Informe global de inteligencia sobre amenazas

La inteligencia sobre amenazas puede considerarse "el arte de coger al adversario por sorpresa". Anticipar, mitigar y prevenir las sorpresas en forma de ciberataques es la misión principal de un programa práctico de inteligencia sobre amenazas.

Alcanzar ese objetivo requiere un enfoque proactivo que responda a preguntas críticas como las siguientes: ¿Qué actores de amenazas tienen más probabilidades de causar un impacto en mi organización? ¿Cuáles son sus motivaciones, objetivos y capacidades? ¿Cómo se comportan y qué ciberarmas utilizan para alcanzar sus objetivos? Y, lo que es más importante, ¿qué contramedidas prácticas puedo desplegar para mejorar las capacidades de ciberdefensa de mi organización?

Nuestro equipo se enorgullece de publicar nuestro primer Informe de Inteligencia sobre Amenazas Globales a la Ciberseguridad en BlackBerry . La misión de este informe es proporcionar información procesable sobre ataques selectivos, actores de amenazas motivados por la ciberdelincuencia y campañas dirigidas a organizaciones como la suya, para que pueda tomar decisiones bien informadas y emprender acciones rápidas y eficaces.

En esta primera edición, encontrará informes de algunos de los mejores investigadores de amenazas y analistas de inteligencia del equipo de Investigación e Inteligencia de Amenazas de BlackBerry , expertos de talla mundial que comprenden no solo las amenazas técnicas, sino también los acontecimientos geopolíticos locales y globales y su impacto en los modelos de amenazas de las organizaciones en cada región. Para elaborar este informe (que abarca los 90 días comprendidos entre el 1 de septiembre y el 30 de noviembre de 2022), el equipo aprovechó datos y telemetría obtenidos de nuestros propios productos y capacidades analíticas basados en inteligencia artificial (IA), complementados con otras fuentes de inteligencia públicas y privadas.

Algunas de las investigaciones más destacadas de este informe son:

• 90 días en cifras. Una visión general del período de 90 días en estadísticas, incluido el número de muestras únicas de malware que BlackBerry impidió que afectaran a nuestros clientes y la distribución geográfica de esos ataques. He aquí un avance: nuestra tecnología detuvo una media de 62 nuevas muestras maliciosas por hora, o aproximadamente una nueva muestra por minuto.

• Armas más comunes. Información sobre las armas más comunes utilizadas en los ciberataques, incluido el resurgimiento de cargadores maliciosos como Emotet, la amplia presencia de Qakbot en el panorama de las ciberamenazas y el aumento de descargadores como GuLoader.

• El acceso remoto aumenta los ladrones de información. Con el auge postpandémico del trabajo remoto e híbrido, se ha generalizado la necesidad de acceder a las redes internas desde el exterior. Los atacantes están aprovechando las nuevas posibilidades de acceso remoto utilizando ladrones de información (infostealers) para robar credenciales corporativas y venderlas en el mercado negro. Nuestro informe analiza algunos de los infostealers más frecuentes y extendidos que hemos visto desplegados durante este periodo de tiempo.

• Ninguna plataforma es "segura". Los actores de las amenazas tienen múltiples estrategias para atacar diferentes plataformas de servidores, ordenadores de sobremesa y móviles. Por ejemplo, a pesar de la opinión predominante, macOS no es una plataforma "más segura": abundan los programas maliciosos y las vulnerabilidades de macOS. Otros temas tratados incluyen tendencias como el creciente número de ataques contra plataformas Linux; la forma en que lenguajes de programación menos convencionales como GoLang se están utilizando para desarrollar malware multiplataforma; y un análisis en profundidad de las amenazas que afectan a los dispositivos móviles con Android e iOS.

• Perspectiva única del sector. Gracias a nuestra fuerte presencia tanto en el sector de la ciberseguridad como en el del Internet de las Cosas (IoT), BlackBerry se encuentra en una posición única para descubrir amenazas para sectores como el de la automoción que no se suelen comentar en otros informes sobre amenazas. Esta edición incluye información sobre las tendencias de ciberseguridad que hemos observado y que afectarán al sector de la automoción, así como a los sectores sanitario y financiero.

