Noticias de ciberseguridad
A continuación, hemos seleccionado las noticias de seguridad a nivel mundial más relevantes.
Darcula: análisis de plataforma de Phishing as a Service
El equipo de investigadores de Netcraft ha realizado una publicación en la que analizan el servicio de Phishing as a Service denominado Darcula. En concreto, los investigadores señalan que dicha plataforma emplearía más de 20 000 dominios en 11 000 direcciones IP para falsificar a más de 200 marcas con el objetivo de engañar a usuarios tanto de dispositivos Android como iPhone de más de 100 países. Según los expertos, Darcula destaca por emplear JavaScript, React, Docker y Harbour, lo que permite actualizaciones continuas y nuevas funciones sin necesidad de reinstalar kits de phishing. Asimismo, Darcula no utiliza la clásica remisión de mensajes SMS, en su lugar utiliza RCS (Android) e iMessage (iOS) para enviar mensajes a las víctimas con enlaces a las URL de phishing. Más información en https://www.netcraft.com/blog/
El malware para Android Vultur expande su alcance
Los desarrolladores del troyano bancario para Android conocido como Vultur han introducido recientemente nuevas funcionalidades técnicas. Según los investigadores de Fox-IT, estas nuevas capacidades permiten al operador del malware tener un mayor control remoto sobre el dispositivo móvil de la víctima. Además, Vultur ha mejorado su estrategia de ocultamiento al encriptar su comunicación C2 y emplear múltiples cargas encriptadas que se descifran dinámicamente. Para camuflarse también utiliza la apariencia de aplicaciones legítimas, incluyendo una aplicación de seguridad de McAfee, mientras lleva a cabo sus acciones maliciosas, dificultando así su detección. Finalmente, los investigadores destacan que esta nueva versión de Vultur está siendo distribuida por ataques híbridos que combinan técnicas de phishing por SMS (smishing) y llamadas telefónicas que instan a la víctima a instalar la aplicación que contiene el malware. Accede a la noticia completa en https://blog.fox-it.com/2024/03/28/
Campaña maliciosa distribuyendo StrelaStealer
El equipo de investigadores de Unit 42 de Palo Alto ha publicado un informe en el que analiza una campaña maliciosa dedicada a la distribución del software malicioso StrelaStealer. En concreto, según los expertos, dicha campaña habría impactado contra más de 100 organizaciones de EE. UU. y la Unión Europea a lo largo de dos grandes campañas de malspam ocurridas en noviembre de 2 023 y enero de 2 024. Asimismo, cabe indicar que los sectores de las organizaciones afectadas incluyen al tecnológico, finanzas, legal, manufactura, gubernamental, energía, seguros y construcción. En relación al vector de entrada, actores maliciosos distribuyen correos con archivos adjuntos que lanzan un payload de StrelaStealer, el cual cambian el formato del archivo adjunto de una campaña a la siguiente con el fin de evadir la detección. Accede a la noticia completa en https://unit42.paloaltonetworks.com/
Detectada nueva técnica de ataque contra servidores DHCP
Investigadores de seguridad de Akamai han descubierto una nueva técnica a la que denominaron DHCP Coerce, la cual consiste en una escalada de privilegios que afecta a los entornos de Active Directory (AD) y aprovecha el grupo de administradores de DHCP, pudiendo comprometer redes enteras. La técnica implica la manipulación de configuraciones y scripts maliciosos, lo que permite a los atacantes apoderarse del dominio y manipular datos. Además, como ya se mencionó anteriormente, abusa del grupo de administradores de DHCP, comprometiendo servidores DHCP en controladores de dominio para acceder a recursos valiosos, lo que podría comprometer credenciales de clientes. La técnica también manipula la opción de servidor DNS para redirigir actualizaciones dinámicas de DNS y comprometer servidores. Al mismo tiempo, los atacantes pueden forzar autenticación Kerberos y retransmitirla para obtener control total sobre el servidor. Akamai afirma que esta técnica se basa en el abuso de funciones legítimas y no se basa en ninguna vulnerabilidad, por lo que no existe una solución. Accede a la noticia completa en https://www.akamai.com/blog/
Campaña de phishing utilizando archivos de OneNote
El equipo de investigadores de The Dfir Report han publicado los resultados de una investigación sobre una campaña maliciosa de phishing que utiliza archivos de Microsoft OneNote como vector de entrada. Según los expertos, esta campaña comenzó en febrero de 2023 y finalizó en marzo del mismo año, y los actores maliciosos tras estos hechos dirigieron su actividad contra empresas del sector industrial, tecnología, energía, retail y seguros. En cuanto al vector de entrada, el ataque consiste en la remisión de correos con un archivo adjunto de OneNote que al ejecutarlo aparece una pantalla con un botón abrir, el cual al ejecutarse comienza a descargarse una dll del software malicioso IcedID. Accede a la noticia completa en https://thedfirreport.com/2024/04/01/
Campaña PhantomBlu para la distribución del troyano NetSupport RAT
Investigadores de Perception Point han descubierto una campaña de correo electrónico malicioso llamada PhantomBlu, en la que los atacantes se hacen pasar por un servicio de contabilidad para engañar a los usuarios de Microsoft Office en organizaciones de EE. UU. Los correos electrónicos invitan a los destinatarios a descargar un archivo Word de Microsoft Office que supuestamente contiene un informe mensual de nóminas. Sin embargo, este archivo protegido por contraseña en realidad contiene el troyano de acceso remoto (RAT) conocido como NetSupport RAT, que manipula las plantillas de Object Linking and Embedding (OLE). Este malware puede monitorear el comportamiento de la víctima, capturar pulsaciones de teclas, transferir archivos y tomar el control de los recursos del sistema. Accede a la noticia completa en https://perception-point.io/blog
Los virus y el malware evolucionan continuamente y cada vez son más peligrosos. Para no correr riesgos innecesarios, te recomendamos que protejas tu empresa y evites ser víctima de un ciberataque.
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
