Un nuevo informe de Cisco Talos revela que, por primera vez en más de un año, el malware común ha superado al ransomware en las intervenciones del equipo de respuesta a incidentes de Cisco Talos (CTIR). El informe también pone de manifiesto las últimas tácticas, técnicas y procedimientos (TTP) que están utilizando los ciberdelincuentes. A continuación, destacamos un nuevo rootkit de firmware UEFI denominado «CosmicStrand», que está siendo utilizado activamente por actores maliciosos de habla china para atacar a personas de distintas regiones. Por último, la información de Censys revela la existencia de una infraestructura de mando y control (C2) de ransomware vinculada a Rusia, que parece haberse afianzado en al menos una red con sede en Estados Unidos.
1. Cisco Talos’ Quarterly Report: Incident Response Trends in Q2 2022
El último informe de Cisco Talos, titulado « : Incident Response Trends in Q2 2022» (: Tendencias en la respuesta a incidentes en 101) y disponible en , contiene una gran cantidad de información relevante sobre ciberseguridad.
A continuación se presentan algunas de las conclusiones más importantes:
El malware genérico ocupa el primer puesto
La principal amenaza observada este trimestre es el malware comercial, es decir, aquel que se puede adquirir fácilmente. Esto resulta significativo si se tiene en cuenta la disminución general de los ataques que utilizan troyanos comunes en los casos registrados en el CTIR desde el 2020.
Según Talos, estos acontecimientos coinciden con el resurgimiento de diversos troyanos que se propagan a través del correo electrónico en los últimos meses, tras haber sufrido interrupciones a manos tanto de las fuerzas del orden como de las empresas tecnológicas.
Este trimestre también se ha registrado un aumento de la actividad relacionada con programas de robo de información como Redline y QBot. Todas estas familias de malware han provocado infecciones preliminares para diferentes cargas útiles —principalmente ransomware— en distintos momentos.
El nuevo informe trimestral sobre tendencias de @TalosSecurity revela que el malware común, y no el ransomware, fue la principal amenaza en Q2. blog.talosintelligence.com/2022/07/quarte…
En comparación con los trimestres anteriores, el ransomware estuvo presente en un porcentaje significativamente menor de incidentes, representando el 15 % de todas las amenazas observadas este trimestre, frente al 25 % del trimestre anterior.
Principales familias de ransomware y malware:
- Remcos RAT
- Vidar InfoStealer
- Redline InfoStealer
- El troyano QBot
- Ransomware BlackCat (ALPHV)
- Ransomware Conti
Sectores verticales prioritarios
- de telecomunicaciones: Este sector también se encontraba entre los más afectados en Q4 2021 y Q1 2022.
- en el sector sanitario/médico: El sector sanitario es siempre uno de los objetivos preferidos de los extorsionadores, debido a la necesidad imperiosa que tienen las organizaciones sanitarias de garantizar la continuidad de la atención y evitar interrupciones del servicio a toda costa.
- Educación: Los centros educativos son otro objetivo habitual de los ciberdelincuentes, debido a la percepción de que las instituciones educativas disponen de recursos valiosos y de la capacidad para pagar rescates cuantiosos.
- Otros sectores de riesgo que figuran en el informe son los servicios financieros, la administración local, la restauración, el comercio minorista, el sector de la automoción, las tecnologías de la información, los equipos de producción y la industria manufacturera.
Principales amenazas generales
- Malware genérico
- Ransomware
- Otros
- Phishing / suplantación de identidad en el correo electrónico empresarial (BEC)
- Amenaza persistente avanzada (APT)
- Aplicaciones expuestas o mal configuradas
Menciones honoríficas: amenazas internas, Log4j, pre-ransomware y el navegador Wave (PUP).
Principales vías de infección inicial
- Phishing
- Aprovechar las vulnerabilidades de las aplicaciones accesibles al público
- Desconocido
- Cuentas válidas
Menciones honoríficas: Servicios remotos externos y ataques «drive-by».
Información adicional
Según Talos, la falta de una autenticación multifactorial (MFA) sigue siendo uno de los mayores obstáculos para la seguridad empresarial, lo que sugiere que las organizaciones deben adoptar medidas avanzadas para proteger las cuentas de los usuarios.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Quedan algunas cuestiones pendientes en relación con los datos presentados anteriormente. En primer lugar, nos interesa conocer otros posibles factores que hayan contribuido a que el malware genérico haya superado al ransomware por primera vez en mucho tiempo.
Por ejemplo:
- ¿Ha influido el auge de los grupos maliciosos dedicados a la extorsión sin cifrado (como LAPSUS$) en la disminución de las cifras de ransomware?
- ¿Afectarán las diversas muestras de malware recientemente detectadas, descubiertas en el contexto del conflicto entre Rusia y Ucrania, a las cifras del próximo informe trimestral de Talos?
- ¿Y qué hay del malware destructivo? ¿Aparecerá algo de todo eso?
