En el resumen de esta semana, CTI analiza las principales vulnerabilidades detectadas por Kaspersky durante el primer trimestre de 2024. A continuación, CTI analiza el malware modular conocido como HijackLoader, que ha ido evolucionando desde su aparición el año pasado. Por último, CTI concluye con las conclusiones principales del informe « 2024 State of Pentesting» de Cobalt.
1. Kaspersky publica las principales tendencias en materia de exploits y vulnerabilidades en Q1 2024
El último informe de Kaspersky, « », analiza las principales vulnerabilidades registradas desde el año 2023 hasta el primer trimestre del año 2024.
Los investigadores de Kaspersky analizaron cuáles de estas vulnerabilidades eran las más explotadas con el fin de revelar las tendencias en cuanto a los objetivos habituales de las APT.
Vulnerabilidades registradas
Según Kaspersky, las vulnerabilidades registradas como CVE han ido aumentando cada año.
- Uno de los factores que ha contribuido a ello es el auge de las plataformas de recompensas por la detección de fallos, que han ayudado a identificar y descubrir vulnerabilidades.
- Otro factor que contribuye a ello es la creación continua de aplicaciones y las actualizaciones de las ya existentes, que conllevan sus propias vulnerabilidades.
Además del aumento anual del número de CVE, también está aumentando la proporción de vulnerabilidades críticas.
Conclusiones adicionales del informe de Kaspersky
Kaspersky analizó fuentes públicas, los CVE registrados y sus propios datos de telemetría para extraer conclusiones y elaborar estadísticas relacionadas con la explotación de vulnerabilidades. Se constató que el número de usuarios de Windows afectados por el aprovechamiento de vulnerabilidades se mantuvo estable, mientras que los usuarios de Linux registraron un aumento en el aprovechamiento de vulnerabilidades.
Al analizar las vulnerabilidades que se aprovecharon, identificaron algunas categorías que resultaban especialmente interesantes para los autores de las amenazas. Entre ellos se incluyen los navegadores, los sistemas operativos, Microsoft Exchange, Microsoft SharePoint y la suite Microsoft Office.
Si nos centramos exclusivamente en las vulnerabilidades críticas, las más explotadas fueron las de los sistemas operativos, que representaron el 50 %.
Aprovechamiento de vulnerabilidades en los ataques APT
Kaspersky ha constatado que muchas APT aprovechan la explotación de vulnerabilidades en sus ataques. Las vulnerabilidades más explotadas durante el primer trimestre de 2024 fueron la CVE-2023-38831 (WinRAR), la CVE-2017-11882 (MS Office) y la CVE-2017-0199 (MS Office).
Kaspersky también ha descubierto que entre los puntos de entrada más habituales se encuentran los servicios de acceso remoto vulnerables, las funciones de control de acceso vulnerables y las aplicaciones de Office vulnerables.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El aumento de los casos de explotación de vulnerabilidades ha sido constante y no parece que vaya a remitir a corto plazo.
El informe de Kaspersky señala que los autores de amenazas y los grupos de amenazas persistentes (APT) suelen intentar aprovechar los servicios de acceso remoto, las funciones de control remoto y las aplicaciones de Microsoft Office. Esta tendencia pone de manifiesto una vez más lo fundamental que es conocer bien su propio entorno y su infraestructura para poder gestionar de forma eficaz un programa de gestión de vulnerabilidades.
2. HijackLoader evoluciona con nuevas técnicas de evasión
Según Zscaler, el malware modular « », conocido como HijackLoader , ha ido evolucionando desde su aparición en 2023.
La última versión del malware incluye módulos adicionales que añaden una exclusión para el antivirus de Windows Defender, eluden el Control de acceso de usuario (UAC), evaden el enganche de API en línea y utilizan la técnica de «process hollowing».
El malware se distribuye ahora a través de un archivo de imagen PNG que se descifra para cargar la siguiente fase del ataque.
La primera fase de HijackLoader
La primera fase del malware se encarga de descifrar y descomprimir los distintos módulos de HijackLoader. Además, descifrará y ejecutará la segunda fase.
En la primera fase, resolverá dinámicamente las API y comprobará si hay conexión a Internet. Una vez confirmada la conexión, descifrará y ejecutará un código de shell diseñado para diversos fines. Este código de shell resolverá API adicionales y comprobará si hay procesos incluidos en la lista de bloqueados.
Segunda fase de HijackLoader
A continuación, el malware cargará una copia de sí mismo en la memoria y leerá su archivo de configuración. Esta segunda etapa se carga de una de estas dos formas: se descarga un archivo PNG y se utiliza para cargar la segunda etapa, o bien se incrusta un archivo PNG y se utiliza para cargar la segunda etapa.
La segunda fase se encarga de inyectar el módulo principal, pero también utilizará módulos adicionales para evitar el análisis, entre los que se incluyen modCreateProcess ( modCreateProcess64), modUAC ( modUAC64), modWriteFile ( modWriteFile64) y WDDATA.
Malware distribuido
Zscaler analizó 50 muestras de HijackLoader en March 2024, todas las cuales contenían un archivo PNG incrustado.
