Archives diciembre 2024

ESET comparte una serie de recomendaciones para gestionar el control sobre la información personal que circula en internet

Ecuador ­– ¿Alguna vez has buscado tu nombre en internet? Tanto si te preocupa la privacidad o si simplemente quieres gestionar tu presencia en la red, ESET, compañía líder en detección proactiva de amenazas, advierte por qué puede ser importante reducir la huella digital, incluso en los resultados de búsqueda de Google, y cómo proteger los datos.

El ejercicio de realizar una búsqueda con el propio nombre en internet, resulta útil para saber cómo aparece la información personal e identificar cualquier posible problema de privacidad. Generalmente, lo primero que aparecerá son las cuentas de redes sociales, blog o sitio web relacionados con el trabajo. Pero si se ajustan algunos parámetros, el resultado puede llegar a ser mucho más específico hasta mostrar direcciones o incluso sitios visitados con frecuencia.

“Si alguien tiene una cuenta en una red social con una configuración de privacidad débil, un blog con su nombre real o una dirección de correo electrónico en la web de una empresa, estos datos pueden recopilarse fácilmente para construir una imagen completa de la identidad digital, a menudo con sus intereses, hábitos y afiliaciones. Esta agregación de información puede ser un problema por varias razones.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Según un Informe de Verizon sobre investigaciones de filtraciones de datos de 2024, hasta el 68% se debieron a errores humanos. De esta cifra, un gran porcentaje ocurrieron por personas que cayeron en tácticas de ingeniería social tales como el phishing, el pretexting, las estafas por correo electrónico y la extorsión. La riqueza de información disponible públicamente es utilizada, justamente, para perfeccionar y refinar las tácticas de ingeniería social con el objetivo de engañar a la gente para que envíe dinero o revele datos confidenciales, como credenciales de cuentas.

Teniendo presente este panorama, motores de búsqueda como Google cuentan con una serie de formularios y en su caso una herramienta llamada Resultados sobre ti (que por el momento solo se encuentra disponible en algunos países) para que los usuarios puedan solicitar la eliminación de su información. Es por esto que ESET detalla cómo se realiza este proceso y en qué casos es aplicable.

El mecanismo consiste en enviar una solicitud directa a Google para que revise y elimine los resultados de búsqueda que cumplan determinados criterios, como la exposición de la dirección de correo electrónico o de un domicilio, las credenciales de acceso u otros datos personales. Se debe iniciar una solicitud de eliminación completando el formulario que se observa en la imagen de abajo y disponible en este enlace.

Si el problema planteado no llegara a ser claro o Google necesitara información adicional para identificarlo, el usuario recibirá un correo electrónico solicitando más aclaraciones.

“Hay quienes pueden sentirse a gusto con que sus datos públicos estén disponibles en Internet, pero otras personas pueden preocuparse por su privacidad. Incluso los personajes públicos y las organizaciones conocidas deberían mantener ciertos datos confidenciales para evitar posibles riesgos de privacidad y seguridad. Al final, todo se reduce a saber qué información personal está visible y permanecer alerta para que los actores maliciosos no te encuentren desprevenido.”, concluye el investigador de ESET.

soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios.

Fuente: Departamento de Comunicación ESET Ecuador

ESET Latinoamérica afirma que el ransomware fue uno de los actores principales de este año en el campo de la seguridad informática, con nuevas cifras de rescates y ataques que pusieron en jaque la información sensible de millones de personas.

Ecuador ­– ESET, segura que el 2024 fue un año récord para el ransomware tanto desde su nivel de alcance hasta las ganancias que obtuvieron los atacantes por sus golpes. Para comprender cómo esta amenaza tuvo un papel determinante en el devenir de la seguridad de la información de las empresas y organizaciones, la compañía detalla cuáles fueron los ataques más paradigmáticos del año, y qué impacto tuvieron en América Latina.

