En el resumen de esta semana, CTI repasa algunas de las principales amenazas cibernéticas que han ido surgiendo en los últimos meses. En primer lugar, se ofrece una visión general de la reciente operación del FBI para desarticular el malware Qakbot, seguida de un análisis de los modelos de aprendizaje automáti como vector de ataque emergente. También se incluyen novedades sobre ESXiArgs, Bumblebee, los grupos Andariel y APT29 , así como la situación actual del ransomware.
1. El FBI desarticula la red de bots Qakbot
En December 2022, CTI alertó sobre un repunte de las infecciones por Qakbot en entornos de clientes pertenecientes, en su mayoría, a empresas con sede en EE. UU.
En aquel momento, los investigadores atribuyeron el aumento a una campaña generalizada de ransomware llevada a cabo por Black Basta, un grupo de ransomware relativamente nuevo que surgió en April 2022. En aquel momento, Black Basta utilizó Qakbot para introducirse en las redes objetivo y desplazarse lateralmente por ellas.
Qakbot —también conocido como Quackbot, Qbot, Pinkslipbot y TA570 — es una de las redes de bots más notorias y es responsable de miles de infecciones por malware en todo el mundo. Se descubrió por primera vez en el año 2008, lo que la convierte en una de las redes de bots más longevas.
La operación «Duck Hunt» ha sido un éxito
A finales de agosto, una operación policial internacional logró desmantelar la red de bots Qakbot. La campaña, denominada « » (Operación Duck Hunt) (se abre en una nueva pestaña), es, según se informa, la mayor operación liderada por Estados Unidos hasta la fecha para desarticular redes de bots y obstaculizar actividades financieras.
La operación «Duck Hunt» consistió en redirigir el tráfico hacia servidores controlados por el Gobierno, lo que permitió a los agentes controlar la red de bots. El FBI ordenó a los equipos infectados con Qakbot que descargaran un desinstalador propio, lo que aisló los equipos de las víctimas e impidió que se produjeran nuevas instalaciones de malware.
Security Boulevard explica que la estrategia del FBI durante la operación « » para desarticular Qakbot (se abre en una nueva pestaña) se asemeja mucho al «hacking back» —una táctica que las autoridades suelen desaconsejar a las organizaciones debido a los posibles riesgos asociados a la ejecución de comandos en sistemas remotos—.
Durante la operación, el FBI y sus socios internacionales incautaron la infraestructura de Qakbot en Europa y en Estados Unidos. El Departamento de Justicia de Estados Unidos también confiscó más de 8.6 millones de dólares en criptomonedas robadas al grupo Qakbot. La operación permitió descubrir unos 700,000 dispositivos infectados con Qakbot, de los cuales más de 200,000 se encontraban en EE. UU. No obstante, el FBI considera que podría haber millones de víctimas de Qakbot.
Aunque el FBI asestó un duro golpe a Qakbot, existía la posibilidad de que la red de bots pudiera reaparecer. Desde el desmantelamiento, se ha observado que los autores de amenazas afiliados a Qakbot (se abre en una nueva pestaña) distribuyen el ransomware Ransom Knight y el malware Remcos. Aunque los autores de las amenazas no están distribuyendo el propio Qakbot, siguen en activo, lo que significa que existe la posibilidad de que decidan reconstruir la infraestructura de Qakbot.
CTI seguirá atenta a la evolución de la situación.
2. Aprendizaje automático: un vector de ataque emergente
Durante el último año se ha producido una proliferación de potentes servicios de chat basados en la inteligencia artificial y el aprendizaje automático, y esto no es más que el principio de lo que está por venir. Un estudio reciente de Gartner revela que el 70 % de las organizaciones se encuentran actualmente en las fases de «exploración» de la investigación y el análisis sobre la IA generativa . (se abre en una nueva pestaña)
ChatGPT —que utiliza los modelos GPT-3.5 y GPT-4 de OpenAI— sigue siendo una de las herramientas de inteligencia artificial más populares del mercado, sobre todo por su versatilidad y facilidad de uso. La adopción por parte de las empresas podría aumentar aún más en los próximos meses tras el anuncio de ChatGPT Enterprise, que, según OpenAI, es la versión más potente de ChatGPT hasta la fecha. ChatGPT Enterprise (se abre en una nueva pestaña) también ofrece seguridad y privacidad de nivel empresarial.