Analizaron estas muestras para obtener una lista de las familias de malware que distribuye HijackLoader y confirmaron que se distribuyeron los siguientes programas maliciosos: Amadey, Lumma Stealer, Racoon Stealer v2, Remcos RAT, Meta Stealer y Rhadamanthys.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque HijackLoader solo lleva en circulación desde el año pasado, se ha utilizado para distribuir algunas familias de malware muy conocidas, como Racoon Stealer, Lumma Stealer, Amadey y Remcos RAT.
Su última evolución aumenta el nivel de amenaza de HijackLoader y probablemente lo hace aún más atractivo para los autores de amenazas, principalmente debido a las técnicas de evasión adicionales. El uso de un archivo PNG incrustado para su distribución es menos habitual y tiene más probabilidades de pasar desapercibido.
3. Cobalt publica su informe « 2024 : El estado de las pruebas de penetración»
Cobalt ha publicado su informe « : 2024 State of Pentesting» (: 101. El estado de las pruebas de penetración), disponible en , en el que se analizan en profundidad las tendencias clave de 2023. Este informe se basa en datos procedentes de más de 4,000 pruebas de penetración, así como en las respuestas a una encuesta realizadas a profesionales de la seguridad.
Además de recoger algunas observaciones clave, el informe analiza también cómo la creciente adopción de la inteligencia artificial está influyendo en el panorama general.
Aplicaciones de IA: una nueva superficie de ataque
Cobalt llevó a cabo varias pruebas de penetración en sistemas de inteligencia artificial a lo largo de 2023, y observó un aumento significativo en el número de clientes que solicitaban este tipo de pruebas.
Para llevar a cabo estas pruebas, utilizan la lista «OWASP Top 10 » para aplicaciones de modelos de lenguaje grande (LLM), con el fin de detectar fugas de información y un manejo inseguro de los resultados. Durante una de estas pruebas, se encontraron con un modelo de lenguaje grande (LLM) que, al recibir una solicitud, fue capaz de facilitar acceso a información confidencial a la que no debería haber tenido acceso.
Asimismo, identificaron varios chatbots que, en teoría, debían evitar el uso indebido mediante diversos controles de seguridad; sin embargo, lograron eludir fácilmente dichos controles.
Cobalt identificó tres tipos de vulnerabilidades que se producían con mayor frecuencia, a saber: la inyección de comandos « », la denegación de servicio de modelo y la filtración de comandos.
Aumento de las vulnerabilidades
La mayoría de los informes de tendencias 2023 han señalado un aumento de las vulnerabilidades. Del mismo modo, Cobalt registró un aumento del 21 % en el número de hallazgos por cada encargo de pruebas de penetración, en términos interanuales.
Cobalt detectó más de 39,000 vulnerabilidades en un total de 4,068 pruebas de penetración, siendo el tipo de vulnerabilidad más frecuente las configuraciones erróneas de seguridad de los servidores.
Tiempo medio de reparación (MTTR)
Cobalt observó un aumento del MTTR en comparación con años anteriores, siendo el MTTR medio de superior a 20 días. La mayoría de ellos se clasificaron como de gravedad media, y solo un pequeño porcentaje alcanzó un nivel de gravedad crítica.
Resultados de la encuesta
Cobalt ha encuestado a cerca de 1,000 profesionales de la seguridad para comprender por qué no siempre se abordan los resultados de las pruebas de penetración o por qué se tarda algún tiempo en hacerlo. Lo que se desprende de las respuestas a la encuesta, junto con su propia investigación, apunta en gran medida a que gran parte de este problema se debe a que los equipos de seguridad cuentan con poco personal y están sobrecargados de trabajo.
El 81 % de los encuestados percibió «perturbaciones notables en la gestión de la carga de trabajo» debido a los despidos y a las bajas voluntarias o dimisiones, y el 44 % afirmó que actualmente sufre agotamiento.
2024 datos
Hasta la fecha, en 2024, el 62 % de las organizaciones utilizan pruebas de penetración para detectar vulnerabilidades específicas y el 58 % las realizan específicamente para mejorar la seguridad en la nube.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Cobalt ha facilitado algunas estadísticas interesantes sobre el papel que desempeña la inteligencia artificial en el panorama de las amenazas. Por ejemplo, su encuesta reveló que el 75 % de los equipos de seguridad ya han adoptado nuevas herramientas de inteligencia artificial. Curiosamente, Cobalt logró clasificar las vulnerabilidades más comunes de estas herramientas de IA en tres categorías: inyección de comandos, denegación de servicio del modelo y filtración de comandos. Esto ofrece a las organizaciones algunas pautas sobre qué aspectos deben tener en cuenta a la hora de evaluar posibles herramientas de inteligencia artificial.
Cobalt también constató que más de la mitad de los encuestados consideraba que su equipo de seguridad no tenía la capacidad necesaria para mantenerse al día con estas herramientas y no estaba preparado para evaluar la seguridad de las herramientas de inteligencia artificial. Se trata de un reto que no hará más que cobrar mayor relevancia a medida que la inteligencia artificial siga evolucionando, y para el que las organizaciones deberían empezar a buscar soluciones.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
