En el cuarto trimestre de 2022, la cantidad de incidentes disminuyó un 5 % en comparación con el trimestre anterior; pero esta cifra seguía siendo bastante alta: un 15 % más que en el mismo período en 2021. La proporción de ataques masivos continuó creciendo: aumentó un 2 %. Los ciberataques exitosos contra las empresas solían producir filtraciones de información confidencial (un 51 %) e interrupciones de actividad vitales (un 36 %). Vimos cortes en infraestructuras críticas y grandes fugas de datos del usuario y código fuente de productos.
Los software espía están en aumento
El porcentaje de ataques con software espía va en aumento: el 17 % de dichos ataques fueron perpetrados contra organizaciones, el 49 % contra individuos. Esto significa, respectivamente, 5 y 3 puntos porcentuales más que en el último trimestre. Los atacantes están creando nuevo malware y trabajando para ampliar su funcionalidad: por ejemplo, el nuevo ladrón Aurora puede extraer datos no solo de los navegadores o el portapapeles, sino también directamente desde el disco del dispositivo. La distribución de software espía bajo la categoría “malware como modelo de servicio” significa que incluso los atacantes sin experiencia pueden utilizarlo : por ejemplo, el nuevo ladrón BlueFox analizado por los investigadores de Positive Technologies se promueve activamente en el mercado clandestino de este modo. Además, vimos un aumento en los casos de incrustación de código de software espía en paquetes de Python. Esto puede llevar a un aumento en los ataques en la cadena de suministro (un ciberataque en el que los atacantes se infiltran en una empresa para perjudicar el software o a los proveedores de hardware; por ejemplo, los delincuentes pueden inyectar código malicioso en un código fuente del producto o distribuir actualizaciones maliciosas para infectar la infraestructura de la organización objetivo), que conducen a perjuicios de las redes de TI de las empresas.
Redes de bots y RAT
En el cuarto trimestre, vimos un mayor uso de malware de control remoto: la proporción de ataques a las organizaciones que utilizan este tipo de malware aumentó 6 puntos porcentuales en comparación con el trimestre anterior. Se descubrieron nuevas redes de bots: MCCrash, que puede atacar sistemas Windows y Linux, y GoTrim, que hackea sitios vulnerables de WordPress y puede evadir la protección de bots. También regresaron viejas amenazas: los investigadores de Cyble detectaron que la red de bots SmokeLoader, que difundía el nuevo cryptoclipper Laplas (un tipo de malware que busca si hay una billetera criptográfica en el portapapeles y la reemplaza por la dirección del atacante), la red de bots Emotet, que regresó después de un período de calma, y QakBot estaban enviando varios programas maliciosos, incluido el ransomware Black Basta y los señalizadores Brute Ratel y Cobalt Strike (una carga maliciosa utilizada para obtener acceso remoto a sistemas comprometidos, recopilar datos o cargar malware adicional).
Nuevos métodos de cifrado y ransomware multiplataforma
Los grupos RansomExx y Qilin adquirieron versiones multiplataforma de su ransomware escrito en Rust, lo que les permite abordar sistemas de Windows y Linux. Los atacantes utilizan cada vez más el cifrado de archivos intermitente con un cierto paso de byte; este enfoque hace que el cifrado sea rápido y menos perceptible para las herramientas de seguimiento porque genera menos operaciones en el archivo cifrado y porque es similar al original. Después de un período de calma, los limpiadores disfrazados de ransomware volvieron a estar activos. Este tipo de malware convierte datos y deja una nota de rescate, pero el pago no ayuda a que se devuelvan los datos, que en realidad no se pueden recuperar.
La lista de ataques de alto perfil continúa creciendo: un ataque de ransomware en el gobierno del departamento francés de ultramar de Guadalupe incapacitó a casi toda la infraestructura de TI del estado ; el grupo de ransomware Daixin Team logró robar información sobre cinco millones de pasajeros de AirAsia y cifrar sus servidores.
Cada vez hay más ciberataques en el sector de los seguros
En el cuarto trimestre, notamos un aumento en la cantidad de ciberataques exitosos a empresas de seguros: más del doble que en el trimestre anterior. En el 73 % de los ataques, se filtró información sobre los clientes: principalmente datos personales y, en algunos casos, información médica. Los datos robados se venden en el mercado clandestino o se utilizan para ataques posteriores. Los atacantes que utilizan ransomware quieren conseguir información de las aseguradoras, porque si descubren que una organización tiene un ciberseguro que cubre el rescate, se trata de un blanco fácil, y es muy probable que tales organizaciones paguen mucho dinero.