Otros chatbots basados en IA que conviene conocer son, entre otros:
- Bing Chat, que utiliza el modelo GPT-4 de OpenAI. El nuevo Bing tiene acceso a Internet y funciona como un motor de búsqueda.
- Google Bard, que funciona con PaLM 2 y una versión ligera de LaMDA.
- Claude, un modelo de lenguaje grande (LLM) desarrollado por Anthropic y basado en la IA constitucional.
- Perplexity AI, un chatbot conectado a Internet que funciona con GPT-3 y GPT-4.
- Jasper, un popular chatbot de redacción basado en GPT-3.5.
El debate actual sobre ciberseguridad en torno al aprendizaje automático
Tal y como señaló CTI tras la aparición de ChatGPT a finales de 2022, la comunidad de seguridad de sigue dividida en cuanto al papel del aprendizaje automático en la ciberseguridad. Hay quien lo considera el salvador de la ciberseguridad, mientras que otros están profundamente preocupados por su papel como nuevo y peligroso vector de ataque.
Por un lado, los recientes avances en este ámbito facilitan a las empresas la gestión y la respuesta ante las amenazas emergentes. Por ejemplo, Exabeam ha incorporado las capacidades de IA generativ (se abre en una nueva pestaña) a su plataforma de gestión de información y eventos de seguridad (SIEM) New-Scale, lo que permite a los usuarios clasificar rápidamente las amenazas, resumir los riesgos y obtener recomendaciones para su corrección. En la actualidad existen muchos otros servicios de seguridad basados en IA generativa, como , (se abre en una nueva pestaña),y , entre los que se incluyen Google Cloud Security AI Workbench, Microsoft Security Copilot y CrowdStrike Charlotte AI.
Sin embargo, aunque el aprendizaje automático y la inteligencia artificial son prometedores, siguen siendo tecnologías emergentes. Es habitual que los sistemas de alerta basados en el aprendizaje automático generen un número excesivo de falsos positivos y notificaciones, lo que plantea dificultades para el personal encargado de la gestión de incidentes. Además, el significado y la importancia de estas alertas pueden resultar difíciles de interpretar.
Es más, los ciberdelincuentes están atacando cada vez más los modelos de IA (se abre en una nueva pestaña) mediante tácticas como el envenenamiento de datos, el robo de modelos, el compromiso de la cadena de suministro y las puertas traseras en la IA. Alrededor del 20 % de las empresas han sufrido ataques a modelos de IA de tipo « » o incidentes de compromiso de la seguridad en el último año, mientras que el 49 % de los responsables de seguridad están preocupados por la posibilidad de que los actores maliciosos contaminen los modelos de IA y de aprendizaje automático para eludir las medidas de seguridad.
Teniendo esto en cuenta, las empresas y los profesionales de la seguridad deberían plantearse adoptar la inteligencia artificial y el aprendizaje automático, al tiempo que reconocen la necesidad de adoptar un enfoque prudente y estratégico a la hora de implementarlos.
La NSA anuncia un nuevo centro de seguridad basado en la inteligencia artificial
El día « September 28», la Agencia de Seguridad Nacional (NSA) anunció la creación de un nuevo centro de seguridad dedicado a la inteligencia artificial para supervisar el desarrollo y la integración de las capacidades de inteligencia artificial en los sistemas de seguridad nacional de Estados Unidos.