• Principales actores de amenazas y contramedidas. Nuestra telemetría también reveló las actividades de muchos actores de amenazas diferentes. El informe incluye información sobre algunas de sus tácticas, técnicas y procedimientos (TTP) más comunes, así como enlaces a listas públicas de contramedidas aplicadas asignadas a MITRE ATT&CK y MITRE D3FEND. Nuestro objetivo es facilitar la actualización de sus defensas organizativas y modelos de amenazas basados en esta información procesable.

• Conclusiones y perspectivas. Por último, presentamos nuestras conclusiones y la previsión de ciberamenazas para 2023.

Quiero dar las gracias a nuestros investigadores mundiales de élite del equipo de Investigación e Inteligencia sobre Amenazas de BlackBerry , que han hecho posible este informe y siguen elaborando numerosos informes de investigación "pioneros en el mercado", al tiempo que mejoran continuamente los productos y servicios basados en IA de BlackBerryy Cylance .

Ismael Valenzuela
Vicepresidente de Investigación e Inteligencia sobre Amenazas de BlackBerry

Twitter: @aboutsecurity

BlackBerry Autores de inteligencia sobre amenazas a la ciberseguridad

• Dmitri Bestuzhev
• Pedro Drimel
• Jacob Faires
• Decano Given
• Eoin Healy
• Geoff O'Rourke
• José Luis Sánchez

La centenaria industria del automóvil se encuentra en medio de una gran revolución tecnológica. Los grandes avances tecnológicos están permitiendo el desarrollo de nuevos tipos de vehículos, sistemas y servicios. Esta transformación digital ofrece muchas ventajas, pero también ha introducido nuevos retos de ciberseguridad.

A medida que los vehículos se vuelven más conectados y autónomos, se vuelven potencialmente más vulnerables a las ciberamenazas y a los actores de amenazas. Además, los sistemas de fabricación de vehículos, cada vez más complejos, también corren el riesgo de sufrir ciberataques.

En años anteriores, el sector de la automoción se vio relativamente poco afectado por amenazas a gran escala y muy publicitadas. Sin embargo, las entidades maliciosas han comenzado a atacar no solo a los fabricantes de automóviles, sino a la industria en su conjunto, mediante esfuerzos para interrumpir las operaciones, robar datos confidenciales y comprometer las cadenas de suministro. En 2022, observamos un aumento tanto en el número de entidades maliciosas dirigidas a la industria del automóvil como en la cantidad de trastornos que causan.

Para protegerse contra estas amenazas, las empresas de la industria automovilística deben reconocer los riesgos potenciales inherentes a un futuro automovilístico más conectado y aplicar medidas de ciberseguridad sólidas para proteger los vehículos y los conductores.

Debido a su escala mundial, la industria del automóvil presenta un inmenso número de puntos finales que vigilar y proteger. Incluye todas las organizaciones de la cadena de valor, desde las empresas que se abastecen de materias primas para la construcción hasta los concesionarios y propietarios de automóviles. La vasta superficie de ataque digital de esta compleja cadena de suministro debe protegerse para mantener operativo este importante negocio global.

Los ataques entre el 1 de septiembre y el 30 de noviembre de 2022 abarcaron desde el sofisticado spearphishing hasta el malspam de productos básicos, lo que indica que la industria automotriz está constantemente bajo el ataque de adversarios cibernéticos tanto avanzados como novatos.

Los descargadores de malware son frecuentes en casi todos los tipos de ciberataque, y pueden variar en apariencia, tipo de archivo y sofisticación relativa de las técnicas que utilizan para entrar en los sistemas. Los actores de amenazas engañosas inducen a las víctimas desprevenidas a instalar el descargador como primera parte de un ciberataque. Una vez ejecutado el código, los descargadores instalan código malicioso y cargas útiles adicionales para llevar a cabo ciberataques de mayor alcance.

GuLoader es un excelente ejemplo de descargador dirigido a la industria automotriz durante el período de este informe. El malware se identificó por primera vez en 2019 y sigue evolucionando. GuLoader suele hacerse pasar por documentos digitales o ejecutables legítimos antes de descargar otro malware de productos básicos.

Los datos valiosos y a menudo confidenciales de la industria automovilística la convierten en un objetivo privilegiado para los ciberdelincuentes. Estos datos son una mercancía que a menudo puede ser más valiosa que los propios vehículos.

