El novedoso ataque de phishing en código morse.

phishing

Hace poco se detectó un curioso actor de amenazas que utiliza el código Morse para ocultar URL maliciosas en su forma de phishing así evitar los filtros de seguridad de correo.

El código morse se inventó como una forma de transmitir mensajes a través de cable telegráfico, en el cada letra y número se codifica como una serie de puntos y guiones que representan un sonido corto y uno largo respectivamente, el phishing oculta URL en archivos adjuntos del correo electrónico.

Según investigaciones, no se pudo encontrar referencias al código Morse usado de esta manera en el pasado, por lo que hablamos de una técnica de ofuscación novedosa e ingeniosa.

¿Cómo funciona el ataque?

Comienza como un correo electrónico que parece una factura de la empresa, con títulos cómo: “Ingresos_pago_factura_febrero_miércoles 02/03/2021”

El correo incluye un archivo adjunto HTML que parece ser una factura de Excel, el formato del archivo permite crear nombres dinámicos, que hacen más convincente el engaño:  ‘[nombre_empresa] _factura_ [número] ._ xlsx.hTML’

El archivo en realidad es un script que abre una hoja de cálculo falsa y una ventana en donde indica que se agotó el tiempo de inicio de sesión y pide ingresar la contraseña nuevamente, si el usuario ingresa la contraseña se envía a un sitio remoto donde el atacante recopila las credenciales de inicio de sesión.

Al ser una campaña muy dirigida incluso puede existir el logo de la empresa blanco en el correo electrónico.

Hemos hablado mucho últimamente de los ataques de ransomware y su evolución, pero no podemos dejar atrás otros tipos de estafa vigentes en la red, el phishing también está evolucionando y las técnicas del mismo son cada vez más complejas, por ello te recomendamos prestar mucha atención en las URL y los nombres de archivos adjuntos que recibes, incluso aunque parezca un correo legítimo, es importante siempre estar alerta y listos para detectar una amenaza, si algo parece sospechoso, hay que comunicarlo de inmediato a quien corresponda en la organización.

Una recomendación que te hacemos es que las extensiones en tu equipo siempre estén habilitadas de esta forma es posible detectar archivos sospechosos más fácilmente.

No olvides seguirnos en Facebook y LinkedIn para revisar contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

¿Cómo puedo proteger mi organización ante la nueva ola de ataques de ransomware?

ransomware

En mayo de este año fuimos testigos del ataque de ransomware por parte de una organización criminal llamada DarkSide al operador de oleoductos Colonial Pipeline, lo cual afectó en gran manera a la producción de refinado, ya que se trata de un oleoducto vital en los Estados Unidos. Se tuvieron que detener los envíos para evitar que los piratas informáticos pudieran tener oportunidad de realizar acciones adicionales, como apagar o dañar el sistema en caso de robo de información altamente confidencial de la corporación.

 Amenazas como esta suelen hacernos preguntar cómo podemos defendernos, sobre todo conociendo que este tipo de cibercriminales buscan conseguir un beneficio económico. Las organizaciones deben tener un plan de contingencia y respuesta para los ataques de ransomware. Debemos ser conscientes de los siguientes puntos:

  • TODOS podemos ser blanco de ataques.
  • Los atacantes siempre buscarán acceder a la red por métodos como el phishing, a través de un sistema con vulnerabilidades que se encuentre publicado en internet o un ataque a la cadena de suministro. El concientizar a los usuarios es una buena forma de estar prevenidos.
  • Las credenciales de cuentas administrativas y de aplicaciones serán el objetivo de los cibercriminales. Se debe contar con un buen esquema para la protección de contraseñas y que estas no se encuentren expuestas en medios fácilmente accesibles.
  • Un ataque de ransomware será la última opción de una organización criminal, pues esta herramienta es fácilmente visible y nosotros sabremos que hemos sido comprometidos, lo cual podría resultar contraproducente.

Una de las herramientas más completas en el portafolio de NOVA que nos permite visualizar amenazas en el interior de nuestra organización es Trend Micro Vision One, plataforma multicapa de ciberseguridad que puede ayudar a mejorar la detección y respuesta contra los últimos ataques de seguridad y mejorar su visibilidad. De manera adicional, y para una protección mayor, es posible implementar soluciones como Palo Alto Networks, un poderoso firewall con protección de DNS a profundidad que proporciona protección basada en la nube contra el acceso no autorizado, el mal uso, la extracción y el intercambio de información confidencial. Cuenta también con Enterprise DLP que proporciona un motor único para la detección precisa y la aplicación de políticas coherentes para datos confidenciales en reposo y en movimiento mediante la clasificación de datos basada en el aprendizaje automático, cientos de patrones de datos que utilizan expresiones regulares o palabras clave, y perfiles de datos que utilizan lógica booleana para buscar tipos colectivos. de datos.