Según el Departamento de Defensa de los Estados Unidos, el Centro de Seguridad de la IA se convertirá en el punto de referencia para el desarrollo de buenas prácticas en materia de IA, metodologías de evaluación y marcos de gestión de riesgos.
El centro promoverá la adopción segura de las capacidades emergentes de inteligencia artificial en todo el ámbito de la seguridad nacional y la base industrial de defensa. Además, consolidará las actividades de la agencia relacionadas con la inteligencia artificial y la seguridad.
3. ESXiArgs: Sigue circulando
Ya en febrero, CTI dio la voz de alarma sobre la campaña de ransomware ESXiArgs , que se estaba propagando rápidamente. En aquel momento, los atacantes se centraban activamente en los servidores VMware ESXi, concretamente en aquellos que no tenían instalados los parches y eran vulnerables a la vulnerabilidad CVE-2021-21974.
A mediados de febrero, más de 500 servidores se vieron afectados por la variante «ESXiArgs» de (se abre en una nueva pestaña), y la mayoría de las víctimas se encontraban en Francia, los Países Bajos, Alemania, el Reino Unido y Ucrania.
¿Qué novedades presenta ESXiARGS?
ESXiArgs sigue activo y propagándose, por lo que conviene mantenerlo bajo vigilancia. Las empresas que no hayan aplicado los parches a sus servidores ESXi siguen corriendo el riesgo de convertirse en víctimas.
VMware recomienda a sus clientes que actualicen a la última versión compatible de vSphere (se abre en una nueva pestaña) para solucionar todas las vulnerabilidades detectadas. VMware recomienda asimismo desactivar el servicio OpenSLP en ESXi.
4. El malware «Bumblebee» reaparece tras un parón de dos meses
En mayo, CTI advirtió de que Google Ads está difundiendo un nuevo malware denominado « » (Bumblebee). Los ciberdelincuentes están utilizando Google Ads para promocionar versiones infectadas con troyanos de los instaladores de aplicaciones populares y distribuir el cargador de malware «Bumblebee» entre las víctimas.
Es muy probable que el equipo de Conti haya desarrollado Bumblebee para sustituir a la puerta trasera BazarLoader, lo que facilita a los autores de amenazas el acceso a las redes y la distribución de ransomware y otras cargas útiles secundarias. En campañas recientes se ha observado que el malware «Bumblebee», dirigido a empresas, se distribuye a través de Google Ads, utilizando técnicas de «envenenamiento de SEO» para crear promociones diseñadas para atraer a usuarios deseosos de descargar fácilmente software popular, como Zoom, Citrix Workspace y Cisco AnyConnect.
La última campaña de Bumblebee
Tras una pausa estival, Bumblebee regresó en septiembre con una campaña que recurre a nuevas técnicas de distribución.
Según Bleeping Computer, Bumblebee está utilizando indebidamente 4shared servicios WebDAV de : (se abre en una nueva pestaña),y . WebDAV es una extensión del protocolo HTTP que permite a los clientes realizar operaciones de edición remota, como crear, acceder, actualizar y eliminar contenido de un servidor web.
Según informa Bleeping Computer, la última campaña de Bumblebee se basa en correos electrónicos no deseados que se hacen pasar por escaneos, facturas y notificaciones. La campaña pretende inducir a los destinatarios a descargar archivos adjuntos maliciosos. La mayoría de los archivos adjuntos son archivos LNK de accesos directos de Windows. Sin embargo, también hay algunos archivos ZIP que contienen archivos LNK, lo que significa que es muy probable que los operadores de Bumblebee estén realizando pruebas para encontrar el mejor método.
Los analistas también han descubierto una versión actualizada del cargador del malware Bumblebee en esta campaña. El cargador ha cambiado del protocolo WebSocket a TCP para las comunicaciones C2 . Además, el nuevo cargador ya no utiliza las C2 direcciones fijadas de forma estática. En su lugar, utiliza un algoritmo de generación de dominios para crear 100 dominios en el espacio del dominio de nivel superior «.life» tras su ejecución.
