Publicaba ESET hace unos días su último informe Threat Report, que detalla las ciberamenazas y tendencias observadas por la compañía desde diciembre de 2023 hasta mayo de 2024, basándose en la telemetría recogida por la compañía y el análisis realizado por sus expertos, uno de los cuales es Josep Albors, director de investigación y comunicación de ESET España.
A través de una rueda de prensa online explicaba el directivo alguna de las tendencias observadas en la primera mitad del año, como que el Phishing se mantiene como una de las amenazas más relavantes, sobre todo “en relación con el robo de credenciales relacionadas con Microsoft Office, Outlook y otros servicios online”, decía Josep Albors, quien destacaba cómo el Troyano JS/Agent había saltado desde la quinta a la segunda posición.
“Los infostealers siguen siendo una de las amenazas más prevalentes, tanto a nivel mundial como en España”, aseguraba Josep Albors, explicando que los ciberdelincuentes utilizan este tipo de malware para robar credenciales almacenadas en varios programas de uso cotidiano, “que luego se utilizan para ataques más dirigidos contra todo tipo de empresas grandes y pequeñas”, así como también sus proveedores en lo que se denomina ataques de cadena de suministro, o ataques a terceros. Según los datos de Eset ha habido dos infostealers que han estado muy activos durante la primera mitad de 2024: Red Line o Lumma Stiller. Sobre Red Line aseguraba Albors que es una amenaza que “se resiste a morir incluso después de que investigadores de Eset encontraron los repositorios de GitHub que utilizaban los delincuentes para proporcionar los paneles de control y procedieran a su desmantelación”.
Sobre Lumma Steeler explicaba el director de investigación y comunicación de ESET España que su objetivo fundamental son las carteras de criptomonedas, “algo que tiene una explicación muy lógica debido al incremento del valor de monedas como Bitcoin, por ejemplo”.
Teniendo en cuenta que los infostealers utilizan como principal lector de ataque el correo electrónico “es importante conocer cuáles son las tendencias en España respecto a los correos electrónicos maliciosos”, decía Josep Albors antes destacando que uno de los cambios más notables vistos este semestre con respecto a 2023 es el descenso en la utilición de ficheros ofimáticos maliciosos. En opinión del directivo de Eset es algo que tiene sentido debido a que “Microsoft modificó la forma en la que estos archivos ofimáticos de la suite Office eran abiertos, por lo que los ciberdelincuentes han ido prefiriendo usar otro tipo de archivos maliciosos como scripts y ejecutables a la hora de distribuir estos adjuntos en sus correos”. Los datos del estudio muestran precisamente que “entre scripts y ejecutables suman el 75 por ciento de adjuntos maliciosos, y que los documentos de Office que antes eran casi el estándar ahora representan el 4,9 por ciento”.
La IA como gancho
Destacaba también Josep Albors el uso que en los últimos meses se ha estado haciendo de la temática de la Inteligencia Artificial generativa “para tratar de atraer nuevas víctimas”. Estas amenazas, explicaba el directivo, incluyen extensiones maliciosas de Google Chrome e instaladores “que se distribuyen mediante anuncios que prometen los servicios de algún modelo de internet artificial creativa de forma gratuita”, pero que en realidad eran infostealers que, activos en el navegador, van capturando todas las credenciales que introduzcamos o ya estén guardadas en navegador.
Mencionaba Albors de manera específica a Midjourney, el nombre de un programa de inteligencia artificial con el cual sus usuarios pueden crear imágenes a partir de descripciones textuales, que se ha utilizado como gancho para extender malware.
Ransomware
Esta lacra ha sufrido cambios importantes en la primera mitad del año debido a la operación cronos, una operación internacional lleva a cabo el pasado mes de febrero que desmanteló parte de la infraestructura de la banda LockBit , nombre tanto de un temindo ransomware como de la banda que lo usa, que apareció en 2019 como un servicio (ransomware-as-a-service’ (RaaS).
Explicaba Albors que la desarticulación de Lockbit fue muy significativa debido a que este grupo tuvo una dominancia absoluta durante ocho meses, concretamente desde septiembre 2023 hasta abril de 2024. “Lockbit consiguió el primer puesto en el ranking de ataque de ransomware a nivel global durante este periodo y con mucha diferencia con respecto a otros ransomware como servicio”, aseguraba el directivo de Eset, añadiendo que la operación se realizó de forma conjunta en varios países y condujo al arresto de dos afiliados de Lockbit en Polonia y en Ucrania, la confiscación de alrededor de 200 carteras de criptomonedas, desenmascaró la identidad del principal responsable de Lockbit, y permitió publicar una herramienta de cifrado que ayudó a las víctimas conseguir recuperar sus datos sin tener que pagar.
Por último, el informe de ESET también destaca que Balada Injector, un grupo conocido por explotar vulnerabilidades en plugins de WordPress, continuó su actividad en la primera mitad de 2024, comprometiendo más de 20.000 sitios web y registrando más de 400.000 visitas en las variantes utilizadas en una reciente campaña. Además, durante la presentación del informe, la compañía también ha presentado en profundidad su última investigación sobre una de las campañas de malware del lado del servidor más avanzadas, que sigue creciendo: el grupo Ebury, con su malware y botnet. A lo largo de los años, Ebury se ha desplegado como puerta trasera para comprometer casi 400.000 servidores Linux, FreeBSD y OpenBSD; más de 100.000 seguían comprometidos a finales de 2023.