Los infostealers son un tipo de código malicioso que busca y extrae ilícitamente datos del sistema de una víctima para utilizarlos con fines financieros o tácticos. Los infostealers pueden utilizarse junto con RAT como Remcos como malware básico que a menudo se vende como servicio para que otros actores de amenazas obtengan acceso malicioso y control de los sistemas de las víctimas.

El ransomware es la pesadilla de todo equipo de seguridad, y los actores de amenazas saben que el ransomware dirigido a las cadenas de suministro de la industria puede ser devastador. En el sector de la automoción, un ataque de ransomware en cualquier fase de la cadena de suministro podría detener la producción o la distribución, provocando pérdidas de ingresos y de reputación en todos los ecosistemas del sector.

El ransomware BlackCat se observó en algunos de los ataques de ransomware más notorios a lo largo de 2022. Los grupos de ciberdelincuentes que utilizan este RaaS en particular, que a menudo se aprovechan de las pequeñas y medianas empresas, parecen tener una gran motivación económica y se han centrado principalmente en el sector manufacturero. El ransomware BlackCat se infiltra en un entorno, extrae datos valiosos y, a continuación, cifra los sistemas conectados.

ALPVH (el grupo de amenazas que está detrás del ransomware BlackCat) utiliza con frecuencia estratagemas de doble extorsión, a menudo haciendo públicos los datos de las víctimas comprometidas a través de su sitio de filtraciones (un sitio web que aloja documentos privados y potencialmente sensibles robados). Su objetivo es presionar a la organización afectada para que pague el rescate, aprovechando el temor a que se publiquen o vendan datos más valiosos a la ^{competenciaxvi}.

Las aplicaciones de doble uso suelen ser herramientas y software legítimos que ofrecen características o funciones de las que los actores de amenazas pueden potencialmente hacer un uso indebido o abusar. El término "living off the land" (LotL) describe las acciones de los actores de amenazas que abusan de herramientas legítimas para eludir los sistemas de seguridad y evitar ser detectados.

Los actores de amenazas recurren cada vez más a herramientas de doble uso en lugar de código malicioso para propagarse dentro de un entorno, exfiltrar datos valiosos o incluso desplegar malware como herramienta "permitida". Los administradores de sistemas deben eliminar todas las herramientas de doble uso para las que no existan casos de uso válidos o justificación empresarial.

Tanto la pandemia como la invasión rusa de Ucrania han puesto de manifiesto la fragilidad de las cadenas de suministro. La industria del automóvil no es inmune a los retrasos, la escasez y las interrupciones que sufren otras industrias.

Dadas las complejidades de la industria, muchas empresas confían en una estrategia de cadena de suministro justo a tiempo (JIT) para mantener sus vastos ecosistemas de proveedores, piezas y fabricantes, creando una superficie de ataque extremadamente grande que puede ser potencialmente explotada por los actores de amenazas. El sello distintivo de la estrategia JIT es que los productos no se fabrican hasta que se necesitan. Como resultado, la fabricación puede ralentizarse o detenerse si los componentes y materiales necesarios no están disponibles inmediatamente. En consecuencia, un ciberataque en la cadena de suministro puede detener la producción de automóviles.

En lugar de atacar directamente a los fabricantes de automóviles, que pueden estar fuertemente fortificados contra las intrusiones, los adversarios maliciosos pueden atacar a sus diversos proveedores, especialmente a aquellos con menos ciberseguridad. Por ejemplo, en marzo de 2022, unos sistemas de archivos comprometidos en un proveedor de plásticos y electrónica provocaron retrasos en la producción de unos 13.000 vehículos en una empresa automovilística japonesa. Según un portavoz citado por Automotive News Europe, la cadena de suministro de la empresa automovilística incluye 60.000 empresas en cuatro ^nivelesxxvii. Los ciberataques en cualquier punto de una cadena de suministro de ese tamaño pueden afectar potencialmente a la capacidad de otras empresas para recibir las piezas y materiales necesarios.

El sector sanitario se enfrenta a un número cada vez mayor de ciberamenazas, ya que las amenazas se dirigen a las organizaciones sanitarias por sus datos altamente confidenciales y su valiosa información. Se trata de un problema importante para los proveedores sanitarios, ya que un ciberataque exitoso puede tener graves consecuencias, como la pérdida o publicación de datos confidenciales de pacientes, pérdidas económicas e incluso daños físicos directos a los pacientes. La sanidad es especialmente vulnerable a estas amenazas debido a una combinación de factores, como el uso generalizado de tecnología médica con una larga vida útil, la naturaleza compleja y a menudo interconectada de los sistemas sanitarios y las enormes cantidades de datos sensibles que se recopilan y almacenan de forma rutinaria. Es imperativo que los proveedores de asistencia sanitaria comprendan los peligros del panorama actual de las ciberamenazas y se protejan proactivamente a sí mismos y a sus pacientes de posibles daños.

