En primer lugar, esta semana analizaremos las tendencias más destacadas en materia de ciberdelincuencia durante el primer semestre de 2022, entre las que se incluye un aumento de los ataques de suplantación de identidad en el correo electrónico empresarial (BEC) (se abre en una nueva pestaña) , que se basan en gran medida en la selección de víctimas y la manipulación humana. A continuación, analizamos la última evolución del cargador del malware Bumblebee y su botnet asociada. Por último, concluimos con un informe sobre la aparición de repositorios fraudulentos en GitHub, en los que los ciberdelincuentes intentan sacar provecho del revuelo generado en todo el sector a raíz del descubrimiento y la explotación denunciada de las vulnerabilidades «zero-day» de ProxyNotShell por parte de lo que se sospecha que son grupos APT respaldados por Estados.
1. El aumento de los ataques de tipo BEC es indicativo de una tendencia al alza en los ataques de extorsión sin cifrado
Arctic Wolf ha publicado recientemente su informe «: 1H y 2022 , perspectivas sobre la respuesta a incidentes (se abre en una nueva pestaña)». A continuación se presentan algunas de las conclusiones más importantes:
- La mediana de las demandas de rescate impuestas por los grupos de actores maliciosos fue de 450,000 dólares, y los sectores tecnológico y de transporte y logística registraron demandas que superaban en más del doble la mediana mundial.
- Si bien el factor humano constituye un vector de ataque habitual que los autores de amenazas pueden aprovechar, más del 80 % de los incidentes se deben al aprovechamiento de vulnerabilidades sin parchear o de herramientas de acceso remoto.
- Los incidentes relacionados con las vulnerabilidades ProxyShell y Log4J , que han tenido gran repercusión mediática, siguen suponiendo para las organizaciones un coste dos veces mayor que el de un incidente medio.
Aumento de los casos de BEC y su relación con la falta de autenticación multifactorial (MFA)
Los datos de Arctic Wolf apuntan a un alejamiento del ransomware por parte de los ciberdelincuentes, ya que los hackers recurren cada vez con mayor frecuencia a esquemas de «extorsión sin cifrado». Uno de los cambios más significativos en el panorama de amenazas es el número de ataques de tipo BEC que se han producido con éxito durante el segundo trimestre de 2022.
Según Arctic Wolf, los casos de BEC, al considerarlos como parte de todos los casos de respuesta a incidentes analizados, se duplicaron con creces en el segundo trimestre del año, representando el 34 % del total, frente a apenas el 17 % registrado en el primer trimestre de 2022. Los sectores de servicios empresariales, jurídico/administrativo y financiero/de seguros registraron un aumento significativo en el número de organizaciones afectadas por este tipo de ataque. Resulta preocupante que de los datos se desprendiera una característica común muy evidente: el 80 % de las organizaciones afectadas carecía de una autenticación multifactorial (MFA) .
Por qué están aumentando los ataques de tipo BEC
Los ataques de ingeniería social (se abre en una nueva pestaña) , que se centran en engañar a las personas, suelen ser capaces de eludir el correo electrónico y otras soluciones de seguridad defensivas. En algunos casos, tienen más éxito que los ataques que intentan aprovechar las vulnerabilidades del hardware o del software.
Esto no quiere decir que las vulnerabilidades externas no desempeñen un papel importante. De hecho, Abnormal Security descubrió en su informe sobre amenazas (se abre en una nueva pestaña) a principios de este año que la gran mayoría de todos los incidentes de ciberdelincuencia (81 %) estaban relacionados con vulnerabilidades externas en unos pocos productos muy específicos —concretamente, el servidor Exchange de Microsoft y el software de escritorio virtual Horizon de VMware—, así como con servicios remotos mal configurados, como el Protocolo de Escritorio Remoto (RDP) de Microsoft.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aparte de destacar algunos detalles relevantes relacionados con el ransomware, el informe «1H 2022 Incident Response Insights» de Arctic Wolf, publicado en (se abre en una nueva pestaña) , evita en gran medida sumarse al coro de tendencias contradictorias sobre el ransomware que emanan de las empresas de inteligencia».
