Se ha observado que los actores de amenazas asociados con el ransomware BlackCat emplean trucos de publicidad maliciosa para distribuir instaladores maliciosos de la aplicaci\u00f3n de transferencia de archivos WinSCP.<\/p>\n
“Actores maliciosos usaron publicidad maliciosa para distribuir malware a trav\u00e9s de p\u00e1ginas web clonadas de organizaciones leg\u00edtimas”, investigadores de Trend Micro. dicho<\/a> en un an\u00e1lisis publicado la semana pasada. “En este caso, la distribuci\u00f3n involucr\u00f3 una p\u00e1gina web de la conocida aplicaci\u00f3n WinSCP, una aplicaci\u00f3n de Windows de c\u00f3digo abierto para la transferencia de archivos”.<\/p>\n Malvertising se refiere<\/a> al uso de T\u00e9cnicas de envenenamiento SEO<\/a> para propagar malware a trav\u00e9s de publicidad en l\u00ednea. Por lo general, implica secuestrar un conjunto elegido de palabras clave para mostrar anuncios falsos en las p\u00e1ginas de resultados de b\u00fasqueda de Bing y Google con el objetivo de redirigir a los usuarios desprevenidos a p\u00e1ginas incompletas.<\/p>\n La idea es enga\u00f1ar a los usuarios que buscan aplicaciones como WinSCP para que descarguen malware, en este caso, una puerta trasera que contiene un Baliza de ataque de cobalto<\/a> que se conecta a un servidor remoto para operaciones de seguimiento, al mismo tiempo que emplea herramientas leg\u00edtimas como AdFind para facilitar el descubrimiento de la red.<\/p>\n El acceso proporcionado por Cobalt Strike se abusa a\u00fan m\u00e1s para descargar una serie de programas para realizar reconocimiento, enumeraci\u00f3n (PowerView), movimiento lateral (PsExec), eludir el software antivirus (KillAV BAT) y filtrar datos de clientes (cliente PuTTY Secure Copy). Tambi\u00e9n se observa el uso de la terminador<\/a> herramienta de evasi\u00f3n de defensa para manipular el software de seguridad por medio de un ataque Bring Your Own Vulnerable Driver (BYOVD).<\/p>\n En la cadena de ataque detallada por la compa\u00f1\u00eda de ciberseguridad, los actores de la amenaza lograron robar privilegios de administrador de alto nivel para realizar actividades posteriores a la explotaci\u00f3n e intentaron configurar la persistencia utilizando herramientas de administraci\u00f3n y monitoreo remoto como AnyDesk, as\u00ed como acceder a servidores de respaldo.<\/p>\n “Es muy probable que la empresa se hubiera visto sustancialmente afectada por el ataque si se hubiera buscado una intervenci\u00f3n m\u00e1s tarde, especialmente porque los actores de la amenaza ya hab\u00edan logrado obtener acceso inicial a los privilegios de administrador del dominio y comenzaron a establecer puertas traseras y persistencia”, dijo Trend Micro. .<\/p>\n El desarrollo es solo el \u00faltimo ejemplo de actores de amenazas que aprovechan la plataforma Google Ads para servir malware. En noviembre de 2022, Microsoft revel\u00f3 una campa\u00f1a de ataque que aprovecha el servicio de publicidad para implementar BATLOADER, que luego se usa para eliminar el ransomware Royal.<\/p>\n Tambi\u00e9n viene como la empresa checa de ciberseguridad Avast liberado<\/a> un descifrador gratuito para el incipiente ransomware Akira para ayudar a las v\u00edctimas a recuperar sus datos sin tener que pagar a los operadores. Akira, que apareci\u00f3 por primera vez en marzo de 2023, desde entonces ampli\u00f3 su huella objetivo<\/a> para incluir sistemas Linux.<\/p>\n “Akira tiene algunas similitudes con el ransomware Conti v2, lo que puede indicar que los autores del malware al menos se inspiraron en las fuentes filtradas de Conti”, dijeron los investigadores de Avast. La compa\u00f1\u00eda no revel\u00f3 c\u00f3mo descifr\u00f3 el algoritmo de encriptaci\u00f3n del ransomware.<\/p>\n El sindicato Conti\/TrickBot, tambi\u00e9n conocido como Gold Ulrick o ITG23, cerr\u00f3 en mayo de 2022 despu\u00e9s de sufrir una serie de eventos disruptivos desencadenados por el inicio de la invasi\u00f3n rusa de Ucrania. Pero el grupo de delitos electr\u00f3nicos contin\u00faa existiendo hasta la fecha, aunque como entidades m\u00e1s peque\u00f1as y utilizando encriptadores e infraestructura compartidos para distribuir su warez.<\/p>\n IBM Security X-Force, en una reciente inmersi\u00f3n profunda, dijo que los encriptadores de la pandilla, que son aplicaciones dise\u00f1adas para encriptar y ofuscar el malware para evadir la detecci\u00f3n de los esc\u00e1neres antivirus y dificultar el an\u00e1lisis, tambi\u00e9n se est\u00e1n utilizando para diseminar nuevas cepas de malware como Aresloader, Canyon , CargoBay, DICELOADER, Lumma C2, Matanbuchus, Minodo (antes Domino), Pikabot, SVCReady, Vidar.<\/p>\n “Anteriormente, los encriptadores se usaban predominantemente con las principales familias de malware asociadas con ITG23 y sus socios cercanos”, dijeron los investigadores de seguridad Charlotte Hammond y Ole Villadsen. dicho<\/a>. “Sin embargo, la fractura de ITG23 y la aparici\u00f3n de nuevas facciones, relaciones y m\u00e9todos han afectado la forma en que se utilizan los crypters”.<\/p>\n A pesar de la naturaleza din\u00e1mica del ecosistema del delito cibern\u00e9tico, a medida que los ciberdelincuentes nefastos van y vienen, y algunas operaciones se asocian, cierran o cambian el nombre de sus esquemas motivados financieramente, el ransomware contin\u00faa siendo una amenaza constante.<\/p>\n Esto incluye la aparici\u00f3n de un nuevo grupo de ransomware como servicio (RaaS) llamado Rhysida, que se ha centrado principalmente en los sectores de educaci\u00f3n, gobierno, fabricaci\u00f3n y tecnolog\u00eda en Europa occidental, Am\u00e9rica del Norte y del Sur y Australia.<\/p>\n “Rhysida es una aplicaci\u00f3n de ransomware criptogr\u00e1fico de Windows Portable Executable (PE) de 64 bits compilada con MINGW\/GCC”, SentinelOne dicho<\/a> en un informe t\u00e9cnico. “En cada muestra analizada, el nombre del programa de la aplicaci\u00f3n se establece en Rhysida-0.1, lo que sugiere que la herramienta se encuentra en las primeras etapas de desarrollo”.<\/p>\n <\/p>\n![\"ransomware](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1688365183_388_Operadores-de-BlackCat-que-distribuyen-ransomware-disfrazado-de-WinSCP-a.jpg\" "\\"ransomware")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/1687793621_378_Intercambio-de-criptomonedas-japones-es-victima-del-ataque-de-puerta.png\")
<\/a><\/center><\/div>\n