En el resumen de esta semana, CTI analiza el último informe del Índice de Amenazas Cibernéticas de Coalition, que ofrece información sobre la seguridad en Internet, las tendencias en materia de riesgos cibernéticos y las vulnerabilidades. A continuación, CTI investiga una campaña de phishing en curso de dirigida a víctimas ubicadas en México mediante señuelos relacionados con los impuestos. Por último, CTI concluye con un resumen del informe anual de Proofpoint sobre el estado de las amenazas de phishing correspondiente al año 2024.
1. Los investigadores prevén un aumento del 25 % en el número de CVE
Coalition ha publicado su último informe « » sobre el índice de amenazas cibernéticas, correspondiente al 2024 (se abre en una nueva pestaña), en el que se ofrecen datos sobre la seguridad en Internet, las tendencias de riesgo y las vulnerabilidades más recientes.
Entre las principales conclusiones, la empresa prevé que se produzca un aumento del 25 % en el número de vulnerabilidades y exposiciones comunes (CVE) en 2024. La coalición prevé unas 2,900 vulnerabilidades mensuales, lo que supone un aumento con respecto a la media de 2,321 en 2023.
Acerca de los datos de los «honeypots» de Coalition
La coalición mantiene varios «honeypots» que contienen múltiples vulnerabilidades. Utilizan deliberadamente software obsoleto, lo que les permite hacerse una idea de cuáles son los objetivos de los autores de amenazas.
Si bien Coalition ha observado un volumen considerable de tráfico inofensivo dirigido a sus honeypots, también ha informado de una cantidad considerable de tráfico malicioso. El tráfico RDP creció específicamente en 2023 , con un aumento del 59 % en el número de direcciones IP únicas que realizaban escaneos en busca de RDP.
Servicios expuestos a Internet
Coalition analiza de forma habitual las vulnerabilidades más peligrosas presentes en la red pública de Internet. La empresa ha constatado que los puertos abiertos siguen siendo uno de los principales riesgos. Además, el puerto 7547 fue el de mayor número de escaneos en 2023.
Se ha observado que los autores de las amenazas realizaban escaneos en busca de determinados servicios web, como Apache, Nginx e IIS, y que aprovechaban herramientas de gestión remota mal configuradas. Como era de esperar, los autores de las amenazas también buscaron bases de datos expuestas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Las conclusiones de la coalición respaldan aún más la necesidad de aplicar los parches a tiempo —una necesidad que cobra cada año mayor importancia—.
La empresa prevé un aumento de los CVE para el año 2024. Sin embargo, aunque es importante comprender el riesgo que suponen las vulnerabilidades, es igualmente importante comprender que no son la única amenaza a la que se enfrentan las organizaciones en la actualidad.
2. TimbreStealer se propaga a través de correos electrónicos de phishing
Una campaña de phishing de « » (se abre en una nueva pestaña) está dirigiéndose activamente a víctimas en México con señuelos relacionados con cuestiones financieras. La campaña lleva en marcha al menos desde el November 2023 y tiene como objetivo distribuir un malware hasta ahora desconocido denominado TimbreStealer. El autor de la amenaza recurre a sofisticadas técnicas de ofuscación y utiliza el geofencing para identificar a los usuarios de interés.
Acerca de la campaña
En esta campaña, los correos electrónicos de phishing dirigen a las víctimas a un sitio web comprometido que aloja una carga maliciosa. El objetivo de estos correos electrónicos es convencer a las víctimas de que ejecuten contenido malicioso.
Actualmente, la campaña se dirige únicamente a usuarios que se encuentran en México, y lo hace mediante técnicas de geofencing. Con esta técnica, a cualquier usuario que intente acceder al sitio malicioso y que no se encuentre en México se le mostrará un documento PDF en blanco en lugar del documento malicioso real.
¿Qué es TimbreStealer?
TimbreStealer es un programa de robo de información de tipo « » recientemente identificado que utiliza diversas técnicas para eludir la detección y mantener su persistencia. Entre estas técnicas se encuentran eludir la supervisión convencional de las API, aprovechar la técnica «Heaven’s Gate» y utilizar cargadores personalizados. Cisco Talos considera que, dado que estas características son bastante sofisticadas, el autor de la amenaza que se esconde tras el malware debe ser un experto.
- Una vez extraída la capa inicial, el malware llevará a cabo una comprobación para determinar si merece la pena atacar el sistema y si se está ejecutando en un entorno aislado.
- A continuación, extraerá numerosos submódulos que se encuentran integrados en la carga útil. Cabe destacar que, en su informe, Cisco Talos ofrece una descripción técnica muy detallada de las diferentes capas del malware.
- Lo interesante de este malware es que realiza llamadas a una función que se utiliza para eliminar los puntos de restauración del sistema del dispositivo. Según Cisco Talos, este tipo de actividad suele ser característica del malware de tipo ransomware, pero aún no se ha observado ninguna actividad de ransomware en los dispositivos infectados.
