que impactaron tanto a Cadena SER, la consultora Everis y Prosegur en España, y el ataque dirigido a la petrolera estatal mexicana Pemex.

Más problemas para Facebook

La red social estuvo envuelta en varios temas relacionados a la seguridad en 2019. Uno de los hechos más importante fue el que estuvo relacionado con el bloqueo de su VPN, “Facebook research”, por violar las políticas de Apple al hacer uso de certificados emitidos por la compañía de la manzana para realizar acciones que van en contra de la política de la compañía. Facebook research había sido utilizada por la compañía de Zuckerberg para recolectar datos de los teléfonos que la utilizaran. Poco después del incidente con Apple, Facebook eliminó la app de Google Play.

Grupo de APT The Dukes continúa activo

Uno de los hallazgos más relevantes de este año fue el descubrimiento de que el grupo de APT “The Dukes”, acusado de haberse infiltrado en el Comité Nacional Demócrata de EUA, continúa activo pese a haberse mantenido durante largo tiempo lejos de los radares de detección. Investigadores de ESET confirmaron que, lejos de haber detenido sus actividades, el grupo de cibercriminales ha estado activo comprometiendo blancos gubernamentales.

Ciberespionaje en América Latina

Otra de las investigaciones más importantes de este año tuvo que ver con el descubrimiento de la reciente actividad de una nueva versión del malware Machete, ya que se develó que los operadores detrás de esta amenaza continúan en actividad realizando tareas de espionaje contra organismos gubernamentales de Ecuador, Colombia, Nicaragua y Venezuela. Según los hallazgos de los investigadores de ESET, los ataques de Machete permitieron robar grandes cantidades de información y datos confidenciales.

Varenyky: sextorsión y la posibilidad de grabar la pantalla de sus víctimas

Por último, otra investigación que dio que hablar fue el hallazgo de una nueva amenaza, apodada Varenyky, que apuntó principalmente a usuarios de Francia. Luego de que en 2018 comenzaran a circular por todo el mundo campañas de sextorsión que comenzaban por un correo que incluía una posible contraseñas de la potencial víctima en asunto, o que hicieran uso de técnicas maliciosas para enviar un correo haciendo creer a la víctima que había sido enviada desde su propia cuenta, el hallazgo de Varenyky fue el de una campaña de sextorsión que además de extorsionar a sus víctimas, distribuía un malware con capacidad para grabar la pantalla de sus víctimas (no su webcam).

Fuente: www.welivesecurity.com

Investigación de ESET devela que los operadores detrás del malware Machete siguen activos y realizando operaciones de ciberespionaje dirigidas a organismos gubernamentales de Ecuador, Colombia, Nicaragua y Venezuela.

América Latina es a menudo pasada por alto cuando se trata de amenazas persistentes y grupos cuyos blancos son seleccionados a partir de motivaciones políticas. Sin embargo, existe una operación de ciberespionaje en curso contra organizaciones de alto perfil que ha logrado mantenerse bajo el radar. El grupo detrás de estos ataques robó gigabytes de documentos confidenciales, principalmente de organismos gubernamentales. Al momento de esta publicación el grupo sigue estando muy activo, introduciendo regularmente cambios en su malware, en su infraestructura y en sus campañas de spearphishing.

ESET ha estado monitoreando una nueva versión de Machete (el conjunto de herramientas del grupo basadas en Python) vista por primera vez en abril de 2018. Si bien la funcionalidad principal del backdoor sigue siendo la misma que en versiones anteriores, se ha ampliado con nuevas características a lo largo del transcurso de un año.

Blancos de ataque

Desde finales de marzo hasta finales de mayo de 2019, los investigadores de ESET observaron que había más de 50 computadoras comprometidas que se comunicaban de manera activa con el servidor de C&C. Esto equivale a gigabytes de datos robados de manera semanal. Más de la mitad de estos equipos pertenecían a organismos gubernamentales. La mayoría de las organizaciones apuntadas por el malware Machete son de países de América Latina, como es el caso de Venezuela (75%), Ecuador (16%), Colombia (7%) y Nicaragua (2%). La distribución de este malware en estos países se puede observar en la Figura 1.