“El ransomware sigue siendo una de las mayores amenazas para la ciberseguridad a nivel mundial. Un informe de Rapid 7 afirma que se registraron más de 2.500 ataques de ransomware solo en la primera mitad de 2024. Lo que se traduce en casi 15 ataques reivindicados públicamente por día. Además, nuestro ESET Security Report de este año, reveló que en América Latina el 14% de las organizaciones afirmó estar dispuesta a pagar un rescate.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

El 2024 se perfila para establecer el récord respecto de los ingresos pagados por ataques de ransomware. Según Chainalysis, los rescates pagados hasta julio rozaban un total de 460 millones de dólares. Además, se registró la cifra más alta pagada por un rescate de ransomware por un total de 75 millones de dólares.

“Es realmente paradójico que pese al desmantelamiento de grupos dominantes como Lockbit, el ransomware se siguió reinventando en manos de grupos más pequeños y flexibles. De hecho, una de las principales características de estos actores emergentes es que trabajan a través de varios grupos de ransomware, consolidando así la llamada democratización del ransomware.”, agrega Gutiérrez Amaya de ESET Latinoamérica.

Los grupos de ransomware siguen explorando nuevas técnicas y tácticas, por ejemplo la incorporación de herramientas que buscan anular tecnologías de seguridad como son los EDR. El equipo de investigación de ESET descubrió este nuevo kit de herramientas desplegado por el ransomware Embargo, que consiste en un loader y un killer EDR, llamados por ESET como MDeployer y MS4Killer. “El ransomware, al igual que las otras amenazas, se volvió mucho más sofisticado con la implementación de herramientas de Inteligencia Artificial. Esto dio por resultado ataques mucho más personalizados, dificultando así la prevención y la respuesta.”, destaca el investigador de ESET.

Situación del ransomware en América Latina

En la región, hubo ciertos grupos como LockBit 3.0, Vice Society, ALPHV (BlackCat) y Medusa que se destacaron por su constante actividad. Un actor decisivo fue RansomHub, grupo que ofrece ransomware como servicio y que desde su aparición a principio de este año afectó a más de 200 organizaciones. Por su servicio cobra el 10% de los pagos obtenidos por sus afiliados en cada ataque, y sus principales víctimas suelen ser instituciones y empresas de alto perfil y gran capacidad de pago.

Otro grupo muy activo en la región fue LockBit 3.0, que entre sus víctimas se destaca una cadena mexicana que vio afectadas 1.800 de sus tiendas en todo el país, perjudicando su operatoria por un periodo de tres meses.

El ransomware fue protagonista de varios ataques en la región. Universidades, Centros de Salud, empresas y organismos gubernamentales de Argentina, Brasil, Chile, Colombia, México, Perú y muchos otros países fueron blanco de ataques de algún grupo de ransomware.

¿Cómo protegerse contra el ransomware?

Para protegerse del ransomware, según ESET, es necesario aplicar un enfoque transversal, que abarque integralmente todas las aristas de una organización. Para eso es aconsejable:

• Implementar la autenticación multifactor (MFA) que fortalece la seguridad y reduce en gran medida el riesgo de accesos indebidos, en caso de compromiso de contraseñas.

• Realizar backups periódicos es clave para minimizar el impacto del ransomware.

• Mantenerse actualizado sobre las últimas amenazas y tendencias de seguridad.

• Capacitar al personal en buenas prácticas de seguridad para prevenir riesgos y amenazas

Fuente: Departamento de Comunicación ESET Ecuador

Amenazas a los datos almacenados en Sync, pCloud y otras alternativas cifradas a Dropbox.

Resulta innegable la comodidad de los servicios de almacenamiento de archivos en la nube como Dropbox o OneDrive. El único inconveniente es que los ciberdelincuentes, los organismos de inteligencia o el propio proveedor de alojamiento pueden ver tus archivos guardados en la nube sin necesidad de autorización. Pero hay una alternativa más segura: el almacenamiento de archivos cifrados en la nube. Hay quien lo denomina cifrado de extremo a extremo (E2EE), y es similar al funcionamiento de Signal o WhatsApp. Según la propaganda de marketing, los archivos se cifran en tu dispositivo y se envían a la nube ya de forma segura: la clave de cifrado permanece en tu poder y en el de nadie más. Ni siquiera el proveedor puede acceder a esa información. ¿Pero es así realmente?

