Los investigadores de ciberseguridad advierten sobre un aumento en las campa\u00f1as de phishing por correo electr\u00f3nico que est\u00e1n utilizando el servicio Google Cloud Run como arma para enviar varios troyanos bancarios como Astaroth (tambi\u00e9n conocido como Guildma), Mekotio y Ousaban (tambi\u00e9n conocido como Javali) a objetivos en Am\u00e9rica Latina (LATAM) y Europa. .<\/p>\n
“Las cadenas de infecci\u00f3n asociadas con estas familias de malware presentan el uso de instaladores de Microsoft (MSI) maliciosos que funcionan como descargadores o descargadores de las cargas \u00fatiles de malware finales”, investigadores de Cisco Talos revelado<\/a> la semana pasada.<\/p>\n Las campa\u00f1as de distribuci\u00f3n de malware de gran volumen, observadas desde septiembre de 2023, han empleado el mismo dep\u00f3sito de almacenamiento dentro de Google Cloud para la propagaci\u00f3n, lo que sugiere v\u00ednculos potenciales entre los actores de amenazas detr\u00e1s de las campa\u00f1as de distribuci\u00f3n.<\/p>\n Google Cloud Run es una plataforma inform\u00e1tica administrada<\/a> que permite a los usuarios ejecutar servicios frontend y backend, trabajos por lotes, implementar sitios web y aplicaciones y poner en cola cargas de trabajo de procesamiento sin tener que administrar o escalar la infraestructura.<\/p>\n “Los adversarios pueden ver Google Cloud Run como una forma econ\u00f3mica pero efectiva de implementar infraestructura de distribuci\u00f3n en plataformas a las que la mayor\u00eda de las organizaciones probablemente no impiden el acceso de los sistemas internos”, dijeron los investigadores.<\/p>\n La mayor\u00eda de los sistemas utilizados para enviar mensajes de phishing se originan en Brasil, seguido de Estados Unidos, Rusia, M\u00e9xico, Argentina, Ecuador, Sud\u00e1frica, Francia, Espa\u00f1a y Bangladesh. Los correos electr\u00f3nicos contienen temas relacionados con facturas o documentos financieros y fiscales, y en algunos casos pretenden ser de agencias tributarias del gobierno local.<\/p>\n Dentro de estos mensajes hay enlaces a un sitio web alojado en ejecuci\u00f3n[.]app, lo que resulta en la entrega de un archivo ZIP que contiene un archivo MSI malicioso, ya sea directamente o mediante redirecciones 302 a una ubicaci\u00f3n de Google Cloud Storage, donde se almacena el instalador.<\/p>\n Tambi\u00e9n se ha observado que los actores de amenazas intentan evadir la detecci\u00f3n utilizando trucos de geocerca al redirigir a los visitantes a estas URL a un sitio leg\u00edtimo como Google cuando acceden a ellos con una direcci\u00f3n IP de EE. UU.<\/p>\n Adem\u00e1s de aprovechar la misma infraestructura para distribuir tanto Mekotio como Astaroth, la cadena de infecci\u00f3n asociada con este \u00faltimo act\u00faa como un conducto para distribuir Ousaban.<\/p>\n Astaroth, Mekotio y Ousaban est\u00e1n dise\u00f1ados para identificar instituciones financieras, controlar la actividad de navegaci\u00f3n web de los usuarios, as\u00ed como registrar las pulsaciones de teclas y tomar capturas de pantalla en caso de que uno de los sitios web del banco objetivo est\u00e9 abierto.<\/p>\n Ousaban tiene una historia de convertir los servicios en la nube en armas<\/a> a su favor, ya que anteriormente hab\u00eda empleado Amazon S3 y Microsoft Azure para descargar cargas \u00fatiles de segunda etapa, y Google Docs para recuperar la configuraci\u00f3n de comando y control (C2).<\/p>\n El desarrollo se produce en medio de campa\u00f1as de phishing que propagan familias de malware como DCRat, Remcos RAT<\/a>y oscurovnc<\/a> que son capaces de recopilar datos confidenciales y tomar el control de hosts comprometidos.<\/p>\n Tambi\u00e9n sigue a un aumento en los actores de amenazas que implementan c\u00f3digos QR en ataques de phishing y basados \u200b\u200ben correo electr\u00f3nico (tambi\u00e9n conocidos como quishing) para enga\u00f1ar a v\u00edctimas potenciales para que instalen malware en sus dispositivos m\u00f3viles.