En el resumen de esta semana, CTI analiza Intel471’s estudios recientes sobre ataques que combinan el phishing por voz y por correo electrónico. A continuación, CTI examina el análisis de Mandiant sobre 138 vulnerabilidades explotadas que se dieron a conocer originalmente en 2023. Asimismo, se incluye un desglose del análisis realizado por Flashpoint sobre el programa de robo de información «PureLogs», dirigido al navegador Chrome.
Los autores de amenazas difunden malware mediante el phishing de devolución de llamada
Intel471 ha publicado su análisis sobre los ataques que combinan el phishing por voz y el phishing por correo electrónico —una estrategia conocida como «callback phishing», «vishing híbrido» o «ataques orientados al teléfono» (TOAD).
Según Intel471, este tipo de ataques ha aumentado, al tiempo que se ha registrado una mayor demanda de servicios TOAD por parte de los autores de amenazas.
¿Qué es el «phishing por devolución de llamada»?
Un ataque típico comienza con un correo electrónico de phishing en el que se anima al destinatario a llamar a un número de teléfono concreto. El cebo de ingeniería social concreto de utilizado en estas campañas puede variar, pero todos tienen como objetivo que la víctima se ponga en contacto por teléfono con un actor malintencionado para llevar a cabo el ataque.
Los datos más recientes indican que los ataques de phishing mediante devoluciones de llamada están aumentando en frecuencia. Proofpoint ha revelado recientemente que cada mes se producen 10 millones de ataques TOAD y que estos afectan a aproximadamente el 67 % de las organizaciones de todo el mundo.
Aumento de la demanda
Además del aumento de estos ataques, muchos autores de amenazas desean ampliar su actividad a los ataques TOAD.
Intel471 detectó a más de 50 actores que buscaban personas a las que llamar para utilizarlas en su cadena de ataque. Algunos de estos agentes buscaban personas que llamaran y que hablaran idiomas concretos.
Ataques de ransomware y TOAD
Un número cada vez mayor de autores de ataques con el ransomware « » están recurriendo a servicios relacionados con TOAD para llevar a cabo sus ataques. Estos servicios pueden resultar útiles en la fase inicial de acceso de sus ataques.
El informe Intel471 señalaba que «la mayoría de los operadores de ransomware buscan una colaboración a largo plazo con quienes gestionan las llamadas para el pago de rescates y ofrecen cuotas mensuales, así como una parte de los pagos de rescate, lo que indica que dichos servicios son muy valorados entre los autores de amenazas dedicados al ransomware».
Beneficio económico
Este tipo de ataques suelen ser perpetrados por personas que buscan obtener beneficios económicos. Los ataques de phishing mediante devolución de llamada que tienen éxito pueden generar una cuantiosa suma de dinero tanto para el autor del ataque como para la persona que realiza la llamada.
Uno de estos servicios de llamadas, CrimeTalk, cobra 10 dólares por llamada. Intel471 también detectó a un actor malicioso que buscaba a personas que hablaran italiano y les ofrecía 5,000 dólares al día.
Servicios
Algunos actores desarrollan modelos de negocio más profesionales para sus servicios. Un ejemplo es el servicio M00N de envío de correo basura y phishing, que ofrece varias formas de enviar correos electrónicos de phishing.
Otro servicio, el Quattr0, ofrece diversas llamadas fraudulentas, entre las que se incluyen llamadas a bancos, servicios de reparto, tiendas en línea y otras. Este grupo afirma que puede realizar llamadas a cualquier país, excepto a Rusia.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los ciberdelincuentes están incorporando cada vez más técnicas, tácticas y procedimientos (TTP) de phishing de «callback» en sus ataques, como lo demuestra el elevado número de ofertas de servicios relacionados en el mercado negro.
Muchas organizaciones incluyen consejos y trucos básicos en su formación en materia de concienciación sobre seguridad para saber cómo identificar los correos electrónicos de phishing, pero es probable que no todas ellas incluyan información útil sobre los tipos de phishing más híbridos, como aquellos que incluyen devoluciones de llamada.
El informe Intel471’s constituye un buen recordatorio para que las organizaciones revisen su formación en materia de concienciación sobre seguridad, con el fin de garantizar que incluya información sobre cómo identificar las últimas estafas de phishing.
Mandiant analiza las tendencias en el tiempo de explotación de vulnerabilidades
Mandiant analizó 138 vulnerabilidades explotadas que se dieron a conocer originalmente en 2023.
Entre las conclusiones principales cabe destacar:
- El 70 % de las vulnerabilidades se aprovecharon como vulnerabilidades de día cero
- El tiempo medio hasta la aparición de un exploit fue de tan solo cinco días
- Microsoft, Apple y Google fueron los fabricantes más afectados por los ataques
Tiempo hasta la explotación (TTE)
Mandiant utiliza el «Time-to-Exploit» (TTE) para definir el tiempo medio que se tarda en aprovechar una vulnerabilidad antes o después de que se publique un parche.
El TTE ha ido disminuyendo en los últimos años, y la mayor caída se produjo el año pasado. En 2021-2022, el TTE fue de 32 días, pero en 2023, Mandiant observó una media de tan solo cinco días.
«Zero-day» frente a «n-day»
Este año, Mandiant ha observado una proporción de 30:70 al comparar los «n-days» (vulnerabilidades explotadas una vez que los parches están disponibles) con los «zero-days» (vulnerabilidades explotadas antes de que los parches estén disponibles), lo que pone de manifiesto un aumento constante de la explotación de vulnerabilidades «zero-day» en comparación con los últimos años.