Según Bleeping Computer:
Los dominios se generan utilizando un valor de semilla estático de 64 bits, y Bumblebee se conecta a ellos recorriendo la lista creada hasta que encuentra uno que apunte a una dirección IP activa de un servidor C2 .
Bumblebee se ha relacionado anteriormente con la distribución de cargas útiles de ransomware, entre ellas Conti y Akira, por lo que la adopción de un canal de distribución más eficaz y difícil de detectar constituye un hecho preocupante.
Además, la adopción de DGA dificulta la identificación de la infraestructura de Bumblebee, el bloqueo de sus dominios y la interrupción significativa de sus operaciones, lo que añade una complejidad adicional a la hora de aplicar medidas preventivas contra el cargador de malware.
5. Andariel utiliza numerosas variantes de malware en sus ataques
En una actualización de CTI del mes de julio se explicaba cómo el actor malicioso respaldado por Corea del Norte, identificado como « » y «Andariel» , desplegó el malware EarlyRat durante 2022 ciberataques de una serie que aprovechaban la vulnerabilidad Log4j .
Andariel —también conocido como Silent Chollima y Stonefly— es un subgrupo del actor APT «Lazarus Group» de Corea del Norte. Este grupo lleva a cabo de forma habitual operaciones de ciberespionaje dirigidas contra entidades gubernamentales y militares extranjeras de interés estratégico para Corea del Norte. Andariel se dedica principalmente a generar ingresos y a financiar las operaciones militares del Gobierno de Corea del Norte.
Entre los principales objetivos de Andariel se encuentran las instituciones financieras, los contratistas del sector de la defensa, las universidades, los organismos públicos, las empresas energéticas y los proveedores de ciberseguridad.
Los investigadores emiten una nueva advertencia sobre Andariel
Recientemente se ha detectado que Andariel utiliza diversas herramientas y tácticas maliciosas en los ciberataques de contra las organizaciones afectadas. (se abre en una nueva pestaña)
Por ejemplo, el grupo utiliza el spear-phishing, los ataques a la cadena de suministro y los «watering holes» para lanzar sus cargas maliciosas. Andariel también utiliza una combinación de familias de malware como Gh0st RAT, NukeSped, DTrack, YamaBot, Phandoor, Rifdoor, Andarat, TigerRAT (junto con su sucesor, MagicRAT) y Andaratm. Además, el grupo está utilizando nuevas variantes como Black RAT, Goat RAT, AndarLoader y DurianBeacon. Black RAT y Goat RAT están programados en Go, mientras que AndarLoader está programado en .NET. DurianBeacon utiliza Go y Rust.
Desde el Centro de Respuesta a Emergencias de Seguridad de AhnLab (ASEC):
El grupo Andariel es uno de los grupos de ciberamenaza más activos que tienen como objetivo a Corea, junto con Kimsuky y Lazarus. En sus inicios, el grupo lanzaba ataques para obtener información relacionada con la seguridad nacional, pero ahora lleva a cabo ataques con fines lucrativos.
Para obtener información detallada sobre las últimas actividades de ataque de Andariel, consulte el informe completo de ASEC (se abre en una nueva pestaña).
6. El ransomware sigue siendo una de las principales amenazas para las empresas
En un informe publicado en julio, CTI reveló cómo se están disparando los ataques de ransomware y los pagos , y los investigadores han observado un aumento general en el número de pagos exitosos, tanto de gran cuantía como de menor cuantía. Según Chainalysis, el ransomware va camino de batir los récords anteriores.
De BleepingComputer (se abre en una nueva pestaña):
«El ransomware es la única forma de delito relacionado con las criptomonedas que ha experimentado un aumento en lo que va de 2023», reza el informe de Chainalysis. «De hecho, los autores de ataques de ransomware van camino de registrar su segundo mejor año de la historia, ya que, hasta junio, han extorsionado al menos 449.1 millones de dólares».