«Si bien algunas estadísticas respaldan una tendencia que apunta a un número de incidentes sin precedentes, se afirma que otras indican un descenso significativo en el número de ataques de ransomware denunciados».
«Teniendo en cuenta los últimos hallazgos de Arctic Wolf, no se puede subestimar la importancia de un programa integral de formación y sensibilización sobre el phishing y la ingeniería social. «También es recomendable simular, durante los ejercicios y de la forma más realista posible, los ciberataques más recientes en los que las personas constituyen el punto de acceso más probable».
«Aparte de eso, informes como los mencionados anteriormente deberían servir como otra llamada de atención sobre el hecho de que no siempre son el malware más sofisticado ni las TTP las que dejan en una situación delicada a las organizaciones de gran relevancia, ya sea desde el punto de vista financiero o en lo que respecta a su reputación».
2. Actualización sobre malware: el popular cargador de malware «Bumblebee» incorpora nuevas funciones y mejora sus TTP
El siempre popular cargador de malware Bumblebee ha vuelto a ser noticia, esta vez bajo el nombre de « ». El nuevo análisis de Check Point (se abre en una nueva pestaña) sobre este malware en constante evolución.
Acerca del cargador de malware Bumblebee
Bumblebee ha sustituido a BazarLoader como una de las principales variedades de malware «precursor» utilizadas por los autores de amenazas para iniciar infecciones de ransomware, ocupando así el lugar que le corresponde junto a nombres tan conocidos como QBot, Emotet y TrickBot.
El tiempo que tardó Bumblebee en subir esa escalera es sencillamente extraordinario. Como ya hemos informado anteriormente, el éxito de Bumblebee se debe en gran medida a la sofisticación de los correos electrónicos de spear-phishing de (se abre en una nueva pestaña) a través de los cuales suele propagarse —una teoría que podría estar relacionada con el vínculo del malware con un conocido intermediario de acceso inicial.
Últimas noticias sobre el cargador de malware «Bumblebee»
Según el último estudio de Check Point, durante la primavera de 2022 se registró un aumento significativo de la actividad relacionada con el cargador de malware Bumblebee.
El cargador de malware «Bumblebee» ya había sido objeto de un intenso escrutinio por parte de la comunidad de seguridad de la información, debido a sus aparentes vínculos con varias familias de malware muy conocidas. (se abre en una nueva pestaña)
Check Point destaca algunas conclusiones clave:
- Bumblebee está en constante evolución, lo que queda perfectamente demostrado por el hecho de que el sistema de carga ha sufrido un cambio radical en dos ocasiones en el transcurso de unos pocos días: primero, se pasó del uso de archivos en formato ISO a archivos en formato VHD que contenían un script de PowerShell, y luego se volvió al formato anterior.
- Los cambios en el comportamiento de los servidores de Bumblebee que se produjeron en torno al June 2022 indican que los atacantes podrían haber cambiado su estrategia, pasando de realizar pruebas exhaustivas de su malware a intentar llegar al mayor número posible de víctimas.
- Aunque la amenaza contiene un campo denominado «group_name», es posible que este no sea un buen indicador de la actividad relacionada con la agrupación en clústeres: se ha observado que muestras con valores distintos de «group_name» presentan un comportamiento similar, lo que podría indicar que un único actor gestiona múltiples «group_names». No ocurre lo mismo con las claves de cifrado: unas claves de cifrado distintas suelen implicar un comportamiento diferente, tal y como cabría esperar.
- Las cargas útiles de Bumblebee varían considerablemente en función del tipo de víctima. Es probable que los ordenadores independientes infectados se vean afectados por troyanos bancarios o programas de robo de información, mientras que las redes de las organizaciones pueden esperar sufrir ataques con herramientas de post-explotación más avanzadas, como CobaltStrike.
