Esta semana, CTI presenta las conclusiones principales del último informe de Cisco Talos sobre tendencias en respuesta a incidentes (IR), correspondiente al segundo trimestre de 2024. A continuación, CTI analiza una advertencia reciente de Microsoft en la que se detalla cómo los grupos de ransomware están aprovechando una vulnerabilidad que permite eludir la autenticación en VMware ESXi. Por último, CTI analiza el último informe de Palo Alto, que profundiza en cómo han comenzado a evolucionar el registro de dominios y los ataques a la red asociados a términos relacionados con la IA generativa.
1. Cisco Talos publica su informe « Q2 tendencias en respuesta a incidentes»
Cisco Talos ha publicado su último informe sobre tendencias en respuesta a incidentes ( , IR), titulado «», en el que se abordan diversos temas y observaciones derivadas de sus intervenciones durante el segundo trimestre de 2024. El informe revela que el suplantación de identidad en el correo electrónico empresarial (BEC) y el ransomware siguen siendo las principales amenazas, y que, en conjunto, representan el 60 % de sus intervenciones.
Mayor atención prestada al sector tecnológico
El sector tecnológico fue objeto de ataques en el 24 % de los incidentes registrados durante el segundo trimestre, lo que lo convierte en el principal ámbito de interés para los autores de las amenazas, por delante del comercio minorista, la sanidad, el sector farmacéutico y otros sectores verticales.
Cisco Talos ha detectado un aumento del 30 % en los incidentes que han afectado al sector tecnológico en comparación con el primer trimestre. Asimismo, señalan que los autores de amenazas pueden considerar a las organizaciones del sector tecnológico como «puertas de entrada a otros sectores y organizaciones, dado su importante papel en el suministro y la prestación de servicios a una amplia gama de sectores».
Continúa el auge de la BEC
Como era de esperar, el BEC sigue teniendo una gran relevancia. Esto concuerda con el hecho de que se constató el uso de credenciales válidas en el 60 % de las interacciones del trimestre, lo que supone un aumento del 25 % con respecto al trimestre anterior.
Tendencias en materia de ransomware
Cisco Talos detectó casos de ransomware en el 30 % de sus intervenciones durante el segundo trimestre, lo que supone un aumento del 22 % con respecto al trimestre anterior.
Además, Cisco Talos ha detectado por primera vez a los grupos de ransomware Mallox y Underground Team. Esto se sumó a familias de ransomware ya conocidas, como Black Basta y BlackSuit.
Cisco Talos señala que el 80 % de los ataques de ransomware «carecían de una implementación adecuada de la autenticación multifactorial (MFA) en sistemas críticos, como las redes privadas virtuales (VPN), lo que contribuyó a que los atacantes obtuvieran acceso inicial».
En auge: los ataques dirigidos a dispositivos de red
Además del aumento de los ataques de ransomware, Cisco Talos observó un incremento en los ataques dirigidos a dispositivos de red, que representaron el 24 % de sus intervenciones. Esta actividad incluye tácticas como el «password spraying», el análisis de vulnerabilidades, la explotación de vulnerabilidades y otras.
Vectores iniciales
El uso de cuentas válidas pero comprometidas fue la principal forma en que los actores maliciosos obtuvieron acceso inicial durante el segundo trimestre.
Esto supuso un aumento del 25 % con respecto al trimestre anterior. El siguiente método más utilizado para obtener acceso inicial fue la explotación de aplicaciones accesibles al público.
Vulnerabilidades de seguridad
Las dos principales deficiencias en materia de seguridad son los sistemas vulnerables o mal configurados y la falta de autenticación multifactorial (MFA). Estas dos deficiencias han aparecido en numerosos informes de tendencias a lo largo de los últimos trimestres. Los sistemas vulnerables guardan una relación directa con el elevado número de ataques que tienen éxito.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Muchos de los aspectos mencionados en este informe son tendencias que se mantienen desde trimestres anteriores, como el hecho de que los sistemas vulnerables y la falta de autenticación multifactorial (MFA) sigan siendo las principales deficiencias de seguridad.
Lo más interesante es que el sector tecnológico fue el que más se vio afectado en sus operaciones. Tal y como se menciona en el informe, los autores de las amenazas se centran cada vez más en las empresas tecnológicas para obtener acceso a otras organizaciones. Esta tendencia concuerda con el aumento de los ataques a la cadena de suministro que se han venido produciendo.
2. Los grupos de ransomware aprovechan una vulnerabilidad de ESXi
Microsoft ha emitido una advertencia en la que indica que varios grupos de ransomware están aprovechando activamente una vulnerabilidad de VMware ESXi que permite eludir la autenticación ( ).
La vulnerabilidad, que ha sido corregida recientemente, se está utilizando para obtener permisos elevados y llevar a cabo cadenas de infección que dan lugar a la instalación de malware y del ransomware Black Basta .
Acerca de CVE-2024-37085
El problema CVE-2024-37085 fue descubierto por investigadores de Microsoft y se corrigió en ESXi 9.0 U3 en June 25.
De explotarse esta vulnerabilidad, permitiría a un agente malintencionado crear un grupo denominado «ESX Admins» y añadir un nuevo usuario, con lo que obtendría privilegios de administrador completos sobre el hipervisor.