Cifrado como un queso suizo

El Grupo de Criptografía Aplicada de ETH Zurich analizó los algoritmos de cinco populares servicios de almacenamiento cifrado: Sync.com, pCloud, Icedrive, Seafile y Tresorit. En cada uno de ellos, los investigadores encontraron errores en la implementación del cifrado que permitían, en diversos grados, la manipulación de los archivos e, incluso, el acceso a fragmentos de datos no cifrados. Anteriormente ya habían descubierto fallos en otros dos conocidos servicios de alojamiento: MEGA y Nextcloud.

En todos los casos, los ataques se llevan a cabo desde un servidor malicioso. El escenario es el siguiente: los intrusos piratean los servidores de alojamiento cifrado o, al manipular los enrutadores a lo largo de la ruta del cliente al servidor, obligan al ordenador de la víctima a conectarse a otro servidor que imita al servidor de alojamiento cifrado auténtico. Si esta complicada maniobra tiene éxito, los atacantes en teoría podrían hacer lo siguiente:

• En el caso de com, añadir carpetas y archivos con información incriminatoria y cambiar los nombres de los archivos y los metadatos de la información almacenada. Además, el servidor pirateado puede enviar nuevas claves de cifrado al cliente y, posteriormente, descifrar cualquier archivo descargado. Igualmente, la función integrada para compartir permite al servidor malicioso descifrar cualquier archivo compartido por la víctima, ya que la clave de descifrado está incluida en el enlace que se envía al acceder al servidor.
• En el caso de pCloud, añadir archivos y carpetas, mover archivos arbitrariamente y cambiar el nombres de los archivos, eliminar fragmentos de archivos y descifrar los archivos descargados después del pirateo.
• En el caso de Seafile, obligar al cliente a utilizar una versión anterior del protocolo, lo que facilita los ataques de fuerza bruta para descifrar las contraseñas, intercambiar o eliminar fragmentos de archivos, añadir archivos y carpetas, y editar los metadatos de los archivos.
• En el caso de Icedrive, añadir archivos que sean fragmentos de otros archivos ya cargados a la nube, cambiar el nombre y la ubicación de los archivos almacenados, y reordenar los fragmentos de los archivos.
• En el caso de Tresorit, manipular los metadatos de los archivos almacenados, incluida su autoría.
• En el caso de Nextcloud, manipular las claves de cifrado, lo que permite descifrar los archivos descargados.
• En el caso de MEGA, restaurar las claves de cifrado y descifrar así cualquier archivo. También es posible añadir archivos incriminatorios.

En cada caso, el servidor malicioso es un componente del ataque difícil de implementar, pero no puede afirmarse que sea imposible. A la luz de los ciberataques contra Microsoft y Twilio, la posibilidad de que un servicio importante se vea comprometido es real. Y, por supuesto, el E2EE debe ser por definición resistente a las acciones maliciosas del lado del servidor.

Sin entrar en detalles técnicos, observamos que los desarrolladores de todos los servicios parecen haber implementado el E2EE de buena fe y emplean algoritmos robustos y reconocidos como AES y RSA. Pero el cifrado de archivos crea muchas dificultades técnicas en lo que respecta a la colaboración y la coautoría de los documentos. Las tareas necesarias para superar estas dificultades y tener en cuenta todos los posibles ataques relacionados con claves de cifrado modificadas siguen sin resolverse, pero Tresorit es quien mejor trabajo ha hecho.

Los investigadores señalan que los desarrolladores de los distintos servicios cometieron errores muy similares de forma independiente unos de otros. Esto significa que la implementación del almacenamiento en la nube cifrado está plagada de matices criptográficos no triviales. Lo que se necesita es un protocolo bien desarrollado sometido a pruebas exhaustivas por la comunidad criptográfica, como TLS para sitios web o el Protocolo de señal para los servicios de mensajería instantánea.

