En el resumen de esta semana, CTI analiza Intel471’s análisis recientes de ataques que combinan phishing de voz y correo electrónico. Luego, CTI revisa el análisis de Mandiant de 138 vulnerabilidades explotadas originalmente divulgadas en 2023. También se incluye un desglose del análisis de Flashpoint del infostealer de PureLogs dirigido al navegador Chrome.
Los actores de amenazas propagan malware a través de suplantación de identidad de devolución de llamada
Intel471 lanzó su análisis de ataques que combinan phishing de voz y correo electrónico , una estrategia conocida como phishing de devolución de llamada, vishing híbrido o entrega de ataques orientada al teléfono (Telefon-Based Atack Delivery, TOAD).
Según Intel471, estos tipos de ataques han aumentado, junto con una mayor demanda entre los actores de amenazas para los servicios TOAD.
¿Qué es el phishing de devolución de llamada?
Un ataque típico comienza con un correo electrónico de phishing que alienta al destinatario a llamar a un número de teléfono específico. El atractivo real de la ingeniería social utilizado en estas campañas variará, pero todos buscan que la víctima hable por teléfono con un actor malicioso para completar el ataque.
Los datos más recientes sugieren que los ataques de phishing de devolución de llamada están aumentando en frecuencia. Proofpoint reveló recientemente que se producen 10 millones de ataques TOAD cada mes y afectan a aproximadamente el 67 % de las organizaciones en todo el mundo.
Mayor demanda
Junto con el aumento de estos ataques, muchos actores de amenazas quieren expandirse a los ataques de TOAD.
Intel471 observó a más de 50 actores que buscan personas que llaman para usar en su cadena de ataque. Algunos de estos actores buscaban personas que hablaran idiomas específicos.
Ataques de ransomware y TOAD
Un número creciente de actores de ransomware están buscando servicios relacionados con TOAD para sus ataques. Estos servicios pueden ser útiles en la parte de acceso inicial de sus ataques.
Intel471 declaró que “la mayoría de los operadores de ransomware buscan cooperación a largo plazo con las personas que llaman para rescate y ofrecen tarifas mensuales, así como acciones de pagos de rescate, lo que indica que dichos servicios son valorados entre los actores de amenazas involucrados en ransomware”.
Ganancia financiera
Estos tipos de ataques generalmente son llevados a cabo por actores que buscan obtener ganancias financieras. Los ataques exitosos de phishing de devolución de llamada tienen el potencial de generar una gran suma de dinero para el actor y para la persona que llama.
Uno de esos servicios para llamadores, CrimeTalk, cobra $10 por llamada. Intel471 también observó a un agresor buscando llamadores que hablaban italiano, ofreciendo $5,000 por día.
Servicios
Algunos actores crean modelos de sus servicios más similares a los de la empresa. Un ejemplo es el servicio M00N de correo electrónico no deseado/phishing, que ofrece varias maneras de entregar correos electrónicos de phishing.
Otro servicio, Quattr0, ofrece varias llamadas fraudulentas, incluidas llamadas a bancos, servicios de entrega, tiendas en línea y más. Este grupo afirma poder realizar llamadas a cualquier país excepto Rusia.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Los actores incluyen cada vez más TTP de phishing de devolución de llamada en sus ataques, como lo evidencia la gran cantidad de ofertas de servicios relacionados en el mercado subterráneo.
Muchas organizaciones incluyen consejos y trucos básicos en su capacitación de concientización sobre seguridad sobre cómo identificar correos electrónicos de phishing, pero es probable que no todos incluyan información útil sobre los tipos de phishing más híbridos, como los que incluyen devoluciones de llamadas.
El informe Intel471’s es un buen recordatorio para que las organizaciones revisen su capacitación de concientización sobre seguridad para asegurarse de que incluya información sobre cómo identificar las últimas estafas de phishing.
Mandiant analiza las tendencias de tiempo de explotación
Mandiant analizó 138 vulnerabilidades explotadas que se revelaron originalmente en 2023.
Las conclusiones clave incluyeron:
- El 70 % de las vulnerabilidades se explotaron como días cero
- El tiempo promedio de explotación fue de solo cinco días
- Microsoft, Apple y Google fueron los proveedores más explotados
Tiempo de explotación (Time-to-exploit, TTE)
Mandiant utiliza Time-to-Exploit, o TTE, para definir el tiempo promedio que lleva explotar una vulnerabilidad antes o después del lanzamiento de un parche.
El TTE ha estado disminuyendo en los últimos años y la mayor caída ocurrió el año pasado. De 2021-2022, el TTE fue de 32 días, pero en 2023, Mandiant observó un promedio de solo cinco días.
Día cero frente a día n
Este año, Mandiant notó una relación de 30:70 al comparar n días (vulnerabilidades explotadas después de que los parches están disponibles) con cero días (vulnerabilidades explotadas antes de que los parches estén disponibles), lo que revela un aumento constante en la explotación de día cero en comparación con los últimos años.