En general, el ransomware sigue siendo la mayor amenaza para el sector sanitario, y los grupos de amenazas que se basan en el ransomware siguen atacándolo de forma muy activa, como podemos ver por el ataque de ransomware a CommonSpirit Health en octubre, donde se vieron comprometidos los datos pertenecientes a más de 600.000 ^{pacientesxxix}. En el pasado, algunos grupos de RaaS, como Maze, indicaron que no atacarían a hospitales, pero tales promesas no pueden garantizarse. Con la diversidad de múltiples grupos RaaS y la proliferación de modelos de afiliación, el grupo que ejecuta un ataque puede no ser el mismo que desarrolló el malware, lo que hace que el rastreo y la atribución sean una preocupación.

Según nuestra telemetría, las soluciones de Cylance Endpoint Security detuvieron 7.748 muestras únicas de malware dirigidas al sector sanitario durante este periodo, lo que supone una media de más de 80 muestras únicas de malware al día. El troyano más popular fue Qakbot, utilizado por los ciberdelincuentes desde al menos 2012 y que supone un alto riesgo para el sector sanitario. En 2022, Qakbot era utilizado sobre todo por afiliados que desplegaban el ransomware Black Basta. Dado que Emotet no realizó muchas campañas tras su reciente cierre de cuatro meses y que TrickBot parece más centrado en mejorar su malware Bumblebee, creemos que Qakbot sigue siendo el troyano más activo que facilita el acceso a la red sanitaria para afiliados de RaaS y IAB.

Meterpreter (una carga útil de Metasploit que proporciona una shell interactiva para el atacante) y BloodHound también estuvieron activos durante este periodo de tiempo. Detectamos un ataque que utilizaba Meterpreter junto con la ejecución de SharpHound, un recolector para BloodHound que se utiliza habitualmente para el movimiento lateral dentro de una red después de que se produzca un ataque. La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) recomienda que los administradores de redes y sistemas ejecuten ellos mismos BloodHound de forma intencionada para comprender las posibles rutas de ataque en sus ^entornosxxx.

También observamos que TinyNuke dejaba caer el Netwire RAT. Originalmente un troyano bancario con funciones similares a ZeuS, TinyNuke es un troyano completo que incluye el controlador de dispositivos del servidor VNC y la funcionalidad SOCKS inversa. TinyNuke también ha sido utilizado por Kimsuky ^Groupxxxi y atribuido a la República Popular Democrática de Corea (RPDC). Al examinar este ataque, descubrimos que TinyNuke descargaba y ejecutaba la RAT Netwire y se conectaba a un dominio alojado en DuckDNS, utilizado habitualmente por las RAT.

BlackBerry Los investigadores también encontraron un caso en el que un actor de amenazas desconocido desplegó la RAT PlugX, que es comúnmente utilizada por múltiples actores de amenazas de estado-nación, incluyendo Mustang Panda (más información en nuestro informe público), lo que indica que tanto los ciberdelincuentes como los actores de estado-nación están interesados en atacar la industria de la salud. Y, aunque no hemos visto infosecuestradores como Redline y Raccoon dirigidos específicamente al sector sanitario, sí encontramos un caso de GuLoader, un descargador utilizado habitualmente por los ciberdelincuentes para desplegar infosecuestradores.

El sector financiero ha sido históricamente objetivo de los ciberdelincuentes, así como de las amenazas de los estados-nación que residen en zonas afectadas por sanciones financieras. Durante este periodo de 90 días, las soluciones de Cylance Endpoint Security detuvieron 9.721 muestras únicas de malware lanzadas contra objetivos del sector financiero, con una media de 108 muestras maliciosas únicas identificadas al día.