Los investigadores han detectado varias cadenas de texto dentro de las funciones encargadas de escanear archivos y directorios en el equipo de la víctima. Asimismo, se descubrió que el malware incorporaba la biblioteca SQLite, necesaria para los archivos de almacenamiento de credenciales de distintos navegadores.
TimbreStealer analizará los directorios en busca de archivos, pero aún se desconoce el propósito exacto de esta acción. Las carpetas analizadas incluyen elementos relacionados con AdwCleaner, Avast Scanner, la cuarentena de 360 Antivirus y otros. Asimismo, identificaron una serie de cadenas como «.Spotlight-V100” » y «.fseventsd» que están relacionadas con macOS.
El malware utiliza WMI y claves del Registro para recopilar información del ordenador de la víctima. La información recopilada incluye datos sobre el sistema operativo, datos de la BIOS de SMB, información sobre el hardware, datos sobre el dominio de red y datos de las aplicaciones.
Campaña anterior relacionada
Cisco Talos ha observado que el presunto autor de la amenaza lleva a cabo nuevas campañas al menos desde el September 2023. En « September 2023», el actor distribuía una variante de Mispadu, que es un troyano bancario. Esta campaña anterior utilizó sitios web comprometidos para, en última instancia, distribuir un archivo .url con el fin de ejecutar un archivo alojado en un servidor externo. El archivo utilizaba una ruta de archivo WebDAV, y todos los servidores WebDAV tenían configurada una restricción geográfica para permitir únicamente la conexión desde direcciones IP de México.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Según las conclusiones de Cisco Talos, este actor malicioso distribuía anteriormente el troyano bancario Mispadu antes de pasar a utilizar este nuevo malware, TimbreStealer. Aparte de los cambios en el malware, el resto de las TTP se mantuvieron relativamente similares.
Dicho esto, no sería de extrañar que este actor volviera a cambiar de estrategia y se decantara por otro tipo de malware en un futuro próximo. Aunque esta campaña está diseñada específicamente para dirigirse a usuarios que se encuentran en México, utiliza un tema de phishing muy habitual en esta época del año: los impuestos.
Como mínimo, esta actividad nos recuerda que debemos estar atentos durante la campaña fiscal y vigilar las estafas relacionadas con los impuestos.
3. Proofpoint publica su 2024 .º informe «State of the Phish»
Proofpoint ha publicado su informe anual sobre amenazas titulado «: State of the Phish (se abre en una nueva pestaña)» correspondiente al año 2024. El informe se basa en una encuesta realizada a 7,500 usuarios finales y 1,050 profesionales de la seguridad de varios países, junto con los datos propios de Proofpoint recopilados a partir de sus productos, de su equipo de investigación de amenazas y de mensajes de phishing simulados.
El informe destaca que «las personas son un elemento clave de cualquier buena defensa, pero también pueden ser las más vulnerables».
Principales conclusiones del informe de Proofpoint
Proofpoint detectó y bloqueó una media de 66 millones de ataques de suplantación de identidad en el correo electrónico empresarial (BEC) al mes. En su informe también se reitera que el ransomware está en aumento y que Microsoft sigue siendo la marca más suplantada.
Una estadística interesante facilitada por Proofpoint procede de su encuesta a usuarios finales y señala que el “71 % de los adultos en activo admitió haber llevado a cabo alguna acción de riesgo, como reutilizar o compartir una contraseña, hacer clic en enlaces de remitentes desconocidos o facilitar credenciales a una fuente poco fiable. «Y el 96 % de ellos lo hizo sabiendo que estaban corriendo un riesgo».
Tendencias en materia de concienciación sobre la seguridad
Aunque el 99 % de las organizaciones encuestadas cuenta con un programa de sensibilización en materia de seguridad, muchas de ellas no logran, en la práctica, impulsar un cambio de comportamiento. Uno de los principales factores que influyen en ello tiene que ver con los temas que se tratan en las sesiones de formación en concienciación sobre seguridad, ya que a menudo no abarcan todo el espectro de riesgos.
Proofpoint también está observando una tendencia al alza en el número de organizaciones que imparten formación a puestos o departamentos específicos (hasta un 41 %, frente al 28 % del año anterior), lo que supone un enfoque mucho más específico de la formación.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Proofpoint ha incluido muchas otras estadísticas interesantes en su informe, por lo que merece la pena leerlo. Resumen sus conclusiones en un solo punto: «Incluso las mejores medidas de seguridad técnicas pueden verse socavadas si los usuarios no siguen las medidas básicas, como evitar enlaces sospechosos, verificar la identidad del remitente, establecer una contraseña segura y no revelarla a nadie».
En resumen, los programas de formación y sensibilización son fundamentales y no pueden quedarse estancados. Es necesario actualizarlas periódicamente con las amenazas más recientes, para que los usuarios sepan a qué deben prestar atención y comprendan los posibles riesgos. Además, la formación específica y personalizada en materia de concienciación sobre seguridad resulta fundamental para llevar el programa de su organización al siguiente nivel.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