El ransomware sigue ganando terreno
Un estudio de la aseguradora cibernética Coalition revela que los pagos por el ransomware « » (se abre en una nueva pestaña) aumentaron un 12 % interanual en 2023.
Las reclamaciones por ransomware representan actualmente aproximadamente una quinta parte del total de reclamaciones, lo que las convierte en el factor más importante a la hora de presentar reclamaciones. Las reclamaciones relacionadas con el ransomware también aumentaron un 27 % durante el primer semestre de 2023. El coste de las reclamaciones aumentó un 42 % durante el primer semestre del año, y los reclamantes declararon una pérdida media de más de 115,000 dólares.
A continuación se enumeran algunos ataques de ransomware recientes que merecen especial atención:
- Johnson Controls (se abre en una nueva pestaña) ha sido víctima recientemente de un ciberataque que ha causado graves trastornos, en el que el grupo de ransomware Dark Angels se ha hecho con 27 TB de información.
- Se ha producido el robo de datos de miles de pacientes tras un ataque de ransomware de tipo « » (se abre en una nueva pestaña) que provocó la paralización de los ordenadores de dos hospitales de Connecticut, entre ellos Waterbury Health y Prospect Medical Holdings.
- El condado de Rock, en Wisconsin (se abre en una nueva pestaña) se vio obligado a desconectar algunos de sus sistemas tras un ataque de ransomware contra su departamento de salud pública.
Tendencia actual: ataques de ransomware dobles
El FBI advierte ahora sobre una tendencia al alza conocida como «ataques de ransomware duales de tipo “ ”» (se abre en una nueva pestaña), en la que los autores de las amenazas llevan a cabo ataques independientes con apenas unas horas o unos días de diferencia.
Según Dark Reading:
Estos ataques de ransomware se producen contra la misma víctima en un breve lapso de tiempo y, en la práctica, se han dado casos en los que los autores de las amenazas han utilizado diferentes variantes de ransomware en cada fase de los ataques, tales como AvosLocker, Diamond, Hive Karakurt, LockBit, Quantum y Royal. Estas variantes se distribuyen en diferentes combinaciones duales, lo que, en última instancia, da lugar a una combinación de cifrado de datos, sustracción de información y extorsión.
Las organizaciones se enfrentan a la difícil decisión de pagar o no el rescate exigido por el ransomware
La mayoría de los expertos en ciberseguridad desaconsejan pagar el rescate, ya que las empresas que lo hacen tienen más probabilidades de sufrir ataques posteriores. Además, los pagos de rescate también pueden financiar y facilitar la actividad de las organizaciones delictivas y los grupos de extorsión.
Sin embargo, no siempre es posible que las empresas eviten realizar pagos. Tal y como explicó recientemente Lorraine Dryland, directora de seguridad de la información (CISO) de First Sentier Investors, en la Cumbre de Seguridad y Gestión de Riesgos de Gartner, a los CISO les suele resultar difícil evitar que los directivos paguen rescates.
«Obligar a un directivo a seguir ese camino solo puede dar lugar a resultados negativos y malas experiencias, ya que se trata de personas muy decididas: no han llegado hasta donde están por rehuir los retos, sino que querrán tomar una decisión», explicó Dryland.
Dryland recomienda utilizar un mecanismo de puntuación « » (se abre en una nueva pestaña) que permite a los directivos calcular los riesgos que conlleva su elección. No obstante, realizar un pago siempre debe ser el último recurso.
La Casa Blanca se plantea prohibir los pagos a los autores de ransomware
Varios estados ya han prohibido a las jurisdicciones pagar a los autores de amenazas en los ataques de ransomware. En la actualidad, la Casa Blanca está barajando la posibilidad de aplicar una prohibición federal sobre los pagos de rescates (se abre en una nueva pestaña) con el fin de reducir los incentivos económicos para los ciberdelincuentes. De aprobarse, esta política impediría que las empresas pagaran el rescate exigido por el ransomware para recuperar los datos cifrados.