El informe de Check Point continúa señalando que ciertas características inusuales de la actividad de Bumblebee observada recientemente (como el hecho de que los servidores C2 interrumpieran la comunicación con cualquier host infectado que generara envíos de «client_id» desde la IP externa de una organización tras recibir el primer «client_id» procedente de dicha red) llevaron a sus investigadores a concluir que «si varios ordenadores de una organización, que acceden a Internet con la misma dirección IP pública, resultaran infectados, el servidor C2 solo aceptaría al primero de ellos en infectarse».
Curiosamente, esta función se desactivó de forma repentina hace unas semanas, lo que provocó un aumento drástico del número de conexiones establecidas con hosts infectados. Nadie sabe a ciencia cierta cuál era el objetivo de esa función, aunque parece probable que se activara durante un periodo de pruebas intensivas.
Este comportamiento inusual llevó a Check Point Research a supervisar el comportamiento de Bumblebee en diversos entornos en los que se había ejecutado. Todo parece indicar que estas direcciones IP, que se han conectado de forma repentina, actúan en realidad como tapaderas de un servidor principal C2 , a través del cual se retransmiten todas las conexiones de Bumblebee (es decir, un comportamiento típico de una red de bots).
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El análisis en profundidad realizado por los investigadores de Check Point ofrece una imagen clara de una amenaza de la que ya sabíamos que se centraba en actualizar continuamente sus capacidades, al tiempo que amplía nuestra base de conocimientos sobre Bumblebee al explicar los cambios en su cadena de infección y la actividad de la red de bots, diseñada para aumentar drásticamente el número de víctimas activas y el volumen total de tráfico C2 ».
«Bumblebee sigue siendo una amenaza única y creíble, que se distingue de otros empaquetadores y herramientas de evasión de terceros al utilizar su propio empaquetador no solo para sí mismo, sino también para las muestras de malware que distribuye en un gran número de dispositivos de las víctimas». «Se trata de una característica que Bumblebee podría haber heredado de otras familias de malware precursoras de primer nivel, pero que resulta mucho más eficaz y ofrece un grado de flexibilidad mucho mayor a la hora de modificar su comportamiento y adaptarse a nuevos entornos».
3. Se venden en GitHub exploits falsos de ProxyNotShell para Microsoft Exchange
Según un artículo de October 3 publicado en el blog de ciberseguridad BleepingComputer, los autores de amenazas se están aprovechando del revuelo generado en torno a las dos vulnerabilidades de día cero de Microsoft , ampliamente difundidas (se abre en una nueva pestaña) , denominadas «ProxyNotShell», haciéndose pasar por investigadores de seguridad para vender exploits falsos de prueba de concepto de ProxyNotShell.
Se venden en GitHub falsos exploits de ProxyNotShell para Microsoft Exchange - @LawrenceAbrams bleepingcomputer.com/news/security/…
¿Qué es ProxyNotShell?
ProxyNotShell hace referencia a lo que Microsoft describe en (se abre en una nueva pestaña) como «dos vulnerabilidades de día cero notificadas que afectan a Microsoft Exchange Server 2013, Exchange Server 2016 y Exchange Server 2019». La primera, identificada con el número CVE-2022-41040, es una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF), mientras que la segunda, identificada con el número CVE-2022-41082, permite la ejecución remota de código (RCE) cuando el atacante tiene acceso a Exchange PowerShell.
Según se ha informado, estas dos vulnerabilidades fueron descubiertas por primera vez por investigadores de seguridad de la empresa vietnamita de ciberseguridad GTSC, y las resumió de forma admirable (se abre en una nueva pestaña)en un artículo de September 29 escrito por Kevin Beaumont (se abre en una nueva pestaña), una fuente de confianza y con amplia trayectoria en el ámbito de la inteligencia sobre amenazas cibernéticas (CTI) y destacado investigador de seguridad.
Se sospecha que un grupo APT vinculado al Estado está detrás de los ataques de ProxyNotShell
El Centro de Inteligencia sobre Amenazas de Microsoft (MSTIC), que afirma haber detectado ataques dirigidos a las vulnerabilidades de ProxyNotShell en menos de 10 organizaciones de todo el mundo, ha evaluado, con un nivel de confianza medio, que es probable que dicha actividad sea obra de un grupo APT vinculado a un Estado.