Los operadores detrás de Machete

Los operadores de Machete utilizan técnicas efectivas de spearphishing. Su larga serie de ataques, centrados en países de América Latina, les ha permitido recopilar inteligencia y perfeccionar sus tácticas a lo largo de los años. Conocen bien a sus objetivos, cómo esconderse entre las comunicaciones periódicas y qué documentos son los más valiosos para robar. Machete no solo extrae documentos de ofimática, sino también tipos de archivos especializados que son utilizados por software de sistemas de información geográfica (SIG).

El grupo Machete envía correos electrónicos muy específicos directamente a sus víctimas, y estos cambian de un blanco a otro. Estos correos electrónicos contienen un enlace o un adjunto con un archivo comprimido autoextraíble que ejecuta el malware a la vez que abre un documento que funciona como señuelo.

Para engañar a sus blancos desprevenidos, los operadores de Machete utilizan documentos reales que han robado anteriormente. ESET ha visto casos en los que documentos robados fechados con un día en particular fueron empaquetados con malware y se utilizaron el mismo día como señuelos para comprometer a nuevas víctimas.

El tipo de documentos utilizados como señuelo suelen ser enviados y recibidos legítimamente varias veces al día en las organizaciones seleccionadas como blancos. En este sentido, los atacantes aprovechan para elaborar correos electrónicos de phishing muy convincentes.

Principales características

El grupo Machete es muy activo y ha introducido varios cambios en su malware desde el lanzamiento de una nueva versión en abril de 2018. Versiones anteriores fueron descritas por Kaspersky en 2014 y por Cylance en 2017. En la Figura 3 mostramos los componentes para la nueva versión del malware Machete.

Figura 2. Componentes de Machete

La primera parte del ataque consiste en un downloader que se presenta como un archivo autoextraíble, creado con 7z SFX Builder. Una vez que el archivo es desempaquetado por el código de autoextracción, el extractor abre un archivo PDF o documento de Microsoft Office que funciona como señuelo y luego corre el downloader ejecutable del archivo. Ese ejecutable es otro archivo autoextraíble que contiene el binario del downloader (un componente py2exe) y un archivo de configuración con la URL de descarga, que se encuentra cifrada.

Todas las URL de descarga que hemos visto apuntan a Dropbox o a Google Docs. Todos los archivos descargados han sido autoextraíbles (RAR SFX) que contienen un archivo de configuración (cifrada) y los componentes del backdoor (ejecutables py2exe). Sin embargo, desde mayo de 2019, los operadores de Machete dejaron de utilizar downloaders y comenzaron a incluir el archivo señuelo y los componentes del backdoor en el mismo archivo.

Los binarios py2exe se pueden descompilar para obtener el código en Python. Además, todos los componentes (downloaders y backdoors) han sido ofuscados con pyobfuscate; algo que también se ha utilizado en versiones anteriores del malware. En la Figura 3 se puede apreciar parte de uno de estos scripts ofuscados.

Figura 3. Script ofuscado con pyobfuscate

Desde Agosto de 2018, se añadió una capa adicional de ofuscación a los componentes de Machete. Los scripts ahora contienen un bloque de texto comprimido con zlib, previa codificación en base64, que luego de ser decodificado, resulta en un script como el de la Figura 3. La primera capa de ofuscación es creada utilizando pyminifier con el parámetro -gzip.

Componentes del backdoor

El dropper de Machete es un ejecutable RAR SFX. Tres componentes py2exe son droppeados: GoogleCrash.exe, Chrome.exe y GoogleUpdate.exe. Un único archivo de configuración es droppeado (jer.dll), el cual contiene texto codificado en base64 que corresponde a strings cifradas con AES. Un esquema que resume los componentes se puede observar en la Figura 4.

Figura 4. Componentes de backdoor py2exe de Machete

GoogleCrash.exe es el componente principal del malware. Programa la ejecución de los otros dos componentes y crea tareas en el Programador de Tareas de Windows para lograr persistencia.

