Noticias de ciberseguridad
A continuación, hemos seleccionado las noticias de seguridad a nivel mundial más relevantes.
Nuevo malware para Linux que apunta al sector telecomunicaciones
Recientemente fue descubierto un malware para Linux, denominado GTPDOOR, que tiene como objetivo las redes de telecomunicaciones que utilizan itinerancia GPRS, explotando el protocolo de túnel GPRS (GTP) para su comunicación con el servidor de comando y control (C2). Identificado por el investigador haxrob, se sospecha que este backdoor está vinculado al actor amenaza LightBasin, también conocido como UNC1945. Al ejecutarse, GTPDOOR cambia su nombre de proceso y abre un conector para recibir mensajes UDP. Además, permite que el actor amenaza se comunique con hosts comprometidos enviando mensajes maliciosos a través de solicitudes GTP-C Echo; lo cual actúa como un conducto para ejecutar comandos en la máquina infectada. Asimismo, GTPDOOR puede ser sondeado desde una red externa, devolviendo información sobre la disponibilidad de puertos en el host infectado. Este malware parece dirigirse específicamente a hosts comprometidos que están conectados directamente a la red GRX, utilizada para la itinerancia entre operadores de telecomunicaciones. Accede a la noticia completa en https://doubleagent.net/telecommunications/
Análisis de infraestructura maliciosa distribuyendo Predator
El equipo de investigadores de Insikt Group de Recorded Future ha publicado un informe en el que analiza el descubrimiento de la infraestructura utilizada para la distribución del software espía Predator. En concreto, esta herramienta pertenece al grupo israelí Intellexa y se comercializa para objetivos del ámbito de la seguridad en cuanto a la lucha contra el terrorismo y la aplicación de la ley. Asimismo, cabe indicar que este software apunta contra dispositivos móviles y tiene la capacidad de obtener acceso al micrófono y cámara, así como poder obtener todos los datos almacenados o transmitidos del dispositivo infectado. Otro de los aspectos que destaca de Predator es que no deja apenas rastro de su actividad, por lo que dificulta su investigación. Accede a la noticia completa en https://go.recordedfuture.com/
Campaña de phishing suplantando plataformas de criptomonedas
Lookout ha descubierto una campaña de phishing llamada "CryptoChameleon", que imita páginas de inicio de sesión legítimas de plataformas de criptomonedas y la Comisión Federal de Comunicaciones (FCC) a través de dispositivos móviles. Este kit de phishing utiliza copias de páginas SSO y técnicas de phishing a través de correo electrónico, SMS y voz para engañar a las víctimas y obtener información confidencial como nombres de usuario, contraseñas, URL de restablecimiento de contraseñas e identificaciones con foto, principalmente de usuarios en Estados Unidos. Los atacantes utilizan el servicio hCaptcha para evitar ser detectados y engañan a las víctimas con una página de inicio de sesión falsa. Se recomienda a los usuarios ser precavidos con los mensajes no solicitados y mantenerse informados sobre las tácticas de phishing. Accede a la noticia completa en https://www.lookout.com/threat-intelligence
DCRat puede actuar como un Troyano de Acceso Remoto y como un information stealer
Los investigadores de ANY.RUN han publicado un informe detallando el análisis del malware DCRat, coincidiendo con un aumento de la actividad de este. DCRat, también denominado Dark Crystal Rat, lleva activo desde al menos 2018 y presenta las capacidades de un Troyano de Acceso Remoto (RAT) a la vez que las de un information stealer. El malware tiene la capacidad de acceder y controlar cuentas de redes sociales, robar credenciales de Telegram, Steam y Discord, y obtener información sensible como contraseñas y datos de tarjetas de crédito, entre otros. DCRat ha sido observado haciéndose pasar por una herramienta de desinstalación de WinRAR, aunque algunos de sus componentes también pueden hacerse pasar por otras aplicaciones legítimas, como es el caso de la utilidad “portprovider.exe”, que imita a Spotify. Accede a la noticia completa en https://any.run/cybersecurity-blog/
La nueva variante de Bifrost RAT emplea ataques typosquatting
La última versión para sistemas Linux de Bifrost RAT, también denominado Bifrose, presenta nuevas capacidades de ocultación. De acuerdo con una investigación publicada por Unit 42 de Palo Alto Networks, la nueva variante del malware emplea el dominio download.vmfare[.]com para hacerse pasar por la página legítima de descarga de VMware, llevando a cabo un ataque de typosquatting o URL highjacking. Otra de las técnicas empleadas por el malware para evitar la detección implicaría el uso de binarios stripped. Bifrost lleva activo desde 2004 y tiene la capacidad de obtener información sensible del sistema infectado, incluyendo hostnames y direcciones IP. Los investigadores destacan el aumento de actividad y la expansión de objetivos de este malware, subrayando la importancia de disponer de herramientas de seguridad que protejan de este tipo de ataques. Accede a la noticia completa en https://unit42.paloaltonetworks.com
Los virus y el malware evolucionan continuamente y cada vez son más peligrosos. Para no correr riesgos innecesarios, te recomendamos que protejas tu empresa y evites ser víctima de un ciberataque.
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
