Descubren que el malware “DarkGate Loader” utiliza los mensajes de Microsoft Teams para enviar archivos maliciosos a sus potenciales víctimas.
Según la empresa de ciberseguridad Truesec, este malware es «realmente peligroso», debido a que puede conseguir acceso remoto, minería de criptomonedas, registro de teclas, robo de la información copiada en el portapapeles y extracción de información y datos del navegador.
Al conocerse el alcance de este ataque, Microsoft recomendó a los administradores de cuentas en Microsoft Teams aplicar configuraciones seguras como listas de permitidos y deshabilitar el acceso externo si no es necesario.
Zimperium descubrió una campaña de malware, llamada Schoolyard Bully, que utiliza aplicaciones fraudulentas de lectura y educación para infectar dispositivos y robar las creaciones de acceso a Facebook.
Los investigadores encontraron el troyano en varias apps descargadas de la Google Play Store y también en tiendas de aplicaciones de terceros.
Según el informe de la firma de seguridad cibernética, esas aplicaciones fraudulentas se hacen pasar por apps educativas como distintos libros y cursos. Las aplicaciones tienen como objetivo de robar información como el nombre de perfil de Facebook, la identificación, el correo electrónico asociado a esta red social, la contraseña, el nombre del dispositivo y otras informaciones relativas al teléfono de la víctima.
Los hackers consiguen los datos porque el troyano abre una página de inicio de sesión de Facebook legítima dentro de la aplicación, pero inyecta un código JavaScript malicioso para así obtener los clicks en el teclado del usuario.
Zimperium alertó que Schoolyard Bully tiene la capacidad de evadir los programas antivirus más avanzados.
Hasta el momento, esta campaña de malware afectó a más de 300.000 personas de 71 países.
La rama de investigadores de la empresa de seguridad Lumen «Black Lotus Labs» descubrió un malware, apodado Chaos, que está afectado a sistemas de Windows y Linux.
Este software malicioso está diseñado para llevar a cabo varios tipos de ciberataques contra sistemas los sistemas operativos, para utilizarlos para la minería de criptomonedas y lanzar ataques DDoS.
Según informó ComputerHoy, Chaos está basado en Go y puede infectar varias arquitecturas, como x86, x86-64, AMD64, MIPS, MIPS64, ARMv5-ARMv8, AArch64 y PowerPC utilizadas por una amplia gama de dispositivos. Logrando afectar a dispositivos como routers de pequeñas oficinas, cajas FreeBSD y servidores de grandes empresas.
«Dada la idoneidad del malware Chaos para operar a través de una gama de dispositivos, su funcionalidad multipropósito y el perfil de sigilo de la red detrás de él, esta actividad es el trabajo de un cibercriminal que está cultivando una red de dispositivos infectados para aprovechar el acceso inicial, los ataques DDoS y la minería de criptomonedas.», explicaron dos de sus investigadores.
El equipo de «Black Lotus Labs» ha registrado ataques a diferentes organizaciones relacionadas con el mundo de los del videojuegos, los medios de comunicación y el entretenimiento, los servicios financieros, la tecnología y las bolsas de criptomonedas. Hasta el momento, documentaron al menos 111 dispositivos infectados.
Los investigadores presumen que el malware es de origen chino y fue descubierto por primera el 16 de abril de este año.
El equipo de seguridad de Microsoft publicó una alerta sobre un nuevo malware de fraude de peaje, una subcategoría de fraude de facturación en la que las aplicaciones maliciosas que suscriben a los usuarios a servicios premium sin su conocimiento o consentimiento.
Este malware tiene un comportamiento único del uso de la carga dinámica de código, que dificulta la detección de amenazas por parte de las soluciones de seguridad móvil, ya que partes del código se descargan en el dispositivo en ciertas partes del flujo de ataque.
