En el resumen de esta semana, CTI analiza cómo los autores de amenazas incluyen fechas engañosas en los asuntos de los correos electrónicos de phishing de « » para influir en las emociones de sus destinatarios. A continuación, CTI presenta los cuatro errores más comunes que cometen los usuarios con las contraseñas y cómo los piratas informáticos pueden aprovecharse de ellos. Por último, CTI ofrece información actualizada sobre el grupo de ciberdelincuentes Earth Estries y su última campaña de ciberespionaje.
1. Los autores de amenazas utilizan fechas engañosas en los asuntos de los correos de phishing
Una entrada reciente del blog de Cofense revela cómo los autores de amenazas están incluyendo fechas engañosas en los asuntos de los correos electrónicos de phishing « » () (se abre en una nueva pestaña). El análisis también pone de manifiesto algunas tendencias interesantes en los asuntos de los correos que incluyen fechas y en los subsectores a los que van dirigidos.
Las proporciones entre los temas que contienen fechas y los que no las contienen
El análisis comenzó examinando los registros que contenían fechas en cualquier formato. Entre ellos se incluían temas relacionados con faxes recibidos con retraso, mensajes de voz no escuchados, facturas vencidas, nóminas y otros asuntos que requerían atención inmediata. El número de correos electrónicos con fechas en el asunto variaba en función del subsector.
La materia con el mayor porcentaje de temas obsoletos fue el transporte ferroviario, con un 48 %. Le seguía de cerca el sector del petróleo y el gas, con un 45 %. Los sectores con el porcentaje más bajo fueron el inmobiliario y el comercio al por mayor, ambos con un 13 %. Cada subsector disponía de datos sobre aproximadamente el 31 % de sus sujetos.
Tras analizar en profundidad estos correos electrónicos que incluían fechas en el asunto, Cofense los clasificó además en función de las propias fechas. Las categorías se basaban en la fecha en relación con el momento en que se consultó el correo electrónico.
La primera categoría, la de los correos electrónicos antiguos, incluía mensajes en los que la fecha que figuraba en el asunto era posterior al día en que se consultó el correo electrónico. La segunda categoría, la de los correos electrónicos puntuales, incluía mensajes en los que la fecha que figuraba en el asunto coincidía con el día en que se consultó el correo electrónico. La última categoría, «correos electrónicos atrasados», incluía aquellos en los que la fecha que figuraba en el asunto era anterior al día en que se consultó el correo electrónico.
- Correos electrónicos antiguos: . Pocos autores de amenazas enviaron correos electrónicos con fechas en el asunto posteriores al día en que se accedió a ellos. Los sujetos iniciales representaban únicamente el 2 % del total de sujetos que incluían fechas. Según Cofense, la mayoría de estos correos electrónicos se deben a errores y configuraciones erróneas por parte de los autores de las amenazas.
- Correos electrónicos puntuales: . Los correos electrónicos cuyo asunto indicaba la fecha en la que se accedió al mensaje fueron los segundos más frecuentes. En promedio, en los subsectores, el 31 % de los sujetos presentaban fechas que coincidían con el día en que se consultaron los correos electrónicos. Estos correos electrónicos fueron los más personalizados, ya que el 58 % de los asuntos incluían algún tipo de contenido personalizado o datos de carácter personal que debían ser ocultados. El tema más popular fueron los asuntos orientados a la acción, probablemente con el fin de obtener una respuesta inmediata por parte del destinatario.
- Correos electrónicos atrasados: . La categoría más habitual de correos electrónicos es la de aquellos que, en el asunto, figuran fechas anteriores a la fecha en que se accede al correo. Es probable que esto genere una falsa sensación de urgencia, al advertir a las víctimas de que ya ha vencido un plazo y de que ya llegan tarde.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La conclusión principal es que los autores de amenazas utilizan las fechas en los asuntos de los correos electrónicos para crear una sensación de urgencia y provocar una respuesta o interacción por parte del destinatario». «Esto no es nada nuevo».
«Lo nuevo es el desglose de la fecha que el autor de la amenaza decide utilizar». Resulta interesante que la mayoría de estos correos electrónicos de phishing incluyan en el asunto una fecha anterior a la fecha en la que usted abriría el correo. Esto realmente le juega una mala pasada a la mente, ya que su reacción inmediata es pensar que se le ha pasado algo por alto o que se ha olvidado de hacer algo.»
2. Cuatro errores habituales con las contraseñas que debe evitar
La empresa de seguridad de contraseñas Specops ha detallado los que, en su opinión, son los cuatro errores más comunes que cometen los usuarios de a la hora de elegir sus contraseñas, así como la forma en que los piratas informáticos pueden aprovecharse de cada uno de ellos.