Arreglos costosos

El mayor problema de la reparación de los errores identificados es que no solo es necesario actualizar las aplicaciones y el software del servidor, sino que también, en muchos casos, es necesario volver a cifrar los archivos guardados por los usuarios. No todos los proveedores de alojamiento pueden permitirse este enorme gasto computacional. Además, el nuevo cifrado solo es posible en cooperación con cada usuario, por lo que no puede hacerse de forma unilateral. Esa es la razón por la que probablemente las correcciones tardan en llegar:

• com respondió a los investigadores después de seis meses, y solo una vez que habían aparecido los informes en la prensa. Tras haber reaccionado finalmente, anunciaron una solución para el problema de la pérdida de claves al compartir enlaces, y dijeron que también corregirían el resto de fallos, pero sin mencionar el plazo en que lo harían.
• Tresorit prometió solucionar el problema en 2025 (pero el problema es menos grave para ellos).
• Seafile solucionó el problema de la degradación de la versión del protocolo sin comentar nada sobre el resto de fallos.
• Icedrive decidió no abordar los problemas identificados.
• pCloud no respondió a los investigadores hasta que no aparecieron los informes en la prensa. Fue entonces cuando afirmó que los ataques son teóricos y que no requieren una acción inmediata.
• Nextcloud solucionó el problema y modificó en gran medida el enfoque general del E2EE en la versión 3.12. El esquema de cifrado actualizado aún no se ha analizado.
• MEGA redujo significativamente la probabilidad de un ataque al introducir comprobaciones del lado del cliente.

Qué deben hacer los usuarios

Si bien los problemas identificados por el Grupo de Criptografía Aplicada no pueden considerarse puramente teóricos, no representan una amenaza masiva que los ciberdelincuentes puedan explotar fácilmente. Por lo tanto, no es necesario adoptar medidas de manera apresurada; más bien, el usuario debería hacer una evaluación detenida de su situación:

• ¿Cómo de sensibles son los datos que tiene en el almacenamiento y cómo de tentadores son para terceras personas?
• ¿Cuántos datos almacena en el servicio cifrado? ¿Resultaría sencillo moverlos a otro?
• ¿Qué importancia tienen las funciones de colaboración y para compartir archivos?

Si la colaboración no es importante y los datos almacenados son críticos, la mejor opción es pasarse al cifrado local de los archivos. Puedes hacerlo de varias maneras, por ejemplo, almacenando los datos en un archivo contenedor cifrado o en un archivo comprimido con una contraseña segura. Si necesitas transferir datos a otro dispositivo, puedes cargar un archivo ya cifrado al servicio de alojamiento en la nube.

Si quieres combinar la colaboración y la comodidad con unas garantías de seguridad adecuadas, y la cantidad de datos almacenados no es tan grande, merece la pena mover los datos a uno de los servicios que resistió mejor las pruebas de ETH Zurich. Tresorit sería entonces la primera opción, pero tampoco hay que descartar MEGA o Nextcloud.

Si ninguna de estas soluciones se ajusta a tus necesidades, puedes optar por otros servicios de alojamiento cifrado, pero tomando precauciones adicionales, como por ejemplo: no almacenar datos muy confidenciales, actualizar siempre las aplicaciones cliente, comprobar periódicamente tus unidades en la nube y eliminar la información obsoleta o superflua.

En cualquier caso, recuerda que el ataque más probable contra tus datos será a través de un ladrón de información que simplemente comprometerá tu ordenador o tu teléfono. Por eso, el alojamiento cifrado debe ir de la mano de una protección antimalware integral para todos los teléfonos y ordenadores.

Fuente: latam.kaspersky.com

Mientras disfruta las fiestas de fin de año, los ciberdelincuentes podrían estar preparándose para su próximo gran ataque, por lo que es fundamental asegurar que las defensas de su empresa estén listas.