- ¿Qué ha provocado el aumento de la popularidad del malware destinado al robo de información?
- ¿Han contribuido los intermediarios de acceso inicial al éxito que están cosechando actualmente estas familias de malware dedicadas al robo de información?
Dejando a un lado las dudas, creemos que la información que aportan algunos de los datos de este informe resultará útil para la comunidad de inteligencia sobre amenazas cibernéticas».
2. Unos expertos descubren un nuevo rootkit de firmware UEFI denominado «CosmicStrand» utilizado por piratas informáticos vinculados a China
SecureList de Kaspersky ha descubierto recientemente un nuevo y sofisticado rootkit de firmware UEFI denominado «CosmicStrand», que actualmente está siendo utilizado por un actor malicioso desconocido de habla china.
Según se informa, las víctimas son particulares que residen en China, Vietnam, Irán y Rusia. Por el momento, no hay pruebas que relacionen a estas víctimas con ninguna organización concreta ni con ningún sector específico.
A pesar de haber sido descubierto recientemente, #CosmicStrand parece que este rootkit del firmware UEFI lleva bastante tiempo en circulación. Esto sugiere que los autores de las amenazas contaban con capacidades muy avanzadas que han logrado mantener ocultas desde el 2017 ⇒ kas.pr/1pho
¿Qué es el rootkit CosmicStrand UEFI?
Tal y como explica SecureList, los rootkits son implantes de malware diseñados para infiltrarse en «los rincones más recónditos del sistema operativo». Los rootkits suelen asociarse con actores de primer orden en el ámbito de las ciberamenazas, como los grupos APT patrocinados por Estados, debido a los complejos retos técnicos que plantean.
Lamentablemente, tanto los ciberdelincuentes como las amenazas persistentes avanzadas (APT) se sienten cada vez más atraídos por los rootkits, principalmente porque este tipo de malware se infiltra en niveles tan profundos del sistema operativo que su detección resulta extremadamente difícil. Los rootkits de firmware también mantienen los dispositivos en un estado vulnerable incluso tras la reinstalación del sistema operativo o la sustitución del disco duro.
CosmicStrand es un rootkit de firmware UEFI que utiliza un pequeño archivo de 96.84KB . Aunque aún no se ha determinado el vector de acceso inicial de CosmicStrand, la actividad posterior a la intrusión incluye modificaciones en el controlador CSMCORE DXE, cuyo punto de entrada ha sido modificado para redirigir hacia código añadido en la sección .reloc. Este código, que se ejecuta durante el arranque del sistema, desencadena una larga cadena de ejecución que da lugar a la descarga y la instalación de un componente malicioso en Windows. En última instancia, el objetivo de CosmicStrand es instalar un implante a nivel del núcleo en un sistema Windows cada vez que este se inicie, partiendo del componente UEFI infectado.
SecureList considera que estas modificaciones podrían haber sido obra de un programa de aplicación de parches automatizado. Si esto resultara ser cierto, podría indicar que los atacantes obtuvieron acceso previo al ordenador de la víctima para extraer, modificar y sobrescribir el firmware de la placa base. Esto podría lograrse mediante un malware precursor ya instalado en el ordenador, o bien obteniendo acceso físico al dispositivo.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Si bien la aparición de un nuevo rootkit de firmware es notable en sí misma, también resulta interesante la sospecha de que haya sido desarrollado y utilizado por actores maliciosos de habla china, así como sus posibles vínculos con ellos».
Aunque sin duda aún queda mucho por averiguar sobre la cadena de ataque de CosmicStrand y los responsables de su implementación, el reto tecnológico que supone para los desarrolladores que pretenden crear un malware de este tipo sugiere que los autores de CosmicStrand son bastante sofisticados y que podrían disponer de recursos considerables. Esto coincidiría con la actividad cibernética histórica relacionada con China. El hecho de que no sea posible vincular de forma definitiva esta actividad con un actor malicioso conocido o un grupo de ciberataques persistentes (APT) también podría indicar que los operadores de CosmicStrand conceden gran importancia a la seguridad operativa (OPSEC), una característica común a muchos de los hackers de primer nivel vinculados al Estado chino.
Otro indicio que podría vincular la actividad de CosmicStrand con una entidad vinculada al Estado es el hecho de que, hasta la fecha, todos los ataques conocidos han tenido como objetivo a particulares. Aunque por el momento no parece existir un nexo común entre estas personas en lo que respecta a organizaciones o sectores, se sabe que el Gobierno chino se centra en personas de interés nacional para someterlas a vigilancia y recabar información —llegando en ocasiones incluso a camuflar dichas iniciativas como actividades no dirigidas—, como, por ejemplo, los ataques a la cadena de suministro de que, a primera vista, parecen diseñados para afectar a miles de personas, pero que, tras un análisis más detallado, resultan estar destinados únicamente a infectar a unos pocos cientos de personas de interés para el Gobierno chino.
Una vez más, en el momento de redactar esta noticia, todo esto no pasa de ser una especulación. «El tiempo dirá cuál es el verdadero motivo».