Diferentes actores de amenazas, incluidos los estados-nación, se han apoyado en herramientas comerciales de pruebas de penetración (pen testing) como Cobalt Strike y otras para difuminar la línea de atribución entre los ciberdelincuentes y las actividades de prueba legítimas. Esta confusión da a los ciberdelincuentes más tiempo para operar dentro de una red después de obtener acceso. En 2022, fuimos testigos de varios incidentes en los que se utilizó software comercial de simulación de adversarios, incluido Cobalt Strike, y software de pen testing Metasploit, Mimikatz y Brute Ratel dentro de instituciones financieras. Brute Ratel es una herramienta de simulación de ataques de adversarios, y tanto los atacantes como los profesionales de la seguridad utilizan habitualmente Mimikatz para extraer información confidencial, como contraseñas y credenciales, de la memoria de un sistema. Por el momento, se desconoce si la presencia de Mimikatz y Brute Ratel formaba parte de actividades legítimas de pen testing o de ataques reales.

Entre otras de las principales amenazas, detuvimos a los infosecuestradores de acceso inicial, como Redline Stealer Es de dominio público que las herramientas de acceso inicial están muy solicitadas porque permiten acceder a las redes de las víctimas para luego venderlas. Muchos actores de amenazas, incluido el grupo Lapsus$, confían en los infostealers para acceder a las empresas. (El grupo Lapsus$ es un grupo internacional de amenazas centrado en la extorsión conocido por numerosos ciberataques contra empresas y organismos gubernamentales).

Cylance Las soluciones de seguridad para puntos finales también han detenido ataques varios relacionados con la minería de criptomonedas y ataques a ecosistemas Linux, que son objetivos atractivos debido a la relativa falta de visibilidad en comparación con el mundo Windows. Un ejemplo es el backdoor Rekoobe, un troyano de Linux que lleva al menos siete años atacando activamente a víctimas de todo el ^mundoxxxii.

Entre el 1 de septiembre y el 30 de noviembre de 2022, el equipo de Investigación e Inteligencia sobre Amenazas de BlackBerry rastreó, descubrió, investigó y publicó la información más reciente sobre el panorama de las ciberamenazas en todo el mundo. La economía mundial aún se está recuperando tras la pandemia COVID-19, y los actuales acontecimientos geopolíticos en Europa del Este y las relaciones Este-Oeste siguen siendo inciertas. Estos factores convergen para crear un terreno fértil para los actores de las amenazas que intentan aprovecharse tanto por motivos políticos como financieros.

Este trimestre, hemos visto grupos APT afiliados a estados, bandas de ransomware con motivaciones financieras y muchos otros actores de amenazas de todos los tamaños, capacidades y motivaciones llevando a cabo múltiples campañas. A continuación presentamos una selección de algunos de los ataques de mayor repercusión en todo el mundo y de nuestros hallazgos más significativos durante el trimestre.

El ransomware DJVU se hace pasar por servicios o aplicaciones legítimos y, a menudo, se incluye con archivos señuelo para parecer benigno. Una evolución del notorio ransomware STOP, DJVU ha visto muchas iteraciones desde su creación en 2018. El ransomware utiliza el cifrado de flujo criptográfico Salsa20 para su rutina de cifrado. Después de realizar numerosas comprobaciones antianálisis y antisandbox para confirmar que se está ejecutando en un sistema real, el malware cifra múltiples tipos de archivos antes de generar una nota de rescate con instrucciones para que la víctima recupere sus archivos. Recientemente, la amenaza se hizo aún más dañina cuando los autores añadieron al ransomware funciones de descargador previo al cifrado.

Este trimestre, DJVU descargó y desplegó malware infostealer en aparente colaboración con los grupos de amenazas detrás de la variante Arkei Vidar Stealer y Redline Stealer, creando vías adicionales para que los actores de amenazas se beneficien a costa de las víctimas.

A principios de octubre, publicamos los resultados de varios meses de seguimiento del grupo APT Mustang Panda. También conocido como Bronze President, Red Delta y Honeymyte, este grupo se atribuye públicamente a China.

Durante nuestra investigación, descubrimos una campaña dirigida a Myanmar. La campaña suplantó la identidad de populares medios de comunicación de Myanmar y se dirigió a varias entidades, incluido un portal VPN gubernamental. El vector de infección de esta campaña utilizaba señuelos de phishing con archivos adjuntos maliciosos que engañaban a los usuarios para que los ejecutaran, lo que permitía a los atacantes afianzarse en el sistema.