Fuente: www.welivesecurity.com

La apelación de emergencia lleva a los jueces a una pelea de alto perfil entre el Congreso, que ha expresado preocupación por la seguridad nacional sobre el control de la aplicación por parte de China, y los usuarios y ejecutivos de la plataforma, que argumentan que la prohibición viola la Primera Enmienda.

La solicitud de emergencia a la Corte Suprema se produce después de que un tribunal federal de apelaciones confirmara por unanimidad la prohibición en un fallo que decía que el gobierno tenía un interés de seguridad nacional en regular la plataforma en Estados Unidos. La prohibición entrará en vigor el 19 de enero, un día antes de que el presidente electo Donald Trump asuma el cargo. Trump parece haber apoyado la disponibilidad de la aplicación en EE.UU.

La apelación llegó al expediente de emergencia del tribunal superior, que los críticos llaman el “expediente en la sombra”, días después de que el Tribunal de Apelaciones del Circuito de Washington rechazara la solicitud de la empresa de bloquear temporalmente la ley, lo que le dio otra derrota a la empresa en su intento de evitar que se aplique la prohibición el próximo mes.

Los abogados de TikTok piden a la Corte Suprema que bloquee temporalmente la prohibición para darle tiempo a la empresa de pedir a los jueces que revisen su impugnación. Si los jueces están de acuerdo, la ley, como mínimo, permanecería en suspenso hasta que el tribunal decida si escuchará el caso.

La prohibición “cerrará una de las plataformas de expresión más populares de Estados Unidos el día antes de la posesión presidencial”, escribieron los abogados de TikTok. “Esto, a su vez, silenciará la expresión de los solicitantes y de los muchos estadounidenses que utilizan la plataforma para comunicarse sobre política, comercio, arte y otros asuntos de interés público”.

Los abogados pidieron a la Corte Suprema que decida sobre su solicitud de emergencia antes del 6 de enero para darle a la empresa tiempo suficiente “para coordinarse con sus proveedores de servicios para realizar la compleja tarea de cerrar la plataforma TikTok solo en Estados Unidos”. También sugirieron que el tribunal podría aceptar escuchar el caso sin necesidad de recibir presentaciones adicionales.

“Las restricciones a la libertad de expresión sobrevivieron a las normas más exigentes de la Constitución solo en circunstancias excepcionales y limitadas”, escribieron. “Este Tribunal debería asegurarse de que esta protección fundamental no se haya diluido con una decisión que confirma una ley que prohíbe una plataforma de expresión utilizada por la mitad del país”.

La prohibición fue aprobada por el Congreso con apoyo bipartidista a principios de este año y firmada como ley por el presidente Joe Biden en abril. La ley responde a años de preocupación en Washington por el riesgo que representa para la seguridad nacional la empresa matriz china de la aplicación, ByteDance.

La ley exige que la plataforma se venda a un nuevo propietario no chino o que se prohíba su uso en Estados Unidos. Después de la fecha límite de enero, si TikTok no se vende, las tiendas de aplicaciones y los servicios de Internet estadounidenses podrían enfrentarse a fuertes multas por alojar la aplicación.

Según la legislación, el presidente puede emitir una extensión única del plazo.

Los abogados de la empresa no perdieron tiempo en señalar a la administración entrante y los comentarios de apoyo de Trump sobre la aplicación en su presentación del lunes. Bloquear la entrada en vigor de la ley, dijeron, es “apropiado” porque daría “tiempo a la administración entrante para determinar su posición, debido a que el presidente electo y sus asesores han expresado su apoyo a salvar” TikTok.

“El fundamento del miedo sobre la seguridad nacional no puede ocultar la amenaza que la Ley en sí misma plantea a todos los estadounidenses”, dijeron los abogados a la Corte Suprema.

Más temprano este lunes, Trump dijo a los periodistas que tiene “un pequeño lugar cálido en mi corazón” por TikTok porque lo ayudó a conectarse con los votantes jóvenes. No respondió directamente cómo o si podría intentar impedir que la prohibición entre en vigor.

