La extorsión vía email protagoniza los incidentes de ciberseguridad en marzo

Una vez terminado el mes de marzo toca hacer repaso de las amenazas más destacadas de las últimas semanas, que han estado encabezadas por los numerosos casos de phishing que se han analizado en el laboratorio de ESET, importante empresa de software de seguridad de la Unión Europea. Tal y como hemos venido observando desde hace meses, los correos fraudulentos han aumentado considerablemente y vuelven a ser una de las amenazas más utilizadas por los delincuentes.

Entre los casos de phishing que se han revisado en el laboratorio de ESET durante las últimas semanas encontramos numerosos ejemplos de emails de extorsión mediante el correo electrónico. Este tipo de amenazas viene siendo una tónica general desde el verano pasado y suponen un interesante giro en la estrategia de los delincuentes. En lugar de extorsionar a la víctima, cifrando por ejemplo sus archivos como hace el ransomware, estos correos amenazan con difundir unas supuestas grabaciones realizadas mientras se visitaban webs con contenido pornográfico. Evidentemente, se trata de un farol y los delincuentes no disponen de estas imágenes, pero el propio contenido del mensaje, unido a que muchos de ellos suplantan la identidad del remitente o de alguna cuenta corporativa, hace que cunda el pánico y algunas víctimas cedan al chantaje.

Un caso de phishing bastante curioso que se analizó en el laboratorio de ESET el pasado mes de marzo fue el que llegó a la bandeja de entrada de la compañía remitido desde una dirección perteneciente a la Junta de Andalucía. La finalidad de este email era que se introdujera la dirección de correo y la contraseña en un formulario bastante mal diseñado. Tras investigar de dónde habían podido enviarse estos correos los investigadores de ESET descubrieron que se trataba de direcciones legítimas pertenecientes a centros educativos de Andalucía en los que, al menos en uno de los casos, el servidor de correo se había visto comprometido por los atacantes.

Más clásicos resultan los correos electrónicos que suplantan a empresas o marcas conocidas como Amazon. Durante marzo hemos visto campañas de phishing de la conocida tienda online donde se avisaba de un problema con la información de cobro asociada a la cuenta. Con esta estrategia se pretendía que la víctima introdujese los datos de su tarjeta de crédito, que posteriormente los delincuentes usarían en su propio beneficio.

Vulnerabilidades en coches y marcapasos

Los ataques al Internet de las cosas (IoT) cada vez cobran más protagonismo y este mes no iba a ser la excepción. En marzo volvimos a ver cómo una investigación reciente dejaba la seguridad de algunos modelos de marcapasos en mala posición. En este caso, la empresa fabricante de los dispositivos afectados es Medtronic y se han contabilizado un total de dos vulnerabilidades importantes.

Las vulnerabilidades de los marcapasos permitirían a un atacante que estuviese dentro del rango de alcance del dispositivo interceptar la comunicación que el marcapasos realiza por radiofrecuencia con la consola que Medtronic proporciona para tal efecto. La explotación de este problema de seguridad podría derivar en la posibilidad de leer y escribir en cualquier ubicación de la memoria del dispositivo y, en consecuencia, en modificar su comportamiento.

En otro campo del IoT, que en los últimos años ha cobrado relevancia por continuas noticias en relación a su seguridad, como es el de los automóviles conectados, también hemos visto cómo la instalación de ciertos modelos de alarmas podría comprometer la seguridad del vehículo en lugar de protegerlo.

Un grupo de investigadores demostró la existencia de fallos graves en algunos fabricantes de sistemas de alarmas para coches y demostraron cómo era posible geolocalizar un vehículo, hacer que se detuviera y secuestrarlo, para así forzar al propietario a abandonarlo. La buena noticia es que, de la misma forma que fue fácil encontrar estos fallos y explotarlos, también lo ha sido solucionarlos. Los dos fabricantes de alarmas afectados ya han reconocido estos errores y los han solucionado en poco tiempo.

En lo que respecta a dispositivos del IoT más “clásicos” a la hora de recibir ataques, en las últimas semanas se descubrió una nueva variante de la botnet Mirai que se caracteriza por tener como objetivos a dispositivos de todo tipo, como routers, cámaras IP, grabadores de vídeo y dispositivos de almacenamiento en red. En esta ocasión descubrieron además que los atacantes estaban usando un elevado número de exploits y credenciales por defecto para hacerse con el control de estos dispositivos.

Además, algunas variantes más recientes de Mirai tenían como objetivo a los sistemas de presentación inalámbrica WePresent WiPG-1000 y a las televisiones LG Supersign, utilizadas en varios comercios para mostrar publicidad a la vez que la señal del canal o de la fuente seleccionada. En anteriores variantes se habían incorporado exploits contra Apache Struts y SonicWall lo que, según algunos investigadores, parece un claro indicio de que los operadores de esta botnet tienen al sector empresarial en su punto de mira.

Ataques y amenazas en ficheros comprimidos

Entre las amenazas más destacadas del mes de marzo encontramos también varios casos donde los delincuentes han utilizado la vulnerabilidad descubierta en febrero en el manejo de ficheros .ACE y que han explotado especialmente en el conocido compresor de ficheros WinRAR.

Entre las campañas de propagación de malware que se han aprovechado de este fallo de seguridad encontramos una distribución del ransomware JNEC.a. Los delincuentes engañaban a sus víctimas y les invitaban a descomprimir un archivo .RAR que contenía el malware junto a una imagen aparentemente corrupta. Este problema se agranda si tenemos en cuenta que en varios foros especializados en la publicación, compra y venta de herramientas se están proporcionando kits que luego son utilizados en actividades delictivas con lo que se facilita a delincuentes sin conocimientos técnicos preparar su propia amenaza y comenzar a distribuirla entre las víctimas.

Otro de los ataques más destacados del pasado mes ha sido el que han sufrido varios usuarios de ordenadores ASUS a través de la propia herramienta oficial de actualización de la compañía. Al parecer ésta se habría comprometido y los atacantes la habrían utilizado para infectar y acceder a unos pocos cientos de sistemas, a pesar de que el número total de usuarios a los que se les instaló una puerta trasera a través de esta brecha de seguridad era mucho mayor.