Ataques a las empresas de TI y sus consecuencias intersectoriales
Las empresas de TI son el principal objetivo para los atacantes, ya que comprometerlas puede conducir a nuevos ataques a sus clientes o a los usuarios de sus productos y servicios (por ejemplo, en un ataque a la cadena de suministro se afecta la relación de confianza y los delincuentes hackean la infraestructura de la empresa de terceros cuyos empleados tienen acceso legítimo a los recursos del objetivo principal), y esto tiene graves consecuencias. La cantidad de incidentes relacionados con las empresas de TI aumentó en un 18 % en el cuarto trimestre. En el 62 % de esos incidentes se usó malware; estos fueron predominantemente ataques de ransomware orientados a robar información confidencial y obtener un rescate.
Entre las víctimas se encontraban proveedores de software para organizaciones de diversas industrias. El ataque a Supeo, un proveedor de servicios de TI para una operador de trenes danés, se convirtió en sensación, ya que los trenes de todo el país se detuvieron durante varias horas debido a las acciones de los hackers. La aplicación del proveedor no pudo funcionar correctamente, y esto hizo que los ingenieros del tren no pudieran acceder a información crítica como avisos de mantenimiento ferroviario y límites de velocidad. Como resultado , las operaciones del tren se tuvieron que suspender varias horas.
Los individuos sufren cada vez más ataques en redes sociales y en mensajería instantánea
En el cuarto trimestre, la proporción de ataques a individuos dentro de la cantidad total de ataques aumentó 5 puntos porcentuales, en comparación con el trimestre anterior. Este número continúa creciendo, porque los ataques exitosos a individuos a través de redes sociales y mensajería instantánea son cada vez más frecuentes. En el tercer trimestre de 2022, el 18 % de los ataques de ingeniería social se dirigieron a usuarios de redes sociales, mientras que la mensajería instantánea y los SMS se utilizaron en un 15 % de tales ataques. En el cuarto trimestre, los atacantes también estuvieron activos: el 19 % de los ataques fueron dirigidos a usuarios de redes sociales y en el 17 % se utilizaron mensajeros de ataques de ingeniería social y mensajes SMS. La cantidad de credenciales robadas también está aumentando: del 39 % en el tercer trimestre pasó al 44 % en el cuarto trimestre.
La mayoría de los ataques exitosos que utilizan redes sociales y mensajería apuntan a recopilar credenciales y hackear las cuentas. Luego, las cuentas comprometidas se utilizan para futuros ataques a los usuarios. En uno de estos ataques, los estafadores pidieron a los usuarios que voten en línea, supuestamente por un familiar o conocido en un concurso infantil, cuando en realidad el enlace los llevaba a un sitio de phishing. En otro ataque, registrado en diciembre, muchos usuarios de Telegram recibieron mensajes falsos acerca de una tarjeta de regalo para una suscripción a Telegram Premium. Para activar la suscripción, se pidió a los usuarios que ingresaran un código de autorización, pero esto solo llevó a la vulneración de la cuenta y la posterior distribución de correos electrónicos de phishing a los contactos de la víctima.
Los datos de la cuenta no son lo único que quieren los delincuentes: también quieren apoderarse de los datos personales y los datos de pago. En un ataque dirigido a ciudadanos indios, los atacantes utilizaron un táctica inusual: rastrearon los mensajes de los usuarios de Twitter que se quejaban de la Corporación de Turismo y Catering Ferroviario de la India y se pusieron en contacto con ellos, haciéndose pasar por representantes de atención al cliente y solicitando información personal.
Para protegerse contra los ciberataques, ante todo recomendamos seguir nuestra guía general de pautas de ciberseguridad personal y corporativa. Teniendo en cuenta los tipos de incidentes que vimos en el cuarto trimestre de 2022, le recomendamos encarecidamente que trate con precaución los correos electrónicos entrantes y los mensajes de redes sociales y mensajería instantánea: compruebe el remitente y no haga clic en ningún enlace sospechoso para evitar convertirse en una víctima de ingeniería social o hacer que su dispositivo se vea comprometido por malware. Descargue aplicaciones solo de fuentes confiables, utilice código fuente abierto solo después de verificar que no tenga módulos maliciosos, utilice soluciones de copia de seguridad de archivos e instale actualizaciones de seguridad de la manera apropiada. Además, le aconsejamos investigar a fondo todos los incidentes importantes para identificar puntos de compromiso y vulnerabilidades explotadas por atacantes, y asegurarse rápidamente de que los delincuentes no hayan dejado ninguna puerta trasera abierta. Puede reforzar la seguridad en el perímetro corporativo con la ayuda de herramientas de seguridad de última generación, como firewalls de aplicaciones web (WAF) para proteger los recursos web. Para prevenir la infección con malware, recomendamos que utilice entornos de pruebas para analizar el comportamiento de los archivos en un entorno virtual y detectar actividad maliciosa.