<\/p>\n “En un ataque separado, los adversarios enviaron a los objetivos correos electr\u00f3nicos de phishing con c\u00f3digos QR maliciosos que apuntaban a p\u00e1ginas de inicio de sesi\u00f3n falsas de Microsoft Office 365 que eventualmente roban las credenciales de inicio de sesi\u00f3n del usuario cuando ingresan”, Talos dicho<\/a>.<\/p>\n “Los ataques con c\u00f3digos QR son particularmente peligrosos porque mueven el vector de ataque de una computadora protegida al dispositivo m\u00f3vil personal del objetivo, que generalmente tiene menos protecciones de seguridad y, en \u00faltima instancia, tiene la informaci\u00f3n confidencial que buscan los atacantes”.<\/p>\n Las campa\u00f1as de phishing tambi\u00e9n han puesto sus ojos en el sector del petr\u00f3leo y el gas para desplegar un ladr\u00f3n de informaci\u00f3n llamado Rhadamanthys, que actualmente ha alcanzado la versi\u00f3n 0.6.0, destacando un flujo constante de parches y actualizaciones<\/a> por sus desarrolladores.<\/p>\n “La campa\u00f1a comienza con un correo electr\u00f3nico de phishing que utiliza un informe de incidente de veh\u00edculo para atraer a las v\u00edctimas a interactuar con un enlace incrustado que abusa de una redirecci\u00f3n abierta en un dominio leg\u00edtimo, principalmente Google Maps o Google Im\u00e1genes”, Cofense dicho<\/a>.<\/p>\n Los usuarios que hacen clic en el enlace son redirigidos a un sitio web que aloja un archivo PDF falso, que, en realidad, es una imagen en la que se puede hacer clic que se comunica con un repositorio de GitHub y descarga un archivo ZIP que contiene el ejecutable del ladr\u00f3n.<\/p>\n “Una vez que una v\u00edctima intenta interactuar con el ejecutable, el malware se descomprimir\u00e1 e iniciar\u00e1 una conexi\u00f3n con una ubicaci\u00f3n de comando y control (C2) que recopila credenciales robadas, billeteras de criptomonedas u otra informaci\u00f3n confidencial”, agreg\u00f3 la compa\u00f1\u00eda.<\/p>\n Otras campa\u00f1as han abusado de herramientas de marketing por correo electr\u00f3nico como SendGrid de Twilio para obtener listas de correo de clientes y aprovechar credenciales robadas para enviar correos electr\u00f3nicos de phishing de apariencia convincente, seg\u00fan Kaspersky.<\/p>\n “Lo que hace que esta campa\u00f1a sea especialmente insidiosa es que los correos electr\u00f3nicos de phishing eluden las medidas de seguridad tradicionales”, afirma la empresa rusa de ciberseguridad. anotado<\/a>. “Dado que se env\u00edan a trav\u00e9s de un servicio leg\u00edtimo y no contienen signos evidentes de phishing, pueden evadir la detecci\u00f3n mediante filtros autom\u00e1ticos”.<\/p>\n Estas actividades de phishing se ven impulsadas a\u00fan m\u00e1s por la f\u00e1cil disponibilidad de kits de phishing como Greatness y Tycoon, que se han convertido en un medio rentable y escalable para que los aspirantes a ciberdelincuentes monten campa\u00f1as maliciosas.<\/p>\n “Grupo magnate [phishing-as-a-service] se vende y comercializa en Telegram por tan s\u00f3lo 120 d\u00f3lares”, afirma el investigador de Trustwave SpiderLabs, Rodel Mendrez. dicho<\/a> la semana pasada, se\u00f1alando que el servicio entr\u00f3 en funcionamiento alrededor de agosto de 2023.<\/p>\n “Sus caracter\u00edsticas clave de venta incluyen la capacidad de eludir la autenticaci\u00f3n de dos factores de Microsoft, lograr ‘velocidad de enlace al m\u00e1s alto nivel’ y aprovechar Cloudflare para evadir las medidas antibot, asegurando la persistencia de enlaces de phishing no detectados”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/Troyanos-bancarios-atacan-America-Latina-y-Europa-a-traves-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n