El Circuito de Washington dijo en su fallo del 6 de diciembre que la ley no violaba la Constitución, y afirmó que satisface un estándar legal conocido como escrutinio estricto que debe cumplirse para que las restricciones gubernamentales a la libertad de expresión se mantengan.

“La ley fue la culminación de una amplia acción bipartidista por parte del Congreso y de sucesivos presidentes. Fue cuidadosamente elaborada para abordar únicamente el control por parte de un adversario extranjero, y fue parte de un esfuerzo más amplio para contrarrestar una amenaza a la seguridad nacional bien fundamentada planteada por la (República Popular de China)”, dice el fallo. “En estas circunstancias, las disposiciones de la ley que tenemos ante nosotros resisten la revisión más minuciosa”.

ByteDance ha indicado anteriormente que no venderá TikTok.

La Corte Suprema ha profundizado reiteradas veces en las luchas sobre las redes sociales y la Primera Enmienda en los últimos años, incluida una decisión importante en junio en la que una mayoría de la Corte señaló que creía que las plataformas gozan de cierta protección bajo la Primera Enmienda.

“Al construir ciertos feeds, esas plataformas toman decisiones sobre qué discurso de terceros mostrar y cómo mostrarlo”, escribió la jueza Elena Kagan, miembro del bloque liberal de la Corte, a quien se le unieron tanto conservadores como liberales en su opinión. “Hemos sostenido en repetidas ocasiones que las leyes que limitan las opciones editoriales deben cumplir con los requisitos de la Primera Enmienda”.

El tribunal de apelaciones citó repetidamente esa decisión en su fallo en el caso de TikTok. Pero las protecciones de la Primera Enmienda no son absolutas, y el Circuito de Washington confirmó por unanimidad la ley por motivos de seguridad nacional.

Fuente: www.cnnespanol.cnn.com

OpenStreetMap es uno de esos proyectos de fuente abierta muy importantes, pero que pasa muy desapercibido para el común de los mortales porque aunque es ampliamente utilizado por mil y una aplicaciones, el usuario medio suele tirar, sobre todo, de Google Maps. Y lo digo con cargo de conciencia, porque medios como este tendríamos que prestarle más atención.

De hecho, hace casi una década que no publicamos una sola noticia acerca de OpenStreetMap. Fue en septiembre de 2015, cuando nos hicimos eco de Maps.me, la que sigue siendo una de las apps móviles más recomendadas para OpenStreetMap… Pero es que un año antes, en agosto de 2014, recogíamos la noticia del décimo aniversario del proyecto. Ergo, este 2024 ha cumplido lo veinte, que se dice pronto.

Hoy le volvemos a hacer hueco porque leyendo Bits from Debian, me entero de que OpenStreetMap ha migrado a Debian. Una pequeña anécdota para el interesado, pero todo un hito para el proyecto, cuya infraestructura se llevaba ejecutando los últimos dieciocho años sobre Ubuntu. ¿A qué se ha debido el cambio? Básicamente quieren exprimir al máximo el rendimiento del hardware y el kernel les estaba dando problemas.

Sin embargo, un cambio de estas características, todavía en proceso, tiene muchas más derivadas que la versión del kernel que lleva la distribución de turno. Sobre todo ello se dan unos cuantos detalles en el enlace anterior, donde realizan una breve entrevista a los responsables de OpenStreetMap en torno a este asunto.

Pero sobre todo le hacemos -o le hago- el hueco porque al leer la noticia y echar un vistazo al archivo de MuyLinux, me he dado cuenta del tiempo que había pasado sin siquiera mencionar el proyecto. Un proyecto de implicaciones serias no solo para sus usuarios, sino para la sociedad en general. O así debería ser, porque dejar el mapeo del mundo a las multinacionales no es la mejor idea.

Además, OpenStreetMap es un proyecto con el que cualquiera puede colaborar aunque carezca de conocimientos técnicos. Con ir añadiendo lo que vea que falta o corregir lo que vea que está mal, hablando siempre de la zona po la que vive y conoce. Yo mismo lo acabo de hacer ahora con una calle cerca de donde vivo, cuya información estaba desactualizada. Hay que dedicarle un ratito, pero es entretenido.