Según Specops, estos errores habituales al elegir contraseñas se deben a que nuestro cerebro es muy hábil a la hora de completar patrones. Esto nos hace sentir una afinidad natural por los patrones que resultan agradables o fáciles de recordar.
Error n.º 1: Términos básicos comunes
Los usuarios suelen buscar una palabra base a la hora de crear una contraseña. Aunque una palabra base aleatoria pueda parecer inofensiva, estas palabras base rara vez son verdaderamente aleatorias y tienen más relevancia de lo que solemos pensar.
A menudo, los usuarios modifican ligeramente la misma palabra base durante los procesos habituales de restablecimiento o caducidad de contraseñas para eludir los requisitos predeterminados relativos al historial de contraseñas o los ajustes de complejidad. En «Specops» es habitual que los usuarios escriban la primera letra de esta palabra base en mayúscula y/o añadan caracteres especiales al final.
Los autores de amenazas saben que no necesitan descifrar la contraseña más segura para acceder a una organización. En cambio, pueden descifrar una contraseña débil y desplazarse lateralmente. Aprovecharán términos básicos comunes en un ataque conocido como «ataque de diccionario», en el que utilizarán una lista predefinida de términos básicos débiles para adivinar las contraseñas. Este ataque es sencillo, pero suele tener éxito porque las personas tienden a utilizar contraseñas sencillas y que les resultan familiares.
Un análisis previo realizado por Specops sobre millones de contraseñas revela que el término base más habitual es «contraseña». Otros términos básicos habituales son, por ejemplo, «admin» y «bienvenido». Dado que solemos utilizar palabras básicas que guardan cierta relación con nuestra vida cotidiana, las redes sociales constituyen una mina de oro para los autores de amenazas. Los autores de amenazas pueden utilizar los perfiles de las redes sociales para dirigirse a personas concretas y pueden averiguar fácilmente datos como fechas de nacimiento, apellidos, nombres de mascotas y lugares significativos que podrían utilizarse como palabra base en una contraseña.
Mistake 2: Short password length
Los atacantes siguen encontrando una gran variedad de posibilidades a la hora de intentar adivinar contraseñas, incluso aquellas que contienen términos básicos débiles. Pueden utilizar técnicas de fuerza bruta para probar todas las combinaciones posibles de contraseñas hasta dar con la correcta. Los ataques de fuerza bruta resultan especialmente eficaces contra contraseñas cortas, y aún más contra aquellas que comienzan con un término base común.
Specops descubrió que el 88 % de las contraseñas comprometidas que se analizaron en su investigación tenían 12 caracteres o menos. Imponer una mayor longitud de contraseña puede constituir una defensa eficaz contra estos ataques.
Mistake 3: Keyboard walk patterns
Un error relacionado con las contraseñas del que se habla con menos frecuencia tiene que ver con los patrones de «recorrido por el teclado», que son, en esencia, contraseñas inspiradas en la disposición de un teclado.
Un ejemplo de ello lo encontramos en la palabra «QWERTY», que constituye una «secuencia de teclas» fácil de recordar para el usuario. Specops descubrió que la secuencia «qwerty» se identificó más de un millón de veces en contraseñas, lo que pone de manifiesto lo habitual que es seguir la secuencia de las teclas del teclado.
Aunque las secuencias de teclas no sean palabras reales, pueden utilizarse igualmente en ataques de diccionario. Los autores de amenazas siempre intentan comprender cómo y por qué las personas actúan de determinada manera, con el fin de poder sacar mayor partido y planificar mejor sus ataques. Dado que las secuencias de teclas son predecibles, a veces se incluyen en la lista de contraseñas probables que luego se utilizan en los ataques de diccionario.
Mistake 4: Password reuse
Incluso las contraseñas seguras pueden verse comprometidas, lo que se convierte en un problema aún mayor si esa misma contraseña se reutiliza en diferentes aplicaciones. Las investigaciones indican que el 65 % de las personas reutiliza las contraseñas, un hecho que los autores de amenazas conocen de sobra.
La reutilización de contraseñas es una de las principales razones por las que muchos actores maliciosos se centran en el robo de credenciales y en la venta de dichas contraseñas, ya que una contraseña sustraída de una aplicación podría utilizarse en otro contexto.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
Siempre ha sido importante mantener unas buenas prácticas en materia de contraseñas, pero esto cobra aún más importancia a medida que el panorama de las amenazas sigue evolucionando. Y hasta que el mundo entero deje de utilizar contraseñas gracias a tecnologías emergentes como Entra ID, Duo o KelvinZero, cada uno de nosotros tiene un papel que desempeñar a la hora de protegernos a nosotros mismos y a nuestras organizaciones mediante unas buenas prácticas en materia de contraseñas.