La cadena de ejecución contenía varios componentes, incluyendo una utilidad legítima benigna que es susceptible al secuestro del orden de búsqueda DLL, además de un cargador DLL malicioso y una carga útil DAT cifrada. Tras la carga lateral del cargador DLL malicioso, se carga en memoria una carga útil PlugX. El vector de infección, la cadena de ejecución, el uso de PlugX y los TTP generales se ajustan a la metodología de campaña probada de Mustang Panda.

BianLian es un ransomware de acción extremadamente rápida escrito en el lenguaje de programación Go (GoLang). En este informe, predijimos el aumento actual del uso malicioso de lenguajes menos utilizados, como GoLang. Los actores de amenazas reconocen el potencial de estos lenguajes para crear malware, especialmente ransomware a medida. GoLang ofrece un soporte especialmente sólido para la concurrencia, que puede acelerar los ataques al permitir que varias funciones maliciosas se ejecuten de forma independiente al mismo tiempo.

BianLian es una amenaza relativamente nueva que se ha dirigido a una amplia gama de industrias. El grupo detrás del malware parece tener una motivación puramente financiera, y los ataques relacionados con BianLian continuaron hasta finales de 2022. El grupo parece explotar en gran medida los sistemas y redes a los que accede. Su método típico de despliegue es la infiltración manual en los sistemas para obtener el acceso inicial, seguido del abuso de LOLBins para explorar las redes y los sistemas. Tras recopilar esta información, despliegan su ransomware para obtener beneficios económicos.

En octubre, BlackBerry descubrió la anteriormente desconocida RomCom RAT dirigida a instituciones militares ucranianas. El mismo actor de amenazas era conocido por desplegar versiones falsificadas del popular software Advanced IP Scanner antes de cambiar sus esfuerzos a PDF Filler (otra aplicación popular) y puede haber desarrollado estos exploits ellos mismos.

La RomCom RAT intenta tomar el control malicioso de los dispositivos afectados. El vector de infección inicial que observamos fue un correo electrónico con un enlace incrustado a un documento falso en ucraniano llamado Наказ_309.pdf (Order_309.pdf en inglés) que dejaba caer el descargador de la siguiente etapa.

Durante el periodo que abarca este informe, se observó que este actor de amenazas desarrollaba activamente nuevas técnicas dirigidas a víctimas de todo el mundo.

Tras una serie de ataques en Ucrania, el mismo grupo lanzó nuevas campañas de ataque que se aprovechaban de marcas populares de software. El equipo de Investigación e Inteligencia de Amenazas de BlackBerry descubrió las campañas mientras analizaba artefactos de red identificados durante nuestra investigación anterior sobre RomCom RAT.

Nuestros investigadores descubrieron que el actor de la amenaza se hacía pasar por SolarWinds Network Performance Monitor, KeePass Open-Source Password Manager y PDF Reader Pro en sus campañas. Las campañas utilizaban estas empresas legítimas como fachada y diseñaban sitios web falsos que imitaban a los reales para inducir a las víctimas a descargar el malware Remcos RAT. El actor de amenazas RomCom ha seguido desplegando activamente nuevas campañas dirigidas a víctimas en Ucrania, y podría estar expandiéndose a objetivos de habla inglesa en todo el mundo en su última serie de ataques.

El equipo de investigación de amenazas de BlackBerry supervisó la familia de ransomware ARCrypter a lo largo de 2022. En agosto, se descubrió una variante desconocida que BlackBerry denominó ARCrypter y que tenía como objetivo instituciones latinoamericanas. El INVIMA (Instituto Nacional de Vigilancia de Medicamentos y Alimentos de Colombia) cerró temporalmente en octubre debido a un ^{ciberataquexxxvi}.

A través de nuestros esfuerzos de búsqueda de amenazas, BlackBerry identificó muestras adicionales de interés para este ransomware. Teniendo en cuenta el marco temporal del ataque y el contenido de la nota de rescate en la que se menciona INVIMA, concluimos con un alto grado de certeza que el ransomware ARCrypter se utilizó en el ciberataque INVIMA. Investigaciones adicionales ayudaron a descubrir dos conjuntos de archivos: un dropper de malware adicional y un encriptador de archivos.

En diciembre, nuestra vigilancia continua de Mustang Panda descubrió una campaña dirigida a entidades de varios países y continentes.

