Campaña de phishing contra Office 365
Investigadores de seguridad de Cofense han detectado recientemente una campaña de phishing mediante correo electrónico que trata de suplantar al departamento de seguridad IT de Outlook en una actualización de seguridad con el objetivo de robar las credenciales de Office 365 de la víctima. En esta nueva campaña se incluye un documento PDF adjunto que los atacantes invitan a revisar para que se aplique una nueva actualización de seguridad de Office 365. Este documento contendría el logo de Microsoft, así como el de la compañía de la víctima, para otorgarle una mayor veracidad al fraude. Además, en él se encuentran datos específicos sobre la supuesta actualización y un botón para iniciar su descarga, utilizando el servicio legítimo Google Ad Services para redirigir a la víctima al sitio malicioso donde se le solicita introducir la contraseña de su cuenta de Office 365. Más información en https://cofense.com/.
Mercedes-Benz expone información sensible de clientes y compradores interesados
El 11 de junio de 2021, un proveedor informó a Mercedes-Benz que la información personal confidencial de menos de 1000 clientes de Mercedes-Benz y compradores interesados se hizo accesible inadvertidamente en una plataforma de almacenamiento en la nube. Esta confirmación formaba parte de una investigación en curso llevada a cabo en cooperación con el proveedor. Entendemos que la información fue introducida por clientes y compradores interesados en los sitios web de concesionarios y Mercedes-Benz entre el 1 de enero de 2014 y el 19 de junio de 2017. Ningún sistema Mercedes-Benz se vio comprometido como resultado de este incidente, y en este momento, no tenemos evidencia de que los archivos de Mercedes-Benz fueron mal utilizados.
El proveedor informa que la información personal de estas personas (menos de 1000) se compone principalmente de puntajes de crédito autoinformados, así como un número muy pequeño de números de licencia de conducir, números de seguro social, información de tarjetas de crédito y fechas de nacimiento. Para ver la información, uno necesitaría conocimiento de programas y herramientas de software especiales, una búsqueda en Internet no devolvería ninguna información contenida en estos archivos. Más información en https://media.mbusa.com/
Plataforma secreta de la OTAN ha sido hackeada
La plataforma SOA & IdM de la OTAN, ha sido comprometida. El reciente hackeo de la plataforma secreta de la OTAN está directamente relacionado con el ataque sufrido por Everis en mayo de este mismo año. Entre los datos que se vieron expuestos al ataque se encontraban el código fuente y la documentación de la plataforma.
Además de tener acceso a la información mencionada, los atacantes habrían podido borrar las copias adicionales de la información robada, así como también se jactaban de haber tenido la posibilidad de modificar puertas traseras, en lugar de borrar y robar datos confidenciales.
La plataforma que se ha visto afectada por el ataque se conoce como Service-Oriented Architecture and Identity Access Management (SOA & IdM), una de las partes claves del proyecto de modernización en el ámbito IT de la OTAN. Esta plataforma se usa para administrar aspectos como la seguridad y la integración, y tiene funcionalidades de registro y repositorio, administración de servicios, etc. Más información en https://unaaldia.hispasec.com/
ReverseRat utilizado en ataques contra organizaciones gubernamentales y energéticas en Asia
Un actor amenaza con presuntos vínculos con Pakistán habría estado atacando a organizaciones gubernamentales y energéticas en las regiones del sur y centro de Asia para implementar un troyano de acceso remoto en sistemas Windows, al que los investigadores han llamado ReverseRat. Este malware se despliega en paralelo con una RAT de código abierto llamada AllaKore, como un intento alternativo de mantener el acceso a la red comprometida.
El ataque comienza con un enlace malicioso enviado a través de correos de spear-phishing, el cual descarga un fichero ZIP con un archivo LNK malicioso y un PDF benigno que actúa como señuelo. El archivo de acceso directo se encarga de buscar y ejecutar sigilosamente un archivo HTA (aplicación HTML) de un sitio web comprometido, que posteriormente inyectará una shellcode de 32 bits en un proceso en ejecución, llevando finalmente a instalar y ejecutar ReverseRat. Más información en https://blog.lumen.com/
Nuevos paquetes maliciosos identificados en el repositorio de Python PyPl
El equipo de Sonatype ha identificado seis paquetes de python subidos al repositorio de código abierto PyPI con funcionalidades para la minería de criptomonedas. Los atacantes utilizaban typosquatting en el nombre de los paquetes para comprometer a las víctimas que cometían errores tipográficos al pretender la descarga de paquetes conocidos.
Estos artefactos fraudulentos con los nombres de maratlib, maratilb1, matplatlib-plus, mllearnlib, mllearnlib y mllearnlib, cuentan con un total de 5.000 descargas. Al instalarse en un dispositivo, provocan la descarga del criptominero Ubqminer, que permite minar la moneda virtual UBQ. Adicionalmente, existe una variante que hace uso de la GPU para minar Ethereum mediante la herramienta open-source T-REX. Más información en https://blog.sonatype.com/
Nuevas aplicaciones maliciosas del malware Joker descubiertas en Google Play
El equipo de Quick Heal Security Labs ha descubierto ocho nuevas aplicaciones maliciosas que contienen el malware Joker en el market oficial Google Play. En los últimos tres años los actores tras esta pieza de malware se han intentado introducir en el mercado de aplicaciones Android de Google, mediante la suplantación de apps móviles de mensajería, escáneres de documentos y fondos de pantalla para conseguir acceso a los dispositivos de las víctimas.
Este troyano, Joker, actúa como un spyware que roba los SMS, la lista de contacto y la información del dispositivo, para después de manera silenciosa suscribirse a servicios premium de publicidad. En enero de 2020, Google informó de que habían eliminado de la Play Store más de 1.700 aplicaciones troyanizadas con el citado malware. Las ocho descubiertas en esta ocasión acumulaban más de 50.000 descargas en total. Más información en https://blogs.quickheal.com/
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