Dados los antecedentes expuestos, debemos tener presente que el ransomware es el problema más visible, pero no necesariamente el más peligroso, pues es peor el enemigo al que no es posible ver hasta que nuestra información haya sido expuesta o utilizada de manera perjudicial.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

Internet de las cosas (IoT) un desafío para la seguridad de las empresas.

ingraestructura

Un dispositivo IoT (por sus siglas en inglés “Internet of things”) es cualquier objeto que cuenta con una conexión a internet para realizar su funcionamiento, impresoras, proyectores, televisiones, teléfonos, sensores, refrigeradores, cámaras, puertas, la lista es gigantesca. Pero lo importante es que se trata de miles de millones de objetos que crecen cada día, de hecho, hoy hay más dispositivos IoT que personas conectados a internet y es que el número ronda entre los 8.74-11.7 mil millones y se estima que para 2025 existan 41mil millones de dispositivos, es decir habrá más dispositivos que humanos en el planeta.

Estos impresionantes números nos permiten hacernos una idea del peligro latente que existe en las organizaciones, pues ya se han usado estos dispositivos para acceder a información o redes privadas con fines deshonestos, por supuesto estos dispositivos están hechos para facilitar las tareas del día a día, pero, los desarrolladores en el mercado no se toman el tiempo de crear sistemas robustos en seguridad, dejando grandes vulnerabilidades en cada uno de estos dispositivos.

Tenemos un problema.

Es común que los dispositivos IoT pasen desapercibidos en las vastas redes de una organización, esto debido a la falta de visibilidad de los mismos, a su vez existe una incapacidad de proteger los dispositivos IoT, si lo pensamos es obvio, no podemos proteger lo que no podemos ver y no solo eso, muchos IoT no pueden ser protegidos con un software de endpoint, entonces:

 ¿Cómo protejo mi organización?

Por suerte otros se han enfrentado a estos dilemas antes y gracias a la tecnología contamos con varios modelos y arquitecturas de seguridad de IoT verdaderamente funcionales, tal es el caso de Palo Alto Networks, empresa multinacional líder en ciberseguridad y desarrolladores de IoT Security, Palo Alto utilizó otras herramientas como firewalls para resolver el problema de visualización de IoT, ya que todos los dispositivos, cableados o inalámbricos se conectan a los firewalls, y envían registros a otras soluciones como Cortex™ XSOAR Data Lake  (es una plataforma integral de orquestación, automatización y respuesta de seguridad (SOAR) que unifica la gestión de los casos, la automatización, la colaboración en tiempo real y la gestión de la inteligencia de amenazas para servir a los equipos de seguridad a lo largo del ciclo de vida de los incidentes.) (registros DHCP, registros de aplicaciones mejorados, registros de tráfico) esta información permite rastrear el riesgo de IoT,  crear alertas de seguridad y vulnerabilidad de todo tipo que con una integración a otras soluciones como XSOAR, son atendidas y resueltas en breve.

Algunas de las alertas de seguridad de IoT se convierten en incidentes, XSOAR también aprovecha su integración con Service Now Discovery (SNOW) para resolver estas cuestiones por diferentes partes interesadas como empresas de SOC e IoT, de esta manera esos incidentes son investigados y resueltos a través de parcheado o configuraciones IoT.

No cabe duda de que la seguridad de IoT no está en un mal lugar el día de hoy, pero hay que tener en cuenta que los dispositivos IoT seguirán creciendo y cada vez serán más en cada organización, por tanto, una arquitectura de seguridad escalable como la de Palo Alto, basada en Cortex Data Lake para que cualquier IoT nuevo en un sitio nuevo o existente se pueda descubrir de inmediato es indispensable.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

Ataque a 4 vulnerabilidades críticas en servidores Exchange

vulnerabilidad

Ataque a 4 vulnerabilidades críticas en servidores Exchange

Las campañas de ciberataque se están presentando cada vez con más frecuencia, y los actores de amenazas encuentran día con día nuevas técnicas y herramientas para obtener acceso a sistemas críticos de las organizaciones, esto a través de los endpoints, el correo electrónico, equipos de red, servidores web, bases de datos, para a partir de ahí, realizar movimientos laterales intentando infectar la mayor cantidad posible de recursos y sistemas de la organización.

