Se ha observado que los actores de amenazas detr\u00e1s de los ladrones de informaci\u00f3n RedLine y Vidar recurren al ransomware a trav\u00e9s de campa\u00f1as de phishing que difunden cargas \u00fatiles iniciales firmadas con Validaci\u00f3n Extendida (veh\u00edculo el\u00e9ctrico<\/a>) certificados de firma de c\u00f3digo.<\/p>\n “Esto sugiere que los actores de amenazas est\u00e1n agilizando las operaciones al hacer que sus t\u00e9cnicas sean multiprop\u00f3sito”, investigadores de Trend Micro. dicho<\/a> en un nuevo an\u00e1lisis publicado esta semana.<\/p>\n En el incidente investigado por la empresa de ciberseguridad, se dice que una v\u00edctima an\u00f3nima recibi\u00f3 primero un malware ladr\u00f3n de informaci\u00f3n con certificados de firma de c\u00f3digo EV, seguido de un ransomware que utilizaba la misma t\u00e9cnica de entrega.<\/p>\n En el pasado, las infecciones por QakBot se han aprovechado muestras firmadas con certificados de firma de c\u00f3digo v\u00e1lidos<\/a> para eludir las protecciones de seguridad.<\/p>\n Los ataques comienzan con correos electr\u00f3nicos de phishing que emplean se\u00f1uelos muy usados \u200b\u200bpara enga\u00f1ar a las v\u00edctimas para que ejecuten archivos adjuntos maliciosos que se hacen pasar por im\u00e1genes PDF o JPG pero que en realidad son ejecutables que activan el compromiso al ejecutarse.<\/p>\n Si bien la campa\u00f1a dirigida a la v\u00edctima entreg\u00f3 malware ladr\u00f3n en julio, una carga \u00fatil de ransomware lleg\u00f3 a principios de agosto despu\u00e9s de recibir un mensaje de correo electr\u00f3nico que conten\u00eda un archivo adjunto falso de queja de TripAdvisor (“TripAdvisor-Complaint.pdf.htm”), lo que desencaden\u00f3 una secuencia de pasos que culmin\u00f3 con el despliegue de ransomware.<\/p>\n “En este punto, vale la pena se\u00f1alar que, a diferencia de las muestras del ladr\u00f3n de informaci\u00f3n que investigamos, los archivos utilizados para eliminar la carga \u00fatil del ransomware no ten\u00edan certificados EV”, dijeron los investigadores.<\/p>\n “Sin embargo, ambos provienen del mismo actor de amenazas y se propagan utilizando el mismo m\u00e9todo de entrega. Por lo tanto, podemos suponer una divisi\u00f3n del trabajo entre el proveedor de carga \u00fatil y los operadores”.<\/p>\n El desarrollo se produce cuando IBM X-Force descubri\u00f3 nuevas campa\u00f1as de phishing que difunden una versi\u00f3n mejorada de un cargador de malware llamado DBatLoader, que se utiliz\u00f3 como conducto para distribuir FormBook y Remcos RAR a principios de este a\u00f1o.<\/p>\n Las nuevas capacidades de DBatLoader facilitan la omisi\u00f3n, la persistencia y la inyecci\u00f3n de procesos de UAC, lo que indica que se est\u00e1 manteniendo activamente para eliminar programas maliciosos que pueden recopilar informaci\u00f3n confidencial y permitir el control remoto de los sistemas.<\/p>\n El reciente conjunto de ataques, detectado desde finales de junio, est\u00e1 dise\u00f1ado para generar tambi\u00e9n malware b\u00e1sico como Agent Tesla y Warzone RAT. La mayor\u00eda de los mensajes de correo electr\u00f3nico han se\u00f1alado a personas de habla inglesa, aunque tambi\u00e9n se han detectado correos electr\u00f3nicos en espa\u00f1ol y turco.<\/p>\n “En varias campa\u00f1as observadas, los actores de amenazas aprovecharon suficiente control sobre la infraestructura de correo electr\u00f3nico para permitir que los correos electr\u00f3nicos maliciosos pasaran los m\u00e9todos de autenticaci\u00f3n de correo electr\u00f3nico SPF, DKIM y DMARC”, dijo la compa\u00f1\u00eda. dicho<\/a>.<\/p>\n “La mayor\u00eda de las campa\u00f1as aprovecharon OneDrive para organizar y recuperar cargas \u00fatiles adicionales, y una peque\u00f1a fracci\u00f3n utiliz\u00f3 la transferencia[.]sh o dominios nuevos\/comprometidos.”<\/p>\n La identidad es el nuevo punto final: dominar la seguridad SaaS en la era moderna<\/p>\n <\/a><\/p>\n Sum\u00e9rgete en el futuro de la seguridad SaaS con Maor Bin, director ejecutivo de Adaptive Shield. Descubra por qu\u00e9 la identidad es el nuevo punto final. Asegura tu lugar ahora.<\/p>\n Potencia tus habilidades<\/a><\/section>\n En noticias relacionadas, Malwarebytes revel\u00f3 que una nueva campa\u00f1a de publicidad maliciosa se dirige a los usuarios que buscan el software de videoconferencia Webex de Cisco en motores de b\u00fasqueda como Google para redirigirlos a un sitio web falso que propaga el malware BATLOADER.<\/p>\n BATLOADER, por su parte, establece contacto con un servidor remoto para descargar una carga \u00fatil cifrada de segunda etapa, que es otro conocido malware ladr\u00f3n y registrador de pulsaciones denominado DanaBot.<\/p>\n Una t\u00e9cnica novedosa adoptada por el actor de amenazas es el uso de URL de plantillas de seguimiento<\/a> como mecanismo de filtrado y redireccionamiento para tomar huellas dactilares y determinar posibles v\u00edctimas de inter\u00e9s. Los visitantes que no cumplen con los criterios (por ejemplo, solicitudes que se originan en un entorno aislado) son dirigidos al sitio leg\u00edtimo de Webex.<\/p>\n “Debido a que los anuncios parecen tan leg\u00edtimos, no hay duda de que la gente har\u00e1 clic en ellos y visitar\u00e1 sitios no seguros”, J\u00e9r\u00f4me Segura, director de inteligencia de amenazas de Malwarebytes, dicho<\/a>.<\/p>\n “El tipo de software que se utiliza en esos anuncios indica que los actores de amenazas est\u00e1n interesados \u200b\u200ben v\u00edctimas corporativas que les proporcionar\u00e1n credenciales \u00fatiles para realizar m\u00e1s pruebas de pentesting en la red y, en algunos casos, implementar ransomware”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/El-malware-para-Android-Infame-Chisel-respaldado-por-el-Estado.png\")
<\/a><\/center><\/section>\n![\"Cargas](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/1694813599_359_Los-ciberdelincuentes-combinan-phishing-y-certificados-EV-para-entregar-cargas.jpg\" "\\"Cargas")
<\/div>\n