A continuación, hemos seleccionado las noticias de seguridad a nivel mundial más relevantes
Malware, phishing, ransomware y smishing
Campaña maliciosa afecta a miles de sitios Wordpress
Investigadores de Sucuri han identificado una campaña de infecciones en Wordpress que estaría operando desde finales de diciembre de 2022. La campaña se basaría en la inyección de JavaScript ofuscado que se alojaría en un dominio malicioso llamado track[.]violetlovelines[.]com. Este dominio se emplearía después para redirigir al usuario a páginas web no deseadas.
Estas webs incluyen desde fraudes de soporte informático, hasta sitios de citas o directamente phishing. Según la investigación, la campaña habría afectado a más de 3.600 páginas de Wordpress desde diciembre, mientras que una operación anterior, en septiembre, acumularía más de 7.000. Desde su notificación por parte de Sucuri, Google habría bloqueado al menos uno de los dominios empleados para la redirección. Accede a la noticia completa en https://blog.sucuri.net/2023/01/
Hook: nuevo troyano bancario contra dispositivos Android
Investigadores de ThreatFabric han descubierto un nuevo troyano bancario en Android llamado Hook. De acuerdo con los investigadores, este habría sido puesto a la venta por el mismo desarrollador que el troyano bancario en Android Ermac, contando si bien, con más capacidades que su predecesor, con el que comparte gran parte de su código fuente. El aspecto más destacado de Hook es que incluye un módulo VNC (virtual network computing) que permite tomar el control en tiempo real de la interface comprometida. Por último, cabe destacar que España es el segundo país con más aplicaciones bancarias amenazadas por Hook solo por detrás de Estados Unidos, según el informe de ThreatFabric. Accede a la noticia completa en https://www.threatfabric.com/blogs/
Campaña de phishing con falsas facturas que descargan malware
Se ha detectado una campaña de correos maliciosos de tipo phishing cuyo objetivo es infectar los dispositivos con malware. Los correos electrónicos identificados tienen como asunto «Factura Pendiente». En dichos correos, los ciberdelincuentes se hacen pasar por proveedores, es este caso abogados, que reclaman un pago pendiente. Cuando el usuario descarga la supuesta factura, se descarga el malware en su dispositivo.
Si has descargado y ejecutado el archivo, realiza un escaneo de todo el equipo con el antivirus y sigue las instrucciones marcadas por el mismo para eliminar el malware. Accede a la noticia completa en https://www.incibe.es/protege-tu-empresa/
Intrusión en cerca de 35.000 cuentas de PayPal
La compañía PayPal ha emitido un comunicado en el que informa sobre un ataque de credential stuffing afectando a cerca de 35.000 cuentas de clientes de la entidad. Según detalla PayPal, el ataque se produjo entre el 6 y el 8 de diciembre de 2022, momento en que la empresa detectó y mitigó este ataque. Asimismo, el día 20 de dicho mes, tras finalizar una investigación interna, concluyeron que terceros no autorizados iniciaron sesión en las cuentas con credenciales válidas.
PayPal afirma que dichos accesos no se debieron a una brecha en sus sistemas, sino que señalan que los accesos debieron haber sido conseguidos fruto de filtraciones de datos que reutilizaban el mismo usuario y contraseña en otros servicios. Se estima que actores maliciosos tras estos hechos tuvieron acceso a nombres completos, fechas de nacimiento, direcciones, números de identificación fiscal y datos bancarios. No obstante, la compañía afirma que no se logró realizar ninguna transacción desde las cuentas de PayPal comprometidas. La compañía ha emitido un correo informando a aquellos clientes afectados, a los cuales recomienda cambiar sus credenciales de acceso y activar el 2FA. Accede a la noticia completa en https://www.documentcloud.org/documents
SaaS Rootkit, nuevo vector de ataque en Microsoft 365
El equipo de seguridad de Adaptative Shield ha descubierto un nuevo vector de ataque causado por una vulnerabilidad en el registro de la aplicación OAuth de Microsoft. La vulnerabilidad permite a los atacantes aprovechar la API de Exchange para crear reglas de reenvío ocultas en los buzones de correo de Microsoft 365. Esto se realiza a través de un rootkit SaaS, que les permite infiltrarse en las cuentas de los usuarios sin su conocimiento y mediante el mecanismo OAuth 2.0. Este mecanismo es una herramienta totalmente legítima que simplifica el proceso de autenticación de los usuarios para dar permisos a la aplicación, si bien, puede ser utilizado como malware. Accede a la noticia completa en https://www.darkreading.com/vulnerabilities-threats/saas
Google deshabilita 50.000 cuentas dedicadas a la desinformación
El Grupo de Análisis de Amenazas de Google (TAG) ha emitido una actualización respecto a su operación contra DRAGONBRIDGE, una red dedicada a la desinformación pro-China también conocida como Spamouflage Dragon. Durante el año 2022, la compañía habría desmantelado más de 50.000 instancias relacionadas con las campañas de este actor, activo desde julio de 2022. Accede a la noticia completa en https://blog.google/threat-analysis
Nueva variante de PlugX infecta dispositivos USB
Investigadores de Unit42 de Palo Alto han identificado una nueva variante del malware PlugX que infecta cualquier dispositivo externo conectado vía USB. Durante una investigación relacionada con un incidente del grupo Black Basta, observaron una muestra de este malware capaz de infectar y evitar ser detectado en sistemas Windows. Entre las técnicas empleadas estaría el uso de un carácter Unicode específico para ocultar archivos en un dispositivo USB conectado, así como ocultar el código malicioso en la papelera de reciclaje del sistema infectado.
En la búsqueda de variantes similares, los investigadores identificaron una muestra en VirusTotal que infectaría dispositivos USB y copiaría todos los archivos Word y PDF de la víctima. Accede a la noticia completa en https://unit42.paloaltonetworks.com/
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