Mandiant descubrió que la explotación era más probable que ocurriera durante el primer mes en que se lanzó un parche para una vulnerabilidad divulgada previamente. Mandiant descubrió además que el 12 % de los n días se explotaron en un solo día, mientras que más de la mitad de ellos se explotaron en un mes.
Cronogramas de explotación
Mandiant también informó que el 30 % de las vulnerabilidades se explotaron por primera vez después de que la vulnerabilidad se divulgara al público.
Al observar las vulnerabilidades que tenían exploits disponibles antes de la explotación observada, Mandiant identificó una mediana de siete días a partir de la fecha de divulgación del exploit público.
Para las vulnerabilidades con exploits disponibles después de la explotación observada, identificaron una mediana de 15 días desde la divulgación.
Explotaciones por proveedor
Mandiant desglosó cada vulnerabilidad por proveedor. Encontraron un aumento del 17 % en comparación con el recuento de proveedores más alto explotado anterior, señalando que Microsoft, Apple y Google han sido los principales proveedores explotados durante algunos años.
Los atacantes parecen estar diversificando los objetivos ahora, y Mandiant cita un aumento en la cantidad general de proveedores explotados.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
La priorización de parches se está volviendo increíblemente difícil a medida que las vulnerabilidades se explotan cada año de manera más rápida.
Como tal, la gestión de parches de vulnerabilidad debe combinarse con una detección y respuesta eficientes para adaptarse en tiempo real.
Su análisis también indica que los días cero se están volviendo cada vez más populares, lo que se alinea con las tendencias recientes en el panorama de amenazas.
PureLogs se dirige al navegador Chrome
Flashpoint investigó recientemente el robo de información de PureLogs que se dirige activamente al navegador Chrome para robar información confidencial. Solo algunas otras familias de malware son capaces de recopilar información del navegador Chrome, lo que hace que esta amenaza sea algo que se pueda ver.
Flashpoint observó más de 53 millones de credenciales comprometidas junto con 13 millones de dispositivos infectados debido a la actividad de robo de información en 2024. Este malware surgió por primera vez en 2022 y ha estado en circulación desde entonces. Su bajo precio en relación con otros ladrones de información probablemente respalde su uso continuo.
¿Qué es PureLogs?
El malware de robo de información de PureLogs se escribe en C#. Al igual que muchas otras familias de malware, utiliza varias etapas de ensamblaje.
El ladrón intenta recolectar datos confidenciales del navegador Chrome, que Flashpoint señala como una función “compartida solo por unos pocos malware, como Lumma, Vidar y Meduza”.
El malware mantiene una presencia en mercados subterráneos y en la red transparente con un mercado dedicado. PureLogs es actualmente uno de los robos de información más baratos del mercado, lo que hace que sea aún más atractivo para los actores de amenazas.
Además del malware de robo de información, el creador también ofrece acceso a un minero de criptomonedas, herramientas de reemplazo de portapapeles, una botnet y un cliente de computación de red virtual oculto.
¿Cómo funciona PureLogs?
Etapa uno
La etapa uno consiste en carga y ejecución. Esta etapa contiene una matriz de bytes que se descifrará a través del algoritmo AES.
Tanto la clave AES como el valor inicial están codificados como Base64 cadenas codificadas. El binario se descomprime, lo que resulta en un C# DLL cargado y ejecutado en la memoria.
Etapa dos
La etapa dos realizará verificaciones antiarena antes de cargar realmente el conjunto final del infostealer. Comienza verificando la existencia de DLL cargados actualmente en el proceso. También verificará el PPID para el proceso, ya que esto no debe estar presente porque el ensamblaje está diseñado para cargarse dinámicamente en la memoria del proceso original.
Se realizan varias consultas de WMI para obtener información sobre el hardware y verificar la existencia de cadenas “VMware” o “Virtual”. El malware verificará el tamaño del monitor, el bitness arquitectónico y el nombre de usuario para determinar si se está ejecutando en un equipo virtual. De lo contrario, establecerá una conexión con su C2. Después de realizar esta conexión, descifrará, descomprimirá y ejecutará la etapa final.
Etapa tres
Durante la tercera y última etapa, PureLogs apunta a adquirir datos robando:
- Navegación de datos
- Extensiones de Chrome, Edge y Opera
- Aplicaciones de billetera criptográfica
- Aplicaciones de escritorio
- Información de la máquina
El malware puede configurarse además para capturar carpetas, archivos por extensión o archivos por nombre y ubicación. Los actores también tienen la opción de descargar y ejecutar cargas útiles adicionales.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Como señala Flashpoint, el panorama de amenazas cibernéticas está inundado de numerosos ladrones de información. Los actores de amenazas buscan a los ladrones de información como una manera rápida y fácil de obtener información confidencial que puedan vender o usar para actividades más perjudiciales.
Dado que hay tantos robos de información para elegir, la barrera de entrada es notablemente baja. Los actores ahora tienen una multitud de capacidades y características para elegir.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