En esta ocasión se vieron afectados los servidores Microsoft Exchange por cuatro vulnerabilidades de “día cero” que fueron atacadas por un grupo que Microsoft denominó “Hafnium”, este aprovechó las vulnerabilidades para autenticarse como el servidor On-Premise de Exchange, ejecutar código y colocar archivos en cualquier ruta, el último paso habría sido desplegar Web Shells para robar datos, distribuir malware a través de la red y así facilitar el acceso a la organización a largo plazo. Las versiones de Microsoft Exchange que se han visto afectadas son 2013, 2016 y 2019.

Al menos 30,000 organizaciones se han visto afectadas en Estados Unidos, sin embargo, el número podría ser mucho mayor alrededor del mundo. A través del motor de búsqueda Shodan, se ha determinado que aproximadamente 63,000 servidores son vulnerables a estos exploits. Microsoft recomienda encarecidamente aplicar los parches liberados para solucionar las vulnerabilidades.

Una de las soluciones con las que NOVA cuenta en su portafolio es Trend Micro Vision One, los clientes de esta solución se benefician de las capacidades de XDR de los productos registrados en ella, como Cloud One Workload Security. Los indicadores relacionados con esta amenaza y vulnerabilidades asociadas de Exchange ya se incluyen en la funcionalidad Threat Intelligence Sweeping de Vision One, para poder buscar los IOC’s y que éstos sean agregados a los escaneos diarios de telemetría.

Los cibercriminales no descansan en su búsqueda por obtener beneficios personales afectando a muchas personas y organizaciones, sin embargo, del lado de IT y la organización en general, debemos estar atentos y actuar proactivamente en caso de detectar algún indicador de compromiso.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

Otra perspectiva del delito cibernético al estilo Sherlock Holmes.

sherlock

Al igual que los crímenes tradicionales en el mundo de la tecnología los delitos tienen un motivo, dejan pistas y pueden ser investigados. “Elemental mi querido Watson”

Un delito suele tener 3 etapas, una escena del crimen, un análisis en laboratorio de las pistas y un juicio en un tribunal, pero, ¿podemos trasladar esas etapas y las funciones de un detective a un escenario de ciberseguridad?

Escena del crimen:

Normalmente, se aísla una zona con cinta policiaca, en ciberseguridad podemos aislar endpoints de Windows, Linux o Mac que muestren actividad sospechosa.

El análisis de laboratorio:

Los indicadores de compromiso son las pistas de un detective de ciberseguridad, direcciones IP, nombres de Host, direcciones de correo electrónico de entrega, todo lo que se puede observar en una red o en un sistema operativo puede indicar intrusiones, una herramienta de ciberseguridad que te brinde visibilidad es el laboratorio.

Las pistas:

Podemos saber qué malware están utilizando los ciberdelincuentes con las herramientas adecuadas, por ejemplo “SIGNALS”  de Tanium puede ayudar a identificar archivos y comandos armados en un equipo infectado. O descubrir comportamientos sospechosos con base a reglas predefinidas en procesos de red, registros, eventos de archivos para comportamientos maliciosos y metodologías de ataque.

El Juicio:

La recopilación y el análisis de datos digitales son fundamentales para la corrección, también sirven para prevenir futuros ataques, Tanium también ayuda a almacenar datos rápidos o completos de equipos infectados, esto sirve para evaluar la situación y saber si el equipo es “culpable” y tiene que ser corregido.

Los testigos:

Tanium Threat Response es la persona que estuvo en la escena, la vista de un árbol de procesos muestra el archivo, la red, el registro y actividad de procesos, esta página es el perfecto testigo.

Y por supuesto al final hay que limpiar la escena del crimen:

Eliminar procesos, detener servicios, eliminar archivos y entradas de registro, y más.

Las políticas de depuración de remediación se utilizan en los endpoints perdidos o robados al borrar de forma remota los datos no esenciales o congelar el punto final para evitar intentos de inicio de sesión.