Aunque nadie ha señalado abiertamente ni ha atribuido específicamente esta actividad a un actor concreto o a un Estado-nación, se ha observado que los atacantes encadenan estos dos vulnerabilidades de día cero en ciclos de ataque que dan lugar a la instalación del shell web «China Chopper» en los servidores comprometidos, con el fin de garantizar la persistencia, facilitar el robo de datos y permitir el movimiento lateral.
Los investigadores han identificado los repositorios de GitHub como lugares donde se llevan a cabo actividades fraudulentas
Como hemos observado en numerosas ocasiones, cada vez que una noticia como esta capta la atención de toda la comunidad de seguridad de la información, los ciberdelincuentes de todo tipo no tardan en intentar sacar provecho económico del revuelo que rodea al incidente y a sus posteriores desarrollos. Esto suele manifestarse en forma de campañas de phishing que incluyen señuelos relacionados con el tema en cuestión. Con ProxyNotShell, estamos observando algo un poco diferente.
John Hammond, investigador de Huntress Labs, ha estado siguiendo de cerca la actividad de un estafador en concreto, que se ha dedicado a crear diversos repositorios de GitHub en los que intenta vender exploits POC falsos para las vulnerabilidades de Exchange CVE-2022-41040 y CVE-2022-41082 , llegando incluso a ofrecer múltiples copias en lo que parece un torpe intento de reforzar la apariencia de legitimidad de dichos POC.
Parece que hay varios de estos; hay otro con un enlace diferente a SatoshiDisk y en el que «solo se venden CINCO ejemplares»... Me parece que es una estafa. ¿Varios archivos para que parezca más creíble? He denunciado la cuenta y el repositorio a GitHub. https[:]//github[.]com/TimWallbey/CVE-2022-41082-RCE
En otro ejemplo, una cuenta fraudulenta , descubierta por Paulo Pacheco (se abre en una nueva pestaña), se hacía pasar por Kevin Beaumont, de CTI. Sin duda, se trata de un intento de sacar provecho económico de la reputación de este reconocido investigador en seguridad, quien ha estado documentando de forma incansable y desinteresada las nuevas vulnerabilidades de Exchange y las medidas de mitigación disponibles.
¿Qué contienen estos repositorios de GitHub?
De BleepingComputer:
«Los repositorios en sí no contienen nada relevante, pero el archivo README.md describe lo que se sabe actualmente sobre las nuevas vulnerabilidades, seguido de una oferta en la que se explica cómo están vendiendo una copia de un exploit de prueba de concepto (PoC) para los «zero days».»
«Esto significa que puede pasar desapercibido para el usuario y, posiblemente, también para el equipo de seguridad». «Una herramienta tan potente no debería ser de acceso público; solo hay una única copia disponible para que un investigador DE VERDAD pueda utilizarla: hxxps://satoshidisk[.]com/pay/xxx», reza el texto del repositorio fraudulento.
El exploit de POC fraudulento se encuentra actualmente a la venta por el módico precio de 0.01825265 bitcoins, lo que equivale aproximadamente a 420.00 dólares (una cantidad muy inferior al valor que tendría un auténtico POC y considerablemente menor que lo que otras organizaciones están pagando a quienes son capaces de crear vulnerabilidades de día cero de tipo RCE para Microsoft Exchange).
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Por muy difíciles que puedan resultar de encontrar los detalles técnicos relacionados con las vulnerabilidades de ProxyNotShell, es solo cuestión de tiempo que aparezca una prueba de concepto (POC) válida». De hecho, diversas fuentes sitúan el tiempo medio que transcurre entre la divulgación de una vulnerabilidad y la aparición de exploits POC operativos en unos 10-14 días. Por este motivo, CTI adopta la medida proactiva de crear y mantener búsquedas activas para detectar la aparición de exploits de POC diseñados para atacar vulnerabilidades de día cero de gran repercusión, como esta, en cuanto tengamos conocimiento de ellas».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .