Ataques desde todos los ángulos: Resumen de ciberseguridad de mediados del año 2021

El ransomware continuó evolucionando como una de las amenazas cibernéticas más peligrosas, acumulando más de 7 millones de detecciones combinadas de amenazas por email, URL y archivos. Los agentes de amenazas se movieron de forma rápida y agresiva con ataques a sectores críticos como la banca, el gobierno y la manufactura.

Si bien algunas de las estrategias de los operadores, como su propensión a atacar a industrias esenciales, se mantuvieron constantes, muchas de sus tácticas evolucionaron de forma rápida y drástica. Las variantes destacadas de ransomware aumentaron los desafíos a medida que las nuevas familias agravaron los riesgos. Algunos agentes de amenazas se apresuraron a aprovechar la oportunidad y fingieron ser bandas de ransomware, como en el caso de una falsa campaña de DarkSide.

Familias de ransomware importantes

Estos incidentes provocaron debates sobre los delicados temas de los pagos de los rescates, el seguro cibernético y la posible legislación. Las autoridades y los investigadores de seguridad también han realizado notables esfuerzos para acabar con las bandas de ransomware, que han dado lugar a una serie de detenciones de alto perfil, como en los casos de las medidas tomadas contra los operadores de Egregor y Clop.

Técnicas perfeccionadas

Los operadores de ransomware expandieron su uso de herramientas legítimas. También subieron la apuesta inicial de sus técnicas de extorsión, desde el cifrado y la exposición de datos robados, hasta la incorporación de ataque de denegación de servicio distribuido (DDoS) y el acoso directo a los clientes y partes interesadas de las organizaciones víctimas.

Técnicas de extorsión múltiple de ransomware

Las APT también estuvieron activas, ya que se lanzaron varias campañas en el primer semestre de este año.

Los grupos de amenazas detrás de estas APT presumieron tanto de técnicas probadas como de tácticas innovadoras. El primero incluyó el uso de scripts maliciosos e emails de spear phishing, mientras que este último involucró nuevas plataformas legítimas, variantes de malware y herramientas de acceso remoto (RAT) como el cargador PlugX.

APT más importantes

APT más importantes en el primer semestre del 2021.

El flujo de ataque de la operación de Earth Wendigo

Las principales vulnerabilidades llegaron a los titulares a la vez que los investigadores se apresuraban en parchear los sistemas afectados antes de que estas fallas pudieran representar peligros e interrumpir las configuraciones de trabajo, incluidas las remotas.

ProxyLogon

Un incidente de hackeo atribuido al grupo Hafnium condujo al exploit de cuatro vulnerabilidades de día cero en las versiones on premise de Microsoft Exchange Server. Estas vulnerabilidades son CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 y CVE-2021-27065, denominadas colectivamente como ProxyLogon.

Vulnerabilidades de Microsoft SharePoint

Cinco vulnerabilidades importantes de ejecución remota de código (RCE) también afectaron a Microsoft SharePoint, una plataforma de almacenamiento y gestión de documentos online que también se puede utilizar en configuraciones de trabajo remoto.

Vulnerabilidades de Microsoft SharePoint RCE en la primera mitad del 2021.

Vulnerabilidades de VPN

A medida que persisten las configuraciones de trabajo desde casa, las redes privadas virtuales (VPN) siguen siendo una herramienta vital para garantizar la seguridad. Las detecciones de estas vulnerabilidades continuaron proliferando, con algunos picos en comparación con el mismo período del año pasado.

Detecciones de vulnerabilidades de VPN en el primer semestre del 2020 y en el primer semestre del 2021.

PrintNightmare

«PrintNightmare» es el nombre atribuido a CVE-2021-1675, una vulnerabilidad crítica de Windows Print Spooler que permite la ejecución de código arbitrario con privilegios de nivel de sistema. La filtración accidental de un código de exploit de prueba de concepto provocó una carrera para corregir esta vulnerabilidad lo antes posible.

Con todo, el número de detecciones de vulnerabilidades mostró una pequeña disminución, con una importante disminución de las vulnerabilidades críticas.

Comparación semestral del desglose de la gravedad, basada en el CVSS de las vulnerabilidades reveladas a través de nuestro programa Zero Day Initiative (ZDI).
Fuente: Programa ZDI de Trend Micro

Incluso en medio de una pandemia, el negocio es normal para muchos agentes de amenazas, ya que continúan desplegando nuevas amenazas o renovando las ya existentes. Algunos cibercriminales se aprovecharon directamente de la pandemia, utilizando la incertidumbre y la angustia provocada por la situación como argumento de ingeniería social en la elaboración de sus estafas.

Amenazas relacionadas con la Covid-19

A medida que los programas de vacunación continúan implementándose en todo el mundo, también proliferan las amenazas relacionadas con las vacunas para la Covid-19. Estas incluyen archivos maliciosos, emails, mensajes de texto, sitios de información errónea y páginas de phishing. Los objetivos habituales son los sectores de telecomunicaciones, banca, comercio minorista, gobierno y finanzas.

Amenazas activas

XCSSET

XCSSET se dirige a los usuarios de Mac e infecta los proyectos de Xcode. A los pocos meses del año, los agentes de amenazas actualizaron XCSSET con características que permiten que se adapte tanto a ARM64 como a Mac x86_x64. El malware también obtuvo la capacidad de recopilar información confidencial de ciertos sitios web, incluidas las plataformas de comercio de criptomonedas.

PandaStealer

PandaStealer es un nuevo ladrón de información que puede recopilar información confidencial como claves privadas y registros de transacciones pasadas de las carteras de moneda digital de un objetivo. También puede recopilar credenciales de otras aplicaciones, realizar capturas de pantalla y extraer datos de los navegadores. Se propaga principalmente a través de emails de spam que solicitan cotizaciones comerciales.

Las circunstancias provocadas por la pandemia catalizaron la adopción de sistemas online impulsados por tecnologías como la nube y el IoT. Sin embargo, estos dominios vienen con sus propios conjuntos de amenazas y riesgos.

Nube

Algunas amenazas destacadas de este año incluyen los ataques de TeamTNT. A principios de año, descubrimos que los agentes de amenazas detrás de TeamTNT apuntaban a ciertos sistemas de nube:

• Credenciales de AWS. TeamTNT robó credenciales de AWS a través de un binario que contenía un script de shell codificado. Más de 4000 instancias se vieron comprometidas.
• Clústeres de Kubernetes. TeamTNT comprometió los clústeres de Kubernetes de libre circulación. Casi 50 000 direcciones IP se vieron afectadas en varios clústeres.

El IoT

Descubrimos riesgos en varias facetas del IoT, incluida la red de área extendida de largo alcance (LoRaWAN), 5G y enrutadores.

LoRaWAN

Si bien son útiles en empresas y ciudades inteligentes, los dispositivos LoRaWAN no son inmunes al compromiso. Después de encontrar vulnerabilidades expuestas en estos dispositivos, creamos la herramienta LoRaPWN para evaluar la seguridad de las comunicaciones de LoRaWAN.

5G

El establecimiento de redes de campus 4G/5G para empresas conlleva riesgos. Para estudiar estos peligros, identificamos varios escenarios de ataque, incluido el secuestro de DNS, el secuestro de MQTT, el secuestro de Modbus/TCP, la descarga o el restablecimiento de controladores lógicos programables (PLC) desprotegidos, el escritorio remoto y el intercambio de SIM.

Enrutadores

Los enrutadores siempre han estado plagados de problemas de seguridad. Analizamos las infecciones de enrutadores y encontramos que VPNFilter, un botnet de IoT, era una de las amenazas más importantes. Para comprometer los enrutadores y los dispositivos de almacenamiento, VPNFilter utiliza cuentas de puerta trasera y varios exploits.

40,956,909,973

Número total de amenazas bloqueadas durante el primer semestre del 2021.

Descargue nuestro informe completo para obtener información sobre las ciberamenazas y los riesgos urgentes que plagaron la primera mitad del 2021 y para obtener más información sobre las recomendaciones de nuestros expertos en seguridad para usuarios y empresas.