El componente Chrome.exe es responsable de recopilar datos de la computadora comprometida y tiene la capacidad de:

• Realizar capturas de pantalla
• Registrar las pulsaciones del teclado
• Acceder al portapapeles
• Cifrar en AES y exfiltrar documentos
• Detectar nuevas unidades insertadas y copiar archivos
• Ejecutar otros binarios descargados del servidor C&C
• Obtener archivos específicos del sistema
• Obtener datos de perfil de usuario de varios navegadores
• Recopilar la geolocalización de las víctimas e información sobre redes Wi-Fi cercanas
• Realizar exfiltración física en unidades extraíbles

Los operadores de Machete están interesados ​​en obtener de los equipos comprometidos determinados tipos de archivos. En este sentido, además de documentos de Microsoft Office, se buscan en las diferentes unidades los siguientes tipos de archivos:

• Archivos de backup
• Archivos de base de datos
• Claves criptográficas (PGP)
• Documentos de OpenOffice
• Imágenes vectoriales
• Archivos para sistemas de información geográfica

Con respecto a la geolocalización de las víctimas, Chrome.exe recopila datos sobre redes Wi-Fi cercanas y las envía a la API del Servicio de ubicación de Mozilla. En resumen, esta aplicación proporciona coordenadas de geolocalización cuando le son proporcionadas otras fuentes de datos, tales como beacons Bluetooth, antenas de telefonía celular o puntos de acceso Wi-Fi. Luego, el malware toma coordenadas de latitud y longitud para construir una URL de Google Maps. Parte del código se puede observar en la Figura 5.

Figura 5: Código para geolocalización

La ventaja de utilizar el Servicio de ubicación de Mozilla es que permite la geolocalización sin un GPS real y puede ser más preciso que otros métodos. En este sentido, si bien se puede utilizar una dirección IP para obtener una ubicación aproximada, la misma no es tan precisa. Por otro lado, si hay datos disponibles para el área, el Servicio de ubicación de Mozilla puede proporcionar información como, por ejemplo, en qué edificio se encuentra el blanco.

El componente GoogleUpdate.exe es responsable de comunicarse con el servidor de C&C remoto. La configuración para establecer la conexión se lee del archivo jer.dll: nombre de dominio, nombre de usuario y contraseña. El principal medio de comunicación para Machete es a través de FTP, aunque la comunicación HTTP se implementó como alternativa en 2019.

Este componente carga archivos cifrados a diferentes subdirectorios en el servidor de C&C, pero también recupera archivos específicos que los operadores de Machete han puesto en el servidor. De esta manera, el malware puede actualizar tanto su configuración, sus archivos binarios maliciosos y sus listados de archivos, pero también puede descargar y ejecutar otros binarios.

Conclusión

El grupo Machete está operando con más fuerza que nunca, incluso después de que los investigadores hayan publicado descripciones técnicas e indicadores de compromiso para este malware. ESET ha estado siguiendo esta amenaza durante meses y ha observado varios cambios, a veces en semanas.

Al momento de esta publicación, el último cambio que se introdujo en el malware son seis componentes del backdoor, que ya no son ejecutables py2exe. En este caso se trata de scripts de Python ofuscados, un ejecutable original de Python 2.7 y todas las librerías utilizadas, que son empaquetadas en un archivo autoextraíble.

Varios artefactos que hemos visto en el código de Machete y la infraestructura subyacente nos llevan a pensar que se trata de un grupo de habla hispana. Asimismo, la presencia de código para exfiltrar datos a unidades extraíbles cuando hay acceso físico a una computadora comprometida podría indicar que los operadores de Machete están presentes en alguno de los países blanco de sus ataques, aunque no podemos estar seguros de esta afirmación.

Por otra parte, añadir que ESET detecta esta amenaza como una variante de Python/Machete.

Fuente: www.welivesecurity.com

Imagen ilustrativa de un la seguridad ante los ‘malwares’.

También se incrementaron los robos de credenciales para su posterior venta en la ‘dark’ web. El número de ataques relacionados con la pornografía subió casi el triple.

Si bien la pornografía suele considerarse como un buen cebo para atraer a las víctimas hacia un sitio web malicioso o involucrarlas en un esquema de fraude, el contenido para adultos en sí no se tenía muy en cuenta como pieza de ataque. Sin embargo, el nuevo informe de Kaspersky Lab sobre las amenazas a los usuarios de sitios web para adultos en 2018 muestra que la pornografía, en concreto las cuentas premium de los sitios web de pornografía con acceso a contenido exclusivo, están llamando cada vez más la atención a los ciberestafadores.

El número de usuarios atacados por malware para robar los datos de inicio de sesión a sitios web populares para adultos aumentó más del doble en apenas un año, pasando de unos 50.000 usuarios en 2017 a 110.000 usuarios en 2018. En total, se detectaron más de 850.000 ataques.