Esta campaña se basaba en señuelos temáticos (como un archivo titulado "Political Guidance for the New EU Approach Towards Russia.rar") relacionados con acontecimientos geopolíticos actuales. El señuelo contenía un documento señuelo y un archivo LNK que seguía la misma convención de nomenclatura que el archivo RAR del señuelo. Los componentes adicionales incluían utilidades legítimas susceptibles de ser secuestradas por orden de búsqueda DLL, cargadores DLL maliciosos y cargas útiles DAT similares a componentes que el grupo ha utilizado en el pasado.

El objetivo de la cadena de ejecución es entregar una carga útil PlugX en la memoria del sistema host que proporciona capacidades completas de acceso remoto a los hosts comprometidos.

Aunque la cadena de ejecución principal y los TTP de esta campaña ya se habían visto antes, estos ataques mostraron cambios sutiles, incluida una pequeña alteración en el flujo de ejecución, de modo que la función EnumSystemCodePagesW se utilizó para la ejecución de shellcode en lugar de EnumThreadWindows. Esta modesta modificación requirió ajustes en la concienciación defensiva y en las contramedidas para garantizar la protección más eficaz.

Partiendo de un certificado SSL de dominio único, pudimos descubrir 15 direcciones IP adicionales, cinco de las cuales eran servidores C2 para el grupo Mustang Panda que sirven archivos similares conformes a la misma cadena de ataque y TTP a ubicaciones y víctimas adicionales.

El alcance mundial de las campañas indica que el grupo dispone de poderosos recursos y capacidades. No esperamos que este sea su último ataque.

El último trimestre (y 2022 en general) reveló tendencias significativas en ciberseguridad que probablemente continúen a lo largo de 2023 y más allá. El número de actores de amenazas con motivaciones políticas sigue creciendo, con amenazas que incluyen la distribución de desinformación y desinformación a través de sitios de noticias falsas, el seguimiento de las acciones y comportamientos de periodistas y disidentes, y los intentos de ataques directos contra organizaciones gubernamentales y militares.

En todos los casos, los autores de las amenazas utilizaron una serie de métodos que incluyen herramientas y técnicas recientemente identificadas, así como modificaciones de las herramientas existentes que les permiten eludir mejor la detección. El aumento de los ataques selectivos en los sectores de la automoción, la sanidad y las finanzas ha puesto de manifiesto la necesidad de proteger las superficies de amenaza vulnerables de estos sectores.

La defensa de su organización contra el malware y los ciberataques requiere un conocimiento profundo de la forma en que los actores de las amenazas se dirigen a su sector, las herramientas que utilizan y sus posibles motivaciones. Este conocimiento detallado proporciona inteligencia sobre ciberamenazas contextual, anticipativa y procesable que puede reducir el impacto de las amenazas en su organización.

• Además de la motivación financiera, cada vez son más los actores de amenazas que se dirigen a víctimas individuales e institucionales por motivos económicos, geopolíticos y sociales. Los defensores deben considerar proactivamente el posible impacto de los acontecimientos económicos y políticos en la ciberseguridad.
• Los actores de amenazas utilizan cada vez más lenguajes de programación menos comunes o exóticos, como GoLang y Rust, para desarrollar nuevo malware. Los cazadores de amenazas deben permanecer vigilantes y aprender cómo el uso de lenguajes de programación novedosos puede manifestarse en los ataques. Dado que GoLang admite la codificación multiplataforma, es posible que en el futuro se produzcan más ataques contra Linux y macOS.
• Un acceso más amplio a las herramientas de acceso inicial dio lugar a importantes incidentes en 2022, al igual que la disponibilidad de ransomware como servicio gestionado para grupos sin conocimientos técnicos suficientes para crear su propio malware. Como resultado, creció el uso de ransomware por parte de actores de amenazas de estado-nación.
• La industria del automóvil se vio gravemente afectada por una gran variedad de ciberataques en 2022. El ataque a grandes fabricantes y proveedores del sector provocó paradas en varias líneas de producción. Es probable que esta serie de ataques continúe en 2023.
• Los ataques a la cadena de suministro que abusan de aplicaciones legítimas para distribuir cargas maliciosas pueden mitigarse e incluso prevenirse aplicando políticas de confianza cero que exijan autenticación y autorización continuas para acceder a redes y aplicaciones.

• Hasta la fecha, una característica clave de la invasión rusa de Ucrania ha incluido ciberataