Noticias de seguridad más relevantes a nivel mundial
Malware, phishing, ransomware y smishing
Vulnerabilidad en KeePass permite recuperar contraseñas maestras
Investigadores de seguridad han publicado un artículo sobre una nueva vulnerabilidad que permite recuperar las contraseñas maestras en el gestor de contraseñas KeePass. La vulnerabilidad ha sido clasificada como CVE-2023-32784 y afecta a las versiones 2.x de KeePass para Windows, Linux y macOS. Se espera que sea parcheada en la versión 2.54, asimismo, cabe indicar que dicho fallo de seguridad cuenta con una PoC disponible. Para su explotación, no importa de dónde provenga la memoria, y si el espacio de trabajo está bloqueado o no. Además, también es posible volcar la contraseña desde la RAM cuando KeePass ya no se esté ejecutando. Accede a la noticia completa en https://sourceforge.net/p/keepass/
AhRat: un nuevo RAT para Android con más de 50.000 instalaciones
La compañía de seguridad informática ESET descubrió un nuevo troyano de acceso remoto (RAT, por sus siglas en inglés) disponible para su descarga en Google Play Store. El troyano, denominado AhRat, estaba oculto en una aplicación de grabación de pantalla de Android llamada 'iRecorder - Screen Recorder'. Esta aplicación se agregó por primera vez a la tienda en septiembre de 2021 y se cree que fue troyanizada a través de una actualización maliciosa lanzada en agosto de 2022. Antes de su eliminación, la aplicación acumuló más de 50.000 instalaciones, exponiendo a los usuarios originalmente legítimos de la aplicación. AhRat tiene una amplia gama de capacidades, incluyendo el rastreo de la ubicación del usuario, el acceso al registro de llamadas y mensajes de texto y la grabación de audio de fondo con lo que ESET sugiere que fue utilizado para potenciales actividades de espionaje. A este respecto, Google declaró que toma medidas cuando encuentran aplicaciones que infringen sus políticas y que Google Play Protect se encarga de advertir a los usuarios sobre aplicaciones maliciosas de este tipo. Accede a la noticia completa en https://www.welivesecurity.com/.
Campaña de phishing que intenta suplantar a la Agencia Tributaria para obtener tu Cl@ve Permanente
Se ha detectado una campaña de correos electrónicos fraudulentos de tipo phishing que trata de suplantar a la Agencia Tributaria para robar la Cl@ve Permanente.
Si ya has facilitado las claves de tu Cl@ve Permanente o cualquier otro servicio, como el correo electrónico, será necesario cambiarlas inmediatamente.
En esta campaña de phishing el asunto de los correos electrónicos detectados se identifica como «Envío: Aviso puesta a disposición de nueva notificación electrónica».
En el cuerpo del mensaje se indica al usuario que tiene una nueva notificación disponible y se mencionan datos referentes a esta falsa notificación. Cabe destacar que en ningún momento se menciona el nombre o apellidos del destinatario, ya que lo desconocen, solo se hace referencia al correo electrónico, lo que debería hacer sospechar al usuario de la veracidad del correo. Además, incluye parte del DNI y un identificador que probablemente sean números aleatorios.
Se incita al usuario a acceder a un enlace malicioso que le redirigirá a la página web fraudulenta, similar a la legítima, donde se le solicitarán las credenciales de acceso, como un correo electrónico y una contraseña. Accede a la noticia completa en https://www.incibe.es/
Vulnerabilidades de OAuth permiten robo de cuentas
El equipo de seguridad de API Salt Security ha encontrado vulnerabilidades relacionadas con OAuth en el utilizado desarrollo de aplicaciones Expo que podrían haber sido explotadas para tomar el control de cuentas de usuario. Las vulnerabilidades han sido designadas como CVE-2023-28131 y su análisis condujo al descubrimiento de fallos de seguridad que podrían haber sido explotados engañando al usuario objetivo para que hiciera click en un enlace especialmente diseñado. Un atacante podría haber utilizado el método de ataque para secuestrar sesiones y tomar el control total de la cuenta del usuario, lo que, según Salt Security, podría haber llevado a la exposición de información sensible, fraude financiero o robo de identidad. Se observó que sólo se veían afectadas las implementaciones que utilizaban el proxy AuthSession del componente de inicio de sesión social de Expo. Accede a la noticia completa en https://salt.security/blog/.
El grupo FIN7 ha vuelto con nuevos ataques de ransomware
El equipo de Microsoft Threat Intelligence detectó la semana pasada una serie de ataques dirigidos a los sectores minoristas de EE. UU, los cuales se habrían atribuido al grupo FIN7 tras una pausa en sus operaciones. Según informan, el grupo, también conocido como Sangria Tempest, habría implementado el ransomware Clop en ataques el pasado mes de abril. En esta campaña, utiliza el script de PowerShell POWERTRASH para cargar la herramienta de post-explotación Lizar. Tras establecerse en la red de la víctima, utilizan OpenSSH e Impacket para moverse lateralmente e implementar el ransomware Clop. Cabe destacar que, en sus operaciones anteriores, el actor amenaza implementaba REvil y Maze para distribuir el ransomware DarkSide y BlackMatter. Accede a la noticia completa en https://twitter.com/MsftSecIntel/.
Vulnerabilidad 0-day explotada activamente en Email Security Gateway
Barracuda ha emitido un comunicado en el que advierte a sus clientes sobre una vulnerabilidad 0-day activamente explotada en algunos de sus dispositivos Email Security Gateway. Si bien el fallo, identificado como CVE-2023-2868, fue corregido los días siguientes a su descubrimiento, la compañía avisó que algunos dispositivos ESG fueron vulnerados. Esta explotación dio lugar al acceso no autorizado de un conjunto de dispositivos de puerta de enlace de correo electrónico. Desde Barracuda han notificado a los usuarios afectados con una serie de medidas a tomar y recomienda a las organizaciones revisar sus entornos para descartar haber sufrido una intrusión. Accede a la noticia completa en https://status.barracuda.com/.
Los virus y el malware evolucionan continuamente y cada vez son más peligrosos. Para no correr riesgos innecesarios, te recomendamos que protejas tu empresa y evites ser víctima de un ciberataque.
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