Para robar las credenciales de una cuenta premium en un sitio web de contenido para adultos, los ciberdelincuentes distribuyen malware a través de botnets (cadenas de bots o dispositivos infectados con malware capaz de descargar malware adicional dependiendo de los objetivos del dueño del botnet). En el caso del robo de credenciales, estas redes de bots suelen estar formadas por versiones de troyanos bancarios ya conocidos que se reutilizan para atacar a los usuarios de sitios web para adultos. Interceptan el tráfico de datos de sus víctimas y los redirigen a páginas web falsas que simulan el sitio auténtico que el usuario intenta visitar, capturando de este modo las credenciales cuando el usuario intenta iniciar sesión en su cuenta premium. Este procedimiento es cada vez más popular entre los ciberdelincuentes, y generalmente lleva a que posteriormente expongan y utilicen la información personal de las víctimas. Además, a veces, se impide a las víctimas usar esas cuentas por las cuales puede estar pagando una suscripción de unos 150 € anuales aproximadamente.

El triple de ataques en webs pornográficas

Según los analistas, el incremento en el número de usuarios que tienen que enfrentarse a este tipo de malware se justifica por su gran rentabilidad. El número de ataques relacionados con la pornografía aumentó casi el triple, pasando de 307.868 ataques en 2017 a 850.000 en 2018. Este aumento tiene también su origen en el incremento del número de familias de malware distribuidas por botnets y utilizadas para buscar credenciales de acceso a webs de adultos.

La investigación muestra que, en 2018, la cantidad de ofertas únicas de credenciales de acceso premium para sitios web pornográficos se duplicó para superar los 10.000, en comparación con los 5.000 que había en 2017. Sin embargo, el precio se mantuvo igual, alrededor de 5-10 dólares por cada cuenta. “Las credenciales de acceso premium a sitios web de pornografía pueden no parecer un objetivo evidente, pero el hecho de que el número de ofertas de venta en la web oscura esté en aumento, y el incremento en los esfuerzos de distribución del malware, muestra que estamos ante una actividad rentable y popular», afirma Oleg Kupreev, analista de seguridad en Kaspersky Lab.

El especialista añade que «los usuarios de sitios web de contenido para adultos deben tener en cuenta que este tipo de malware puede pasar desapercibido en el dispositivo de una víctima durante mucho tiempo, espiar sus acciones privadas y permitir que otros hagan lo mismo, y todo ello sin desconectar al usuario para no despertar sospechas. Incluso, aquellos que simplemente visitan el sitio pero no tienen una cuenta premium, podrían estar en peligro».

• No hacer clic en enlaces de phishing maliciosos en sus correos electrónicos.
• En caso de duda, ir directamente a Pornhub.com en lugar de hacer clic en un enlace, como el que puede aparecer en un correo electrónico.
• Comprobar siempre que el nombre de dominio sea Pornhub.com.
• Comprobar siempre que la conexión está utilizando HTTPS y que el certificado es válido.
• Reportar cualquier actividad sospechosa a security@pornhub.com.

Google reveló que lanzó “más de 700.000 aplicaciones” y hubieron más 100.000 desarrolladores fuera de su bazar Play digital durante 2017.

Las noticias no son del todo malas: Google dijo que el 99 por ciento de las aplicaciones malas fueron atacadas por herramientas que emplean el aprendizaje automático, por lo que nadie tuvo la oportunidad de descargarlas. También es bueno saber que la mayoría de las aplicaciones rechazadas fueron imitadores que esperaban sacar algún dinero imitando otras aplicaciones.

Pero también había muchas aplicaciones que ofrecían “pornografía, violencia extrema, odio y actividades ilegales” que intentaban colarse en Play Store, además de muchos intentos de introducir malware en la tienda.

Google dijo que planea refinar sus herramientas con AI para detectar aún más aplicaciones en el futuro. Los desarrolladores de Dodgy también están en su punto de mira: la compañía espera poder automatizar herramientas que eviten que los codificadores de juegos solo vuelvan a registrar las cuentas de Play con nuevas credenciales.

No dejes que los preciosos números grandes de Google te den una falsa sensación de seguridad sobre Play o la inteligencia artificial de Google, ya que aún permite una versión falsa de WhatsAppque generó un millón de usuarios afectados y 60 aplicaciones que mostraban carbón a los niños.

Google también ha tenido problemas con los videos maliciosos de YouTube disfrazados de diversión para los niños.

Fuente: www.theregister.co.uk