El aumento de la popularidad de los programas de robo de información es un claro ejemplo de por qué debemos ser más cautelosos que nunca a la hora de elegir nuestras contraseñas. Se habla mucho de que el futuro de la autenticación será sin contraseñas, pero es probable que este cambio tarde algún tiempo en producirse. Mientras tanto, es probable que todos podamos mejorar (o, al menos, ser más conscientes) a la hora de crear y gestionar contraseñas.
3. Earth Estries se dirige a los gobiernos y a las empresas tecnológicas de todo el mundo
Se ha atribuido al grupo cibercriminal « » Earth Estries (se abre en una nueva pestaña) una nueva campaña de ciberespionaje dirigida a los sectores gubernamental y tecnológico de Filipinas, Taiwán, Malasia, Sudáfrica, Alemania y Estados Unidos. El actor malicioso trabaja activamente con recursos de alto nivel y cuenta con habilidades y experiencia sofisticadas.
Protocolo de infección
- Earth Estries compromete las cuentas existentes con privilegios administrativos tras infectar con éxito un servidor interno.
- La operación instaló Cobalt Strike en el sistema antes de desplegar malware adicional y llevar a cabo movimientos laterales. Se utilizaron SMB y WMIC para propagar diversas puertas traseras y herramientas de piratería informática a otros equipos del entorno.
- El autor de la amenaza se centró en archivos PDF y DDF destinados al archivo, que se subieron a repositorios de almacenamiento en línea como AnonFiles o File.io mediante curl.exe.
- Los miembros de Earth Estries limpiaban periódicamente su puerta trasera existente tras finalizar cada ronda de la operación, y volvían a desplegar un nuevo programa malicioso al iniciar otra ronda.
Earth Estries: puerta trasera y herramientas de piratería informática
En esta campaña se ha observado la actividad de Earth Estries mediante diversas herramientas, entre las que se incluyen programas de robo de información, programas de robo de datos del navegador, escáneres de puertos y otras.
Trend Micro (se abre en una nueva pestaña) recoge los conjuntos de herramientas recientemente descubiertos y más destacados de esta campaña.
- Zingdoor: Zingdoor es una puerta trasera HTTP escrita en Go que se detectó por primera vez en April 2023, aunque algunos registros indican que esta puerta trasera lleva activa desde mediados de 2022. Esta puerta trasera rara vez se observa en el entorno real, pero está empaquetada con UPX y presenta un alto grado de ofuscación. En esta campaña, se camufló como «mpclient.dll» y se diseñó para ejecutarse mediante la carga lateral de DLL, aprovechando de forma maliciosa el binario de Windows Defender, «MsSecEs.exe». Registrará el proceso padre actual como un servicio de Windows con el nombre «MsSecEsSvc» para garantizar su persistencia. Además, se conectará y esperará a recibir una orden del servidor C2 . Permite obtener información del sistema, información sobre los servicios de Windows, gestionar discos y ejecutar comandos arbitrarios.
- TrillClient: TrillClient es un programa de robo de información diseñado para sustraer datos del navegador. Se instala como un servicio de Windows denominado «Net Connection», crea una lista de víctimas a partir del identificador de víctima introducido, se inicia a través de los servicios de arranque y limpia el proceso de instalación eliminando el servicio. Se conecta a un repositorio de GitHub predefinido para recuperar el comando que le indicará cuáles serán sus próximas acciones. Puede recopilar las credenciales del navegador y programar una tarea para recopilarlas.
- HemiGate: HemiGate es una puerta trasera que se ejecuta mediante la carga lateral de un archivo DLL. Se ejecuta en tres instancias. La primera instancia se inicia sin parámetros y su objetivo principal es instalar los mecanismos de inicio y ejecutar la segunda instancia antes de cerrarse. La segunda instancia se encarga de leer el archivo de configuración y de comunicarse con el servidor C2 antes de comunicarse con la tercera instancia. La tercera instancia ejecuta un keylogger y recibe y ejecuta los comandos que le envía la segunda instancia.
Victimología
Earth Estries centra sus ataques en organizaciones vinculadas al Gobierno y en empresas tecnológicas. Se han producido ataques en Filipinas, Taiwán, Malasia, Sudáfrica, Alemania y Estados Unidos.
Los investigadores también observaron tráfico de red dirigido a C2 servidores en Canadá, así como detecciones de conjuntos de herramientas en la India y Singapur.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña se suma a la tendencia de que los autores de amenazas hagan un uso indebido de servicios públicos como GitHub, AnonFiles y File.io como parte de sus operaciones».
«El grupo parece ser bastante sofisticado, ya que utiliza varias puertas traseras y herramientas de piratería informáticas nuevas en su última campaña.» Trend Micro señala que Earth Estries se dedica a llevar a cabo campañas de ciberespionaje. Teniendo esto en cuenta, su alcance, que abarca varios países de todo el mundo, es muy amplio».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
