Noticias de seguridad a nivel mundial destacadas
Malware, phishing, ransomware y smishing
Identificada nueva campaña de QBot
Investigadores de seguridad han publicado un análisis sobre las TTPs empleadas en una nueva campaña del ya conocido malware Qbot, el cuál ahora infectaría a sus víctimas mediante el uso de archivos PDF y Windows Script Files (WSF). Esta campaña de phishing se distribuye mediante emails que emplean hilos de correo legítimos y contienen un archivo PDF adjunto que, cuando se abre, se descargará un archivo ZIP que contiene un archivo WSF. Este archivo tiene como objetivo final ejecutar un script en PowerShell, con el que se trata de descargar una DLL de QBot. Cabe destacar que numerosos actores como BlackBasta, REvil, PwndLocker, Egregor, ProLock y MegaCortex han utilizado Qbot para el acceso inicial a las redes corporativas. Accede a la noticia completa en https://securelist.com/qbot-banker
Smishing suplantando a la Agencia Tributaria
Se han detectado varias campañas de smishing que suplantan a la Agencia Tributaria. A través de un SMS se le solicita al usuario facilitar la información de la tarjeta bancaria para recibir el reembolso de un impuesto o una devolución de la renta de 2022 junto con el bono social de 200€. La finalidad de esta estafa es robar los datos personales y bancarios de las víctimas.
Si has recibido un SMS con las características descritas elimínalo de tu bandeja de mensajes cuanto antes. Si ya has accedido a la dirección y has facilitado los datos solicitados en el formulario, te sugerimos que realices las siguientes recomendaciones:
- Notifica a tu banco para informarle del suceso y bloquea todos los movimientos que se hayan realizado sin tu autorización.
- Durante las próximas semanas o meses te recomendamos que revises los movimientos que realices con tu cuenta bancaria.
- Cambia los códigos de seguridad y el PIN de tu tarjeta de crédito lo antes posible.
Accede a la noticia completa en https://www.osi.es/es/actualidad/avisos/2023/
Vulnerabilidad 0-day que afecta a Google Cloud Platform
Investigadores de Astrix publicaron acerca de la existencia de una vulnerabilidad 0-day que afecta a Google Cloud Platform (GCP). La vulnerabilidad, denominada GhostToken, permite a los actores de amenaza ocultar una aplicación maliciosa de la página de administración de aplicaciones de la cuenta de Google de la víctima, y que de esta manera no se pueda eliminar. Por lo que, pueden mostrar su aplicación y usar el token para acceder a la cuenta de la víctima, a los entornos de GCP, a las fotos personales y, a sus cuentas de correo electrónico, y luego ocultarla rápidamente para así restaurar su estado inamovible. Esta vulnerabilidad podría representar consecuencias de gran alcance ya que, con la información obtenida de sus víctimas, los actores de amenaza podrían ejecutar ataques de suplantación de identidad, ataques de ingeniería social, filtrar datos confidenciales de Google Calendar, Photos, Docs, entre otras. Accede a la noticia completa en https://astrix.security/ghosttoken-exploiting-gcp
CrossLock: nuevo ransomware escrito en Go
El equipo de Cyble Research and Intelligence Labs ha descubierto un nuevo ransomware denominado CrossLock. Escrito en Go, ya habría añadido una compañía a su lista de víctimas, empleando la técnica de doble extorsión, que tiene como objetivo aumentar la probabilidad de pago del rescate. Una vez que se ejecuta, CrossLock identifica si el sistema es un entorno WINE y posteriormente, para evitar ser detectado, modifica funciones del seguimiento de eventos para Windows (ETW), como EtwNotificationRegistree(), EtwEventRegister(), EtwEventWriteFull() y EtwEventWrite(). Después de realizar estos cambios en ETW, el ransomware realiza una serie de acciones en el sistema a través de unas líneas de comando para eliminar las instantáneas, los registros de eventos y las copias de seguridad. Además, es capaz de detener más de 500 servicios que se estén ejecutando en el sistema de la víctima. Accede a la noticia completa en https://blog.cyble.com/2023/04/18/
Los virus y el malware evolucionan continuamente y cada vez son más peligrosos. Para no correr riesgos innecesarios, te recomendamos que protejas tu empresa y evites ser víctima de un ciberataque.
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