Descubrieron que el tipo de facturación más utilizado en los fraudes de peaje es el Protocolo de Aplicación Inalámbrica (WAP). Este mecanismo de pago permite a los consumidores suscribirse a contenidos de pago de sitios que admiten este protocolo y se les cobra directamente a través de la factura de su teléfono móvil. El proceso de suscripción comienza cuando el cliente inicia una sesión con el proveedor de servicios a través de una red celular y navega hasta el sitio web que ofrece el servicio de pago. En un segundo paso, el usuario debe pulsar un botón de suscripción y, en algunos casos, recibir una contraseña de un solo uso (OTP) que tiene que enviar al proveedor de servicios para verificar la suscripción.
Microsoft compartió que al suscribir a los usuarios a servicios premium, este malware puede hacer que las víctimas reciban importantes cargos en la factura del móvil. Los dispositivos afectados también tienen un mayor riesgo porque esta amenaza consigue evadir la detección y puede alcanzar un elevado número de instalaciones antes de que se elimine una sola variante.
La empresa de ciberseguridad ESET descubrió un sofisticado esquema que distribuye aplicaciones troyanizadas que se hacen pasar por populares billeteras de criptomonedas en Android y iOS.
Las aplicaciones maliciosas son capaces de robar las frases secretas de las víctimas haciéndose pasar por Coinbase, imToken, MetaMask, Trust Wallet, Bitpie, TokenPocket o OneKey. Con el objetivo de robar los fondos de los usuarios y hasta el momento se dirige principalmente a usuarios chinos.
Este ataque sofisticado permite la inserción de un código malicioso en lugares en los que sería difícil de detectar. Al tiempo se asegura de que las aplicaciones manipuladas tengan la misma funcionalidad que las originales.
La investigación de ESET identificó más de 40 sitios web de imitación de carteras de criptomonedas populares. Estos sitios web se dirigen únicamente a los usuarios de móviles y les ofrecen la descarga de aplicaciones de monedero maliciosas.
El vector de distribución de estos monederos de criptomonedas troyanizados fue rastreado hasta mayo de 2021. Basado en el registro del dominio que se proporcionó para estas apps, así como la creación de varios grupos de Telegram para buscar socios afiliados. Según la información obtenida de estos grupos, a la persona que distribuye este malware se le ofrece una comisión del 50% del contenido robado de la cartera.
Los expertos en ciberseguridad afirman que este ataque requirió un análisis en profundidad de cada aplicación de monedero, para identificar los lugares exactos en el código original para inyectar su código malicioso, y luego promocionarlos y ponerlos a disposición para su descarga a través de sitios web falsos.
En su publicación, ESET recomienda a los usuarios que utilicen únicamente carteras móviles y aplicaciones de intercambio oficiales, descargadas de tiendas de aplicaciones oficiales.
Los especialistas coreanos en seguridad Asec reportaron un nuevo malware que busca robar información crucial si consigue entrar en los dispositivos.
El malware denominado RedLine fue encontrado en la descripción de un vídeo de YouTube que parecía ofrecer hacks para el juego gratuito de Windows, «Valorant». Normalmente, este tipo de links lleva a un archivo descargable, que se convierte en una puerta de entrada a la información privada del usuario.
Asec enumeró todos los datos que puede robar, e incluye contraseñas, números de tarjetas de crédito, información guardada para formularios de autocompletar, marcadores y cookies. También es capaz de vaciar cuentas de criptomonedas y las carteras objetivo incluyen Armory, AtomicWallet, BitcoinCore, Bytecoin, DashCore, Electrum, Ethereum y Jaxx.
RedLine utiliza Discord para enviar información al sistema de mando y control del malware, un hecho reciente pero no infrecuente.
Un análisis publicado por el Instituto Infosec asegura que RedLine aumentó su popularidad en 2021. La publicación afirma que su uso puede seguir en acenso en cuanto los operadores de amenazas encuentren formas nuevas y más creativas de engañar a los usuarios.
Los investigadores resaltan que utilizar enlaces de YouTube no es una estrategia nueva de los ciberatacantes. Sin embargo, no tiene la misma popularidad que los correos electrónico de phishing y los SMS.
El investigador de seguridad, Patrick Wardle, reveló el primer malware creado para infectar los procesadores M1 de Apple.
Según explica Wardle en un publicación en su blog, con este malware los hackers buscan ganar dinero provocando que las victimas den clicks en diferentes anuncios. Esto sucede ya que es un adware que genera decenas de anuncios, incluyendo ventanas emergentes y banners, al navegar por Safari.
La amenaza fue denominada GoSearch22.app, y no es del todo un nuevo malware, ya existe uno muy parecido llamado Pirrit. La diferencia principal es que GoSearch22.app es nativo de M1, sin embargo ambos son muy difíciles de eliminar.
Wardle advirtió que aunque este malware es relativamente inofensivo, es posible que los ciberdelicuentes lo actualicen e incorporen funciones más invasivas.
El investigador también alerto que los softwares de seguridad no logran identificar esta amenaza. Los antivirus disponibles logran detectar este tipo de malware en dispositivos con procesadores Intel, lo que no pasa con los procesadores propios de Apple.
Con este reporte, la firma de Cupertino tomó acciones y revocó el certificado del desarrollador para que no se pueda ejecutar esta extensión maliciosa. Lo negativo de esta medida es que ya no se puede rastrear el malware para definir su método de distribución.
Cada 03 de noviembre se celebra el Día de la Lucha contra el Malware, con el objetivo de reforzar la importancia del uso de un antimalware.
Para conmemorar este día, ESET analiza algunos de los tipos de malware más importantes que amenazan a los usuarios de Internet en 2020. Según las investigaciones, el panorama de las amenazas ha cambiado mucho en lo que va de año.
Para que los usuarios puedan comprender a los peligros que se enfrentan, presentaron el top 5 de malwares utilizados en los últimos meses:
Torrentes maliciosos: En septiembre, la empresa de ciberseguridad anunció el descubierto de KryptoCibule, una familia de malware que utiliza criptómeros y secuestro de portapapeles para robar cripto-monedas.
Amenazas de Android: Las «Aplicaciones ocultas» dominan las amenazas en el sistema operativo. Consisten en aplicaciones engañosas, disfrazadas como juegos o herramientas, que ocultan sus iconos después de la instalación y muestran anuncios.
Amenazas del Internet de las Cosas (IoT): Estos dispositivos son una elección fácil para los atacantes. Al infectar los dispositivos de IoT con bots maliciosos, los hackers pueden utilizar redes de bots para aprovecharse y realizar ataques a gran escala.
Malware para Mac: Desde inicios de 2020, la aplicación comercial Kattana para ordenadores Mac fue copiada y troyanizada, y los ciberdelincuentes insertaron malware utilizado para robar información como cookies de navegadores, carteras de criptografía y capturas de pantalla.
Correos electrónicos maliciosos: Para el tercer trimestre del año se popularizaron los malware distribuidos por correo electrónico. El engaño más frecuente es un exploit de Microsoft Office.
El Día del Antimalware también representa una campaña para honrar el trabajo realizado por los investigadores de la seguridad de la información y en la industria tecnológica.
ESET advierte sobre un nuevo malware, denominado KryptoCibule, que es una triple amenaza cuando se trata de criptomonedas.
KryptoCibule mina criptomonedas con los recursos de la victima al mismo tiempo que intenta tomar el control de las transacciones reemplazando las direcciones de las billeteras en el portapapeles. Además este archivo malicioso es capaz de exfiltrar archivos (enviar documentos desde la maquina afectada al atacante).
Existen varias versiones de este malware, y se estima que está activo desde finales de 2018. La compañía de seguridad informática también informó que los dispositivos de las victimas son utilizados para infectar a otros usuarios.
A continuación la nota de prensa:
Un nuevo malware mina y roba criptomonedas, además de exfiltrar archivos
La compañía de seguridad informática, ESET, identificó un malware que se propaga a través de torrents y constituye una triple amenaza ya que utiliza los recursos de la víctima para minar monedas e intenta tomar el control de las transacciones.
Investigadores de ESET, compañía líder en detección proactiva de amenazas, descubrieron una familia de malware, que hasta ahora no había sido documentada, a la que denominaron KryptoCibule.
Este malware es una triple amenaza en lo que respecta a las criptomonedas, ya que utiliza los recursos de la víctima para minar monedas, intenta tomar el control de las transacciones reemplazando las direcciones de las billeteras en el portapapeles, y exfiltra archivos (código malicioso tiene la capacidad de enviar documentos desde la maquina afectada al cibercriminal) relacionados con criptomonedas; todo esto mientras hace uso de múltiples técnicas para evitar la detección. Por otra parte, KryptoCibule hace un uso extensivo de la red Tor y el protocolo BitTorrent en su infraestructura de comunicación.
El malware, también emplea algunos software legítimos. Algunos, como Tor y Transmission, están empaquetados con el instalador; otros se descargan en tiempo de ejecución, incluidos Apache httpd y el servidor SFTP Buru.
Figura 1. Componentes y herramientas de KryptoCibule
KryptoCibule se propaga a través de torrents maliciosos para archivos ZIP cuyo contenido se hace pasar por instaladores de software y juegos pirateados o crackeados. Cuando se ejecuta Setup.exe, decodifica tanto el malware como los archivos de instalación esperados. Luego lanza el malware (en segundo plano) y el instalador esperado, sin darle a la víctima ninguna indicación de que algo anda mal.
Además, las víctimas también son utilizadas para sembrar tanto los torrents utilizados por el malware como los torrents maliciosos que ayudan a propagarlo. Esto asegura que estos archivos estén ampliamente disponibles para que otros los descarguen, lo que ayuda a acelerar las descargas y proporciona redundancia.
Los investigadores descubrieron varias versiones de este malware, lo que permitió rastrear su evolución desde diciembre de 2018. Según la telemetría de ESET, más del 85% de las detecciones se ubicaron en Chequia y Eslovaquia. Esto refleja la base de usuarios del sitio en el que se encuentran los torrents infectados.
El malware KryptoCibule se mantiene activo, pero no parece haber atraído mucha atención hasta ahora. “Al momento de publicar esta información, las billeteras utilizadas por el componente para tomar control del portapapeles habían recibido un poco más de 1800 dólares estadounidenses en Bitcoin y Ethereum. El número relativamente bajo de víctimas (de cientos) y el hecho de estar limitado en su mayoría a dos países contribuyen a su bajo perfil. Se han agregado de forma regular nuevas capacidades a KryptoCibule durante su vida útil y continúa en desarrollo activo. Presumiblemente, los operadores detrás de este malware pudieron obtener más dinero robando billeteras y extrayendo criptomonedas que lo que encontramos en las billeteras utilizadas por el componente para la toma de control del portapapeles. Los ingresos generados por ese componente por sí solos no parecen suficientes para justificar el esfuerzo de desarrollo observado.”, comentó Camilo Gutiérrez Amaya, Jefe del Laboratorio de ESET Latinoamérica.
En el contexto de aislamiento por el COVID-19, ESET comparte #MejorQuedateEnTuCasa, donde acerca protección para los dispositivos y contenidos que ayudan a aprovechar los días en casa y garantizar la seguridad de los más chicos mientras se divierten online. El mismo incluye: 90 días gratis de ESET INTERNET SECURITY para asegurar todos los dispositivos del hogar, una Guía de Teletrabajo, con buenas prácticas para trabajar desde el hogar sin riesgos, Academia ESET, para acceder a cursos online que ayudan a sacar el mayor provecho de la tecnología y Digipadres, para leer consejos sobre cómo acompañar y proteger a los niños en la Web.
De manera de conocer más sobre seguridad informática ingrese al portal de noticias de ESETaquí.