3. La empresa de investigación Censys ha descubierto una red de ransomware con sede en Rusia que ha logrado afianzarse en EE. UU.
Investigadores de la empresa de gestión de superficies de ataque Censys afirman haber descubierto una red de comando y control (C2) de ransomware con sede en Rusia que ha logrado introducirse en al menos una red estadounidense.
Los investigadores de Censys observaron por primera vez esta actividad alrededor del June 24, 2022, cuando, durante un análisis de más de 4.7 millones de servidores ubicados en Rusia, descubrieron dos servidores rusos que contenían la herramienta de explotación Metasploit junto con la herramienta Deimos C2 .
Cabe señalar que Censys llevó a cabo los análisis con el fin de identificar los 1,000 productos de software más utilizados que se observan actualmente entre los más de 4.7 millones de hosts detectados en Rusia por los investigadores de la empresa. Un análisis histórico más detallado reveló que uno de estos servidores había utilizado anteriormente la herramienta PoshC2 . Todas estas herramientas cuentan con funciones que permiten a los especialistas en pruebas de penetración y a los piratas informáticos obtener acceso remoto a los hosts de destino y gestionarlos.
Los investigadores de Censys aprovecharon la información del certificado PoshC2 para localizar otros servidores rusos en diversas ubicaciones de todo el mundo, incluidos dos servidores más que utilizaban el certificado PoshC2 , situados en Estados Unidos. Censys identifica estos sistemas como servidores rusos y afirma que también contenían paquetes de malware —entre ellos, un kit de ransomware—, así como un archivo con un enlace a dos servidores rusos de Bitcoin.
Según Censys, los investigadores localizaron un servidor en Ohio que también contenía la herramienta «Deimos C2 », la misma que se descubrió en el servidor ruso inicial. Un análisis histórico más detallado revela que el servidor de Ohio también albergaba un paquete de malware compatible con el ransomware descubierto en los servidores rusos que contenían la herramienta PoshC2 mencionada anteriormente.
Nota del editor: Para evitar confusiones, nos referiremos a los servidores rusos detectados inicialmente que contenían Metasploit y Deimos C2 como «Servidores A y B», y a los servidores detectados posteriormente que contenían kits de malware y ransomware como «Servidores F y G» (esta convención de nomenclatura resultará más clara si consulta el exhaustivo informe técnico de Censys titulado « », disponible en).
Tras seguir investigando, Matt Lembright, director de aplicaciones federales de Censys y responsable de la actividad de análisis inicial, descubrió junto con su equipo que los servidores mencionados anteriormente presentaban vínculos con el ransomware MedusaLocker, así como con el ransomware Karma.
Tal y como señalan Lembreight y sus colaboradores, el descubrimiento de los vínculos de estos hosts con el ransomware resultó especialmente novedoso, ya que la mayoría de los incidentes de ransomware se detectan tras un ataque, y este fue un caso excepcional en el que los investigadores encontraron pruebas de que algunos grupos estaban preparando el terreno para un ataque.
Censys considera que los hosts rusos A y B, detectados inicialmente con Metasploit y Deimos C2 , podrían ser los vectores de ataque iniciales para tomar el control de los equipos de las víctimas, mientras que los hosts rusos F y G contienen malware capaz de desactivar los programas antivirus y llevar a cabo un ataque de ransomware, con señales dirigidas a dos nodos de Bitcoin que probablemente reciben los pagos del ransomware por parte de las víctimas.
Censys pudo relacionar los servidores con la operación del ransomware MedusaLocker gracias al contenido de un informe de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) titulado «» (), publicado hace casi un mes, en el que se destacaba la metodología del grupo y se proporcionaban indicadores de compromiso (IOC) asociados a la infraestructura utilizada por el grupo, tales como direcciones de correo electrónico, direcciones IP y direcciones de nodos TOR.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Censys ha comunicado sus hallazgos al FBI y, en estos momentos, colabora con este organismo policial para confirmar si dichos servidores se utilizaron en los ataques perpetrados el año pasado contra un hospital y una biblioteca». «El hecho de compartir este tipo de información resulta especialmente loable, ya que otras organizaciones podrían identificar estos servidores o los patrones que aparecen en los informes de Censys y, de este modo, frustrar un ataque de mayor envergadura si este hallazgo resultara formar parte de una actividad precursora que prepare el terreno para un ataque futuro de mayor alcance».
Visite nuestra comunidad de usuarios de Tanium
Visite nuestra comunidad de usuarios para acceder a foros de debate, anuncios, novedades sobre cuestiones de actualidad y buenas prácticas en materia de ciberseguridad. Échele un vistazo en.
Consulte nuestros resúmenes recientes sobre seguridad
Julio de 12: La creciente amenaza de China, Brute Ratel C4 y el ataque a la cadena de suministro del software NPM
Julio de 7: Últimas noticias sobre las APT chinas, DragonForce en Malasia y el malware dirigido a Linux
