En primer lugar, en el resumen de esta semana, se observa a los ladrones de información y cómo contribuyen al comercio de credenciales y a los ataques de ransomware. A continuación, el equipo de CTI de Tanium explora los últimos datos de explotación de día cero de Google. Finalmente, el equipo termina con una descripción general de un nuevo robo de información llamado Gremlin Stealer.
Los ladrones de información amenazan la seguridad corporativa
KELA ha publicado un informe (se abre en una nueva pestaña) que resume su investigación sobre el malware de robo de información, cómo impulsa el comercio de credenciales y cómo permite los ataques de ransomware.
Entre los hallazgos clave, el mercado de credenciales corporativas ahora representa una parte considerable del panorama de amenazas y el ecosistema de delitos cibernéticos. Las credenciales corporativas se han convertido en un producto básico de alto valor para los actores de amenazas, ya que pueden permitir ataques adicionales.
Aunque las credenciales pueden robarse a través de varios métodos, el malware de robo de información sigue siendo un mecanismo increíblemente popular. Esto se debe a que pueden robar credenciales a escala y a menudo están fácilmente disponibles para la compra, lo que lo hace accesible a actores de diferentes niveles de habilidad.
Cómo han evolucionado los ataques de credenciales comprometidas
KELA observa una creciente sofisticación y comercialización en el robo de credenciales.
Aunque los foros de delitos cibernéticos tradicionalmente han sido el método principal para comprar credenciales comprometidas, están surgiendo nuevos canales. Un ejemplo son los mercados automatizados, que permiten a los compradores consultar bases de datos que contienen credenciales robadas.
Los modelos de suscripción también se utilizan cada vez más para distribuir robos de información y credenciales comprometidas. Los actores de amenazas ahora ofrecen suscripciones a servicios de credenciales comprometidos, lo que brinda a los suscriptores acceso a credenciales robadas.
¿A qué tipo de empleados apuntan más los actores de amenazas?
KELA realizó investigaciones adicionales sobre su colección de máquinas infectadas y credenciales comprometidas para identificar a las personas más en riesgo. Se descubrió que la gestión de proyectos era el departamento más afectado, seguido de consultoría y desarrollo de software. Los países más afectados de estos empleados fueron Brasil, seguidos de India, los Estados Unidos y España.
KELA también analizó el sector más objetivo y descubrió que la tecnología encabezaba la lista, lo que representa el 14 % de los casos. A esto le siguieron los servicios de TI, la consultoría de TI y la fabricación.
¿Cómo utilizan los grupos de ransomware cuentas válidas?
Los grupos de ransomware comúnmente utilizan cuentas válidas o credenciales robadas como método de acceso inicial para sus ataques. KELA analizó a las víctimas de los grupos de ransomware Play, Akira y Rhysida y comparó a esas víctimas con su propio lago de datos de cuentas comprometidas. Esto les permitió ver qué víctimas tenían sus cuentas comprometidas a través de malware de robo de información.
KELA buscaba específicamente cuentas relacionadas con VPN, RMM y Active Directory, ya que estas son las más buscadas. Identificaron a varias víctimas de ransomware a quienes se les compartieron sus credenciales comprometidas entre cinco y 95 días antes de que se reclamara el ataque.
[Leer también: ¿Qué es la seguridad de Active Directory? Riesgos y mejores prácticas]
Aunque no se confirma que estas credenciales se hayan utilizado en el ataque, KELA menciona que “representa una amenaza significativa para las organizaciones, ya que los actores de amenazas pueden abusar de ellas para obtener acceso a una organización que luego utilizan para realizar sus ataques, como los ataques de ransomware”.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
La investigación de KELA destaca los peligros del malware de robo de información y cómo alimentan el resto del panorama de amenazas.
Cabe destacar que el informe destaca qué empleados son los más a menudo objetivo del robo de credenciales. Aunque la gestión de proyectos era el rol de mayor objetivo en general, el desarrollo de software era el rol de mayor objetivo, específicamente en el sector tecnológico.
Esto no implica que otras posiciones estén completamente seguras de esta amenaza. Sin embargo, aumenta la posibilidad de que los actores sean más focalizados en sus esfuerzos de robo de credenciales.
Google observa 75 exploits de día cero en 2024
Threat Intelligence Group de Google (se abre en una nueva pestaña) realizó un seguimiento de 75 vulnerabilidades de día cero que se explotaron en 2024.
Esto es menor que las 98 vulnerabilidades que Google rastreó en 2023, pero ligeramente mayor que lo que Google encontró en 2022.
Google también descubrió que la cantidad de días cero que afectaron las tecnologías empresariales fue ligeramente superior el año pasado, con un 44 %, en comparación con solo el 37 % en 2023.
Dirigirse a plataformas y productos de usuario final
El 56 % de los cero días del año pasado se dirigieron a plataformas y productos de usuario final. Las vulnerabilidades en esta categoría incluyen aquellas utilizadas para explotar navegadores, dispositivos móviles y sistemas operativos de escritorio.
Los ataques de día cero contra navegadores y dispositivos móviles disminuyeron significativamente. Sin embargo, aumentó la cantidad de ataques de día cero dirigidos a sistemas operativos, siendo Windows el más dirigido.
Google también señala que las cadenas explotadas que combinaban varias vulnerabilidades de día cero se utilizaban con mayor frecuencia para dirigirse a dispositivos móviles.
El rol de las tecnologías empresariales vulnerables
Se explotaron 33 días cero en productos empresariales en 2024, principalmente aquellos utilizados por empresas o en entornos comerciales.
De las vulnerabilidades tecnológicas centradas en la empresa, 20 se enfocaron en productos de seguridad y red. En general, Google ha visto un aumento en la cantidad de proveedores empresariales objetivo en los últimos años, identificando 18 proveedores empresariales únicos objetivo de cero días el año pasado.
Explotación por proveedor
Microsoft y Google fueron los dos principales proveedores afectados por los días cero en 2024. Ivanti saltó al tercer lugar, mientras que Apple cayó al cuarto lugar.
¿Qué actores de amenazas son responsables de los exploits de día cero?
Google descubrió que múltiples grupos de amenazas contribuyeron a la explotación de día cero el año pasado.
El grupo más grande fueron actores de espionaje patrocinados por el estado, que representaron el 29.4 % de los ataques. Dentro de este grupo, los actores asociados con la República Popular China (PRC) fueron los principales contribuyentes.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Los días cero siguen siendo un enfoque clave para los actores de amenazas. Aunque la cantidad general de días cero cayó levemente en comparación con el año anterior, las tendencias han cambiado.
El análisis de Google proporciona información útil sobre estos patrones cambiantes. Una de las mayores conclusiones del informe de Google es que hay un mayor interés en la explotación de la tecnología centrada en la empresa, con vulnerabilidades de día cero que aumentan en un 7 % de 2023 a 2024. Como señala Google, esto “principalmente se ve impulsado por la mayor explotación de software y dispositivos de seguridad y redes”.
Gremlin Stealer aparece en un foro subterráneo
Palo Alto identificó (se abre en una nueva pestaña) un nuevo malware de robo de información llamado Gremlin Stealer, que ahora se está distribuyendo en un canal de telegrama llamado CoderSharp.
Gremlin Stealer puede robar una variedad de datos, incluidas cookies, contraseñas, criptomonedas, información de computadora, archivos, capturas de pantalla y más.
¿Qué sucede con los datos robados?
El actor responsable de Gremlin Stealer afirmó recientemente haber cargado una gran cantidad de datos robados a su servidor.
Palo Alto cree que este servidor es un portal configurable que viene con malware. El sitio de Gremlin Stealer muestra 14 archivos, cada uno supuestamente un archivo de datos robados de una víctima.
¿Cómo funciona Gremlin Stealer?
Palo Alto ha estado monitoreando de cerca este malware desde March 2025 y ha recopilado una lista de sus funciones principales:
- Omitir la cookie v20: Gremlin Stealer puede omitir la protección de la cookie v20 de Chrome utilizando una técnica común que utilizan muchos ladrones de información. Según Palo Alto, Google ha realizado algunos cambios para evitar esta capacidad.
- Exploración de navegadores: Gremlin Stealer verifica las cookies y las contraseñas guardadas de los navegadores basados en Chrome y Gecko y escribe los datos en un archivo para su exfiltración.
- Verificación de billeteras de criptomonedas: Al igual que muchos ladrones de información, Gremlin Stealer verifica diferentes billeteras de criptomonedas en dispositivos y roba archivos relevantes.
- Robo de credenciales FTP/VPN: El malware intentará robar nombres de usuario y contraseñas FTP utilizando una función de robo de credenciales. También se dirige a credenciales VPN.
- Recopilación de datos de sesión: El malware intentará recopilar datos e información de sesión de Telegram y Discord. Esto es menos común con los robos de información.
- Obtención de información del sistema: Al igual que muchas otras familias de malware, recopila información sobre el sistema infectado, incluido el nombre de usuario, la información del portapapeles, la identificación del hardware, etc.
- Robo de tarjeta de crédito: Gremlin Stealer también puede robar información de tarjetas de crédito.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Gremlin Stealer no ha existido durante mucho tiempo. Sin embargo, viene equipado con una larga lista de características.
Aunque aún no se ha determinado si Gremlin Stealer despegará como otros ladrones de información populares, el malware de robo de información está rojo en este momento, lo que hace que esta amenaza valga la pena vigilar.
Para obtener más información técnica, Palo Alto comparte fragmentos (se abre en una nueva pestaña) del código Gremlin Stealer para cada una de sus diversas funciones.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium (se abre en una nueva pestaña) para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