Mandiant constató que era más probable que se produjera un ataque durante el primer mes tras el lanzamiento de un parche para una vulnerabilidad ya revelada. Mandiant descubrió además que el 12 % de los «n-days» fueron objeto de ataques en el plazo de un solo día, mientras que más de la mitad de ellos lo fueron en el plazo de un mes.
Cronologías de explotación
Mandiant también informó de que el 30 % de las vulnerabilidades se explotaron por primera vez después de que se hicieran públicas.
Al analizar las vulnerabilidades para las que existían exploits disponibles antes de que se observara su explotación, Mandiant identificó una mediana de siete días desde la fecha de divulgación del exploit público.
En el caso de las vulnerabilidades para las que existían exploits tras haberse observado su explotación, se identificó una mediana de 15 días desde su divulgación.
Vulnerabilidades detectadas por el proveedor
Mandiant desglosó cada vulnerabilidad por proveedor. Se constató un aumento del 17 % en comparación con el número máximo anterior de proveedores más afectados, y se señaló que Microsoft, Apple y Google llevan ya varios años siendo los proveedores más afectados.
Parece que los atacantes están diversificando sus objetivos en la actualidad; Mandiant señala un aumento en el número total de proveedores que han sido objeto de ataques.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Establecer prioridades a la hora de aplicar parches se está convirtiendo en un reto cada vez mayor, ya que las vulnerabilidades se explotan cada vez más rápido año tras año.
Por ello, la gestión de parches de seguridad debe ir acompañada de un sistema eficaz de detección y respuesta que permita adaptarse en tiempo real.
Su análisis también indica que las vulnerabilidades de «día cero» están ganando cada vez más popularidad, lo que concuerda con las tendencias recientes en el panorama de las amenazas.
PureLogs está dirigido al navegador Chrome
Flashpoint ha investigado recientemente , el programa de robo de información «PureLogs», que está atacando activamente el navegador Chrome para sustraer información confidencial. En la actualidad, solo unas pocas familias de malware más son capaces de recopilar datos del navegador Chrome, lo que convierte a esta amenaza en una a la que hay que prestar especial atención.
Flashpoint detectó más de 53 millones de credenciales comprometidas, así como 13 millones de dispositivos infectados, como consecuencia de la actividad de los programas de robo de información en 2024. Este malware apareció por primera vez en el año 2022 y lleva circulando desde entonces. Es probable que su bajo precio, en comparación con otros programas de robo de información, contribuya a que se siga utilizando.
¿Qué es PureLogs?
El malware de robo de información PureLogs está escrito en C#. Al igual que muchas otras familias de malware, utiliza varias etapas de ensamblaje.
El programa malicioso intenta recopilar datos confidenciales del navegador Chrome, lo que, según señala Flashpoint, es una característica «que solo comparten unos pocos programas maliciosos, como Lumma, Vidar y Meduza».
El malware sigue presente en los mercados clandestinos y en la red pública, donde cuenta con un mercado propio. PureLogs es, en la actualidad, uno de los programas de robo de información más económicos del mercado, lo que lo hace aún más atractivo para los autores de amenazas.
Además del malware destinado al robo de información, el creador también ofrece acceso a un minero de criptomonedas, herramientas de sustitución del portapapeles, una botnet y un cliente oculto de computación en red virtual.
¿Cómo funciona PureLogs?
Primera fase
La primera fase consiste en la carga y la ejecución. Esta etapa contiene una matriz de bytes que se descifrará mediante el algoritmo AES.
Tanto la clave AES como el valor inicial están codificados de forma fija como cadenas codificadas en Base64 . El archivo binario se descomprime, lo que da lugar a que se cargue y se ejecute en memoria una DLL de C#.
Segunda fase
En la segunda fase se llevarán a cabo comprobaciones para evitar el entorno de pruebas antes de cargar efectivamente el ensamblado final del programa de robo de información. En primer lugar, comprueba si hay DLL cargadas actualmente en el proceso. Asimismo, comprobará el PPID del proceso, ya que este no debería estar presente, dado que el ensamblado está diseñado para cargarse dinámicamente en la memoria del proceso original.
Se realizan varias consultas WMI para obtener información sobre el hardware y comprobar si existen las cadenas «VMware» o «Virtual». El malware comprobará el tamaño del monitor, la arquitectura (número de bits) y el nombre de usuario para determinar si se está ejecutando en una máquina virtual. De lo contrario, establecerá una conexión con su C2. Una vez establecida esta conexión, se procederá a descifrar, descomprimir y ejecutar la fase final.
Tercera fase
Durante la tercera y última fase, PureLogs tiene como objetivo obtener datos mediante el robo de:
- Datos de navegación
- Extensiones para Chrome, Edge y Opera
- Aplicaciones de monederos de criptomonedas
- Aplicaciones de escritorio
- Información sobre la máquina
El malware puede configurarse además para capturar carpetas, archivos por extensión o archivos por nombre y ubicación. Los actores también tienen la opción de descargar y ejecutar cargas útiles adicionales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Flashpoint, el panorama de las amenazas cibernéticas está plagado de numerosos programas de robo de información. Los autores de amenazas recurren a los programas de robo de información como una forma rápida y sencilla de obtener información confidencial que puedan vender o utilizar para llevar a cabo otras actividades ilícitas.
Dado que hay tantos programas de robo de información entre los que elegir, la barrera de entrada es notablemente baja. En la actualidad, los actores disponen de una gran variedad de capacidades y características entre las que elegir.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Taniumy para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