Higiene cibernética:

Además de la investigación de delitos, Tanium también puede ayudar a prevenir ciberataques. Con parcheo (Tanium Patch), actualizar las funciones de seguridad en aplicaciones de terceros (Tanium Deploy) y buscar continuamente vulnerabilidades y configuraciones incorrectas (Tanium Comply), Tanium ayuda a mantener su vecindario más seguro y menos susceptible a la delincuencia pues ofrece a los investigadores de ciberseguridad excelentes herramientas para detectar, investigar, contener y remediar los delitos cibernéticos.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

El 84% de las organizaciones en Estados Unidos han experimentado amenazas de tipo Phishing y Ransomware.

phishing

Trend Micro, líder mundial en ciberseguridad, ayuda a que el mundo sea seguro para el intercambio de información digital. Impulsada por décadas de experiencia en seguridad, investigación de amenazas globales e innovación continua. Le solicitó a Osterman Research una nueva investigación en la cual se revela que la mitad de las organizaciones estadounidenses no son efectivas para contrarrestar las amenazas de phishing y ransomware.

Estos hallazgos provienen de un estudio de Osterman Research encargado por Trend Micro y compilado a partir de entrevistas con 130 profesionales de la ciberseguridad en medianas y grandes empresas.

El phishing y el ransomware se dieron a conocer como riesgos críticos para la ciberseguridad empresarial desde antes de la pandemia y como muestra el informe realizado Osterman Research, “la llegada del trabajo remoto masivo ha aumentado la presión de estas amenazas”, dijo Joy Clay, vicepresidenta de inteligencia de amenazas de Trend Micro. Hoy en día las organizaciones necesitan defensas de múltiples capas para mitigar estos riesgos. Estos van desde simulaciones de phishing hasta plataformas avanzadas de detección y respuesta a amenazas como Trend Micro Vision One, que alertan a los equipos de seguridad antes de que los atacantes puedan tener un impacto

Las principales conclusiones del informe incluyen:

50% se calificó a sí mismo ineficaz en general en la lucha contra el phishing y ransomware.

El 72% se considera ineficaz para evitar que la infraestructura doméstica sea un conducto para ataques a las redes corporativas.

Solo el 37% creía que eran altamente efectivos al seguir 11 o más de las mejores prácticas destacadas.

El informe dividió aún más el panorama de amenazas en 17 tipos de incidentes de seguridad y encontró que el 84% de los encuestados habían experimentado al menos uno de estos, destacando la prevalencia de phishing y ransomware.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información.

Si deseas saber mas sobre este informa realizado por Trend Micro podrás leerlo en el siguiente Link:

Microsoft Word – Reduce Phishing and Ransomware – Trend Micro.docx

#NovaInforma

La evolución de los ciberdelincuentes ¿Doble extorsión?

ciberseguridad

Las organizaciones de Ransomware siguen evolucionando y ahora existen muchos más peligros de los que podrías imaginar, es por ello que en Nova te presentamos nuestra investigación sobre cómo es que operan y cuáles son los modelos con los que las empresas son afectadas. Además, te decimos cómo puedes prepararte y qué puedes hacer para no ser una víctima más.

Los ataques de Ransomware modernos siguen el mismo modus operandi, cifran la información de las empresas y exigen un pago a cambio de restaurar el acceso, pero la realidad es que no hay ninguna garantía de que los delincuentes cumplan su parte del trato aun pagándoles, por ello se ha vuelto una práctica común mantener respaldos de información que permitan reanudar operaciones en caso de un ataque de este tipo.

No obstante, desde finales del 2019 los delincuentes comenzaron una doble extorsión, amenazan con liberar públicamente los datos de las víctimas. Ya son más de 30 familias de ransomware empleando esta doble extorsión y es que el exponer la información de clientes es un problema importante, sobre todo si hablamos de información financiera o clasificada.

Por si eso fuera poco, las bandas criminales también agregan otras técnicas de extorsión, como lanzar ataques DDoS y/o acosar a los clientes de las víctimas, esto suma mucha presión en las empresas atacadas a las que no les queda más opción que ceder.

Las organizaciones delictivas que operan bajo un esquema de Ransomware as a Service (RaaS) se propagan más rápido, pues utilizan como medio a los afiliados de la víctima, el esquema de extorsión es simple, pero muy efectivo, la información crítica se va liberando en sitios de blogs, si la víctima no paga el rescate, los criminales contactan directamente a los clientes, socios comerciales, medios de comunicación e incluso comienzan subastas en donde le brindan esta información al mejor postor.

Pero ¿cómo es que las bandas criminales acceden a la información en primer lugar?

Lo más común es que usen phishing, ingeniería social u otras técnicas de infiltración que dependen de la activación de un usuario, es por ello que es muy importante mantener una cultura de seguridad sana en las organizaciones en todos los niveles de operación, también pueden infiltrarse explotando vulnerabilidades de sistemas operativos no actualizados o a través de dispositivos con conexión a internet, como cámaras de seguridad, proyectores o impresoras; el ransomware está preparado para evadir defensas o soluciones de seguridad de baja calidad y puede escalar rápidamente sus privilegios para mandar reportes con información crítica antes de cifrar los datos.

Entonces ¿Cómo puedo prevenir un ataque?

Lo cierto es que hoy día las amenazas no son del todo imparables, sobre todo si se mantienen practicas apegadas a los marcos de seguridad recomendados como realizar evaluaciones y entrenamientos de habilidades de seguridad con regularidad, realizar evaluaciones de vulnerabilidad periódicamente, mantener actualizado el software y aplicaciones, así como mantener respaldos y hacer cumplir medidas de recuperación de datos.

En Nova te recomendamos soluciones de seguridad que abarcan múltiples capas del sistema (correo electrónico, web, red, endpoints, etc) no basta con detectar componentes maliciosos, es necesario tomar medidas de seguridad que monitoreen comportamiento sospechoso en la red, por ejemplo Trend Micro Vision One ™  proporciona protección de múltiples capas y detección de comportamiento, detectando comportamientos cuestionables que de otra manera podrían parecer benignos cuando se ven desde una sola capa. Esto permite detectar y bloquear ransomware desde el principio antes de que pueda causar un daño real al sistema.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

¿Por qué son preocupantes los ciberataques a las cadenas de suministro de tecnología?

ciberseguridad

Con un ciberataque a la cadena de suministro podemos comprometer la seguridad del cliente final haciendo que use un producto o servicio con vulnerabilidades…

Estos dos últimos años casi todos los usuarios nos hemos acostumbrado al término ransomware en el campo de la seguridad informática. Gracias a ataques como Wannacry
 

Ataques a la cadena de suministro
¿Sabemos quién ha diseñado, fabricado, ensamblado, etc. cada pieza de nuestro portátil? ¿De nuestro teléfono móvil? ¿De nuestro coche conectado? ¿Del programa que utilizamos para teletrabajar? Normalmente conocemos sólo la marca, pero no todos los terceros o partes que han hecho falta para que podamos usar esa tecnología.

Toda esta red de compañías necesarias para que podamos utilizar un hardware o software es lo que conocemos como cadena de suministro. Estas cadenas se basan en las relaciones comerciales entre los diferentes elementos que las componen, cada uno tiene su modelo de negocio y hace dinero con una actividad diferente.

Pero ¿Qué ocurre si uno de los elementos de la cadena es malicioso, es decir, se comporta de manera ilícita? Puede serlo desde el principio o haber sido comprometido por un atacante externo sin saberlo.

Con un ciberataque a la cadena de suministro podemos comprometer la seguridad del cliente final haciendo que use un producto o servicio con vulnerabilidades que están provocadas, con toda la intención, por uno de los elementos de dicha cadena.
 
Recomendación: Para proteger las empresas contra este tipo amenazas se recomienda tener herramientas de monitoreo continuo de la red y detección de brechas de seguridad como Trend Micro Deep Discovery Inspector.

Consulta el artículo aquí

Lemon Duck Cryptominer se extiende a través de correos electrónicos temáticos Covid-19

coins

Los autores de malware continúan aprovechando la pandemia de coronavirus para propagar amenazas. En una campaña relacionada reciente, nos encontramos con un script de PowerShell (script de correo) que distribuye el criptominer Lemon Duck a través de un nuevo método de propagación: correos electrónicos con el tema Covid-19 con archivos adjuntos armados. Estos correos electrónicos se entregan a todos los contactos de Microsoft Outlook del usuario de una máquina comprometida, tal como lo observa SANS Internet Storm Center.

Leer más…

Recomendación:
Dado que el correo electrónico es la mejor opción del atacante para ransomware y ataques dirigidos, necesita la mejor seguridad de correo electrónico disponible para proteger su organización. Trend Micro utiliza la seguridad XGen™, la combinación más avanzada de técnicas de defensa contra amenazas intergeneracionales, con métodos probados para encontrar más correos electrónicos de phishing y malware. Nuestras soluciones de correo electrónico funcionan con Trend Micro Apex Central™ para la administración central y el intercambio de amenazas con otras capas de seguridad para mejorar su visibilidad y protección general.