Los defensores de esta medida sostienen que ello ejercería una mayor presión sobre los altos cargos para prevenir y responder ante las filtraciones de datos, y que la ciberseguridad pasaría a ser una responsabilidad compartida. Sin embargo, una prohibición a nivel nacional de los pagos por ransomware (se abre en una nueva pestaña) también podría generar confusión entre los propietarios de pequeñas empresas y dar a los ciberdelincuentes una ventaja para seguir extorsionando a las empresas que incumplan las normas. Al mismo tiempo, los atacantes pueden centrar su atención en aquellas víctimas que se ven obligadas a pagar.
En este momento, no está claro si el Gobierno federal llevará adelante un plan para frenar los pagos de rescates. Esta es una noticia a la que merece la pena estar atento en los próximos meses.
7. El APT29 sigue siendo una amenaza creciente
En julio, CTI informó de que el grupo de amenazas persistentes avanzadas « », respaldado por Rusia, APT29 (también conocido como Nobelium y Cozy Bear), está utilizando actualmente servicios de confianza como Google Drive y Dropbox para eludir la detección, distribuir malware y herramientas de piratería informática, y sustraer datos.
Es muy probable que «APT29 » actúe a instancias del Servicio de Inteligencia Exterior de Rusia (SVR). La motivación principal de este grupo es el espionaje, y se le atribuyen sofisticadas y eficaces campañas de spear-phishing dirigidas a entidades gubernamentales, militares y diplomáticas que parecen estar alineadas con el Estado y los intereses del Gobierno ruso.
Este grupo es conocido por difundir correos electrónicos de phishing y documentos sobre temas de política exterior, así como por redirigir a las víctimas a sitios web falsos con el fin de infectar sus dispositivos con puertas traseras. Los investigadores también han observado recientemente que este grupo utilizaba un anuncio de coches BMW para dirigirse a diplomáticos de en Kiev (se abre en una nueva pestaña).
Lo último sobre el APT29
En APT29 , se ha intensificado el alcance y la frecuencia de sus ataques de espionaje en 2023, ya que el Kremlin busca más información para respaldar su guerra de « » contra Ucrania (se abre en una nueva pestaña).
La Cyber Risk Alliance informa de que APT29 ha introducido cambios sustanciales para aumentar la eficiencia y eludir la detección. Además, la Unidad APT29 ha intensificado sus operaciones habituales de espionaje contra entidades diplomáticas de todo el mundo. En la actualidad, el grupo está centrando sus esfuerzos en los ministerios de Asuntos Exteriores y las embajadas europeas, al tiempo que lleva a cabo operaciones que promueven los intereses globales de Rusia.
Según Mandiant, el grupo APT29 continúa con su campaña de acceso inicial dirigida a los servicios en la nube de Microsoft (se abre en una nueva pestaña), y está perfeccionando sus TTP. Por ejemplo, este año, APT29 pasó a alojar cargas útiles de primera fase en servicios web comprometidos.
«Es probable que la migración de la carga útil de la primera fase al lado del servidor haya proporcionado a APT29 un mayor grado de control sobre su cadena de distribución de malware y haya permitido al grupo actuar con mayor prudencia a la hora de revelar sus capacidades en fases posteriores», afirmaron los investigadores de Mandiant.
En marzo, el grupo añadió un nuevo nivel de ocultación a una campaña, utilizando TinyURL para crear enlaces maliciosos de phishing . Los investigadores también observaron por primera vez APT29 casos de incrustación de Rootsaw en un PDF.
El APT29 sigue en libertad y se está volviendo cada vez más peligroso. A medida que la guerra en Ucrania sigue agravándose, es posible que el grupo APT29 y otros similares intensifiquen aún más sus esfuerzos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