Eso es todo por ahora. Un mero recordatorio de que OpenStreetMap sigue ahí. A todo esto, me gustaría preguntaros: ¿usáis OpenStreetMap? ¿Qué aplicaciones recomendáis?

Fuente: www.muylinux.com

Fuente: cnnespanol.cnn.com

La seguridad informática enfrenta un nuevo desafío con la aparición de WolfsBane, un backdoor dirigido a Linux atribuido al grupo de hackers chinos Gelsemium. Este malware, considerado una adaptación de una variante para Windows, marca un cambio significativo en las tácticas de los actores malintencionados hacia los sistemas Linux.

Antecedentes

En los últimos años, los grupos de Amenazas Persistentes Avanzadas (APT, por sus siglas en inglés) han intensificado sus ataques a plataformas Linux debido a los crecientes niveles de seguridad en Windows. Herramientas como la detección y respuesta en endpoints (EDR) y la desactivación de macros de VBA por defecto han hecho que los atacantes exploren nuevos vectores de ataque, especialmente en sistemas expuestos a internet que, en su mayoría, funcionan con Linux.

WolfsBane: Un Nuevo Actor en el Escenario del Malware

Componentes del Malware

Según los investigadores de ESET, WolfsBane es un malware completo que incluye tres componentes principales:

1. Dropper: Introduce el malware al sistema objetivo.
2. Launcher: Disfrazado como un componente de escritorio KDE, establece persistencia en el sistema.
3. Backdoor: Realiza operaciones maliciosas y facilita la comunicación con servidores de comando y control (C2).

El malware utiliza un rootkit de código abierto modificado, conocido como BEURK, para evadir la detección al ocultar procesos, archivos y tráfico relacionado con WolfsBane.

Método de Operación

• Entrega: Introducido mediante un dropper llamado cron.
• Persistencia: Modifica configuraciones del sistema y desactiva SELinux si opera con privilegios elevados.
• C2 y Funcionalidades: WolfsBane ejecuta comandos del servidor C2 que incluyen operaciones con archivos, exfiltración de datos y manipulación del sistema, dando control total al atacante.

FireWood: Otro Malware en el Radar

Aunque no directamente vinculado a Gelsemium, FireWood es otro backdoor para Linux identificado por ESET. Este malware está diseñado para espionaje a largo plazo y presenta capacidades avanzadas como:

• Ejecución de comandos del sistema.
• Exfiltración de datos.
• Carga y descarga de bibliotecas.
• Uso de un rootkit a nivel de kernel (usbdev.ko) para ocultar procesos.

FireWood establece persistencia creando archivos de inicio automático, lo que asegura que se active cada vez que el sistema se reinicie.

Impacto y Tendencias

ESET señala que esta tendencia de malware para Linux es cada vez más notable. Con WolfsBane y FireWood, los atacantes están explorando vulnerabilidades en sistemas Linux para realizar campañas de espionaje y control total de los sistemas comprometidos.

Recomendaciones de Seguridad

1. Actualizar Sistemas Regularmente: Asegurarse de instalar actualizaciones de seguridad en el sistema operativo y aplicaciones.
2. Configurar SELinux o AppArmor: Implementar políticas estrictas de seguridad.
3. Monitoreo de Actividades Inusuales: Utilizar herramientas para identificar comportamientos sospechosos en el sistema.
4. Revisar Configuraciones de Autostart: Buscar entradas sospechosas en directorios como .config/autostart/.

La aparición de WolfsBane y FireWood destaca la creciente amenaza que representa el malware dirigido a Linux. Con herramientas avanzadas para evadir detecciones, estos malwares subrayan la importancia de fortalecer las defensas en sistemas basados en Linux, especialmente aquellos expuestos a internet.

Indicadores de Compromiso

Para más información y detalles técnicos, se puede acceder al repositorio de GitHub proporcionado por los investigadores de ESET, que incluye indicadores de compromiso asociados con estas amenazas.

Fuente: www.somoslibres.org