Microsoft analizó en profundidad la vulnerabilidad y descubrió que «los hipervisores VMware ESXi unidos a un dominio de Active Directory consideran que cualquier miembro de un grupo de dominio denominado «ESX Admins» dispone, por defecto, de acceso administrativo completo».
Aumento de los ataques dirigidos a los hipervisores ESXi
Microsoft, al igual que muchas otras empresas, ha observado un aumento de los autores de ransomware que atacan a los hipervisores ESXi en los últimos meses.
Es más, hay varios grupos dedicados al ransomware que ahora están vendiendo programas de cifrado para ESXi. Microsoft señala que el número de intervenciones de respuesta a incidentes (IR) que ha llevado a cabo y en las que han intervenido hipervisores ESXi se ha más que duplicado en los últimos tres años.
Storm-0506 distribuye el ransomware Black Basta
Microsoft ha compartido un ejemplo de un incidente ocurrido a principios de este año en el que una organización resultó infectada por el ransomware Black Bast , que fue propagado por un actor identificado como Storm-0506. El actor aprovechó la vulnerabilidad para elevar sus privilegios en los hipervisores ESXi.
- Este ataque se inició con una infección por QBot.
- A continuación, el actor aprovechó una vulnerabilidad del CLFS de Windows del año pasado para elevar los privilegios en ese dispositivo.
- Se utilizaron otras herramientas para sustraer las credenciales de administrador del dominio y poder desplazarse lateralmente a otros cuatro controladores de dominio.
- Tras instalar diversos mecanismos de persistencia, intentar ataques de fuerza bruta contra las conexiones RDP y manipular Microsoft Defender, el actor creó a continuación el grupo «ESX Admins» en el dominio.
- A continuación, se añadió un nuevo usuario a este nuevo grupo, tras lo cual se procedió rápidamente al cifrado del sistema de archivos de ESXi.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Microsoft señala que los ataques dirigidos a los hipervisores ESXi están aumentando. Se trata de una tendencia que los investigadores han observado en el panorama de las amenazas durante los últimos meses, si no más, y que es probable que continúe en un futuro próximo.
Microsoft ha identificado tres tácticas diferentes que los atacantes están utilizando para aprovechar esta vulnerabilidad de VMware ESXi y ha compartido diversas estrategias de mitigación y protección que merece la pena analizar.
3. Los estafadores se aprovechan de la IA generativa en el registro de dominios y en los ataques a redes
, con sede en Palo Alto, ha analizado recientemente en profundidad la evolución del registro de dominios y los ataques a la red asociados a términos relacionados con la IA generativa (GenAI).
La organización analizó los dominios registrados que contenían palabras relacionadas con «GenAI» para detectar patrones y llevó a cabo varios estudios de caso en los que se describen distintos tipos de ataques que aprovechan dichos dominios.
Registro de dominios relacionados con la IA general
Palo Alto ha registrado aproximadamente 225 GenAI-related dominios cada día desde el November 2022. No todos los dominios de nuevo registro (NRD) son maliciosos o sospechosos, por lo que Palo Alto ha hecho todo lo posible por distinguir entre ambos. Entre los dominios de la categoría «sospechosos» se incluyen aquellos utilizados para C2, ransomware, malware, , phishing y grayware.
Al analizar más detenidamente los dominios que se estaban registrando, Palo Alto detectó algunos patrones textuales. Han desglosado estos patrones en función de las palabras clave y han constatado que más del 72 % de los dominios utilizan palabras clave relacionadas con aplicaciones populares de inteligencia artificial. La palabra clave más utilizada, con diferencia, fue «gpt».
Tráfico DNS relacionado con la IA general
Palo Alto también analizó el tráfico dirigido a estos dominios para comprender el impacto. Lo que observaron fue una tendencia general al alza en el tráfico total relacionado con la IA generativa, del cual el 35 % parece dirigirse hacia dominios sospechosos.
Estudio de caso sobre el uso indebido de la red
Palo Alto ha descrito diversas formas en las que un actor malintencionado podría aprovecharse del interés general que suscita la IA generativa (GenAI) a través de estos dominios recién registrados.
Una de las formas es a través de la distribución de programas potencialmente no deseados (PUP). En una campaña, Palo Alto detectó 13 dominios registrados que contenían la palabra «chatgpt» y todos seguían un patrón de nomenclatura similar. A los visitantes del dominio se les redirigía a un servicio de proxy que les pedía que se registraran y compraran créditos para poder continuar.
Estos dominios también se están utilizando para la distribución generalizada de correo basura y para el aparcamiento de dominios con fines lucrativos. Mediante el aparcamiento de dominios con fines lucrativos, un actor malintencionado registrará dominios que, en su opinión, serán populares y generarán tráfico. A continuación, vinculan los dominios a plataformas de aparcamiento de dominios con fines lucrativos. De este modo, cada visita se traduce en ingresos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de amenazas son conocidos por lanzar ataques relacionados con temas de actualidad, y la IA general es el último ejemplo de ello. Es probable que esta tendencia continúe a medida que el tema de la IA y los modelos de lenguaje a gran escala (LLM) siga evolucionando.
Palo Alto señala que «el elevado porcentaje de dominios sospechosos entre estos nuevos dominios pone de relieve la necesidad de una detección proactiva frente a los ataques a la red que aprovechan palabras clave relacionadas con la IA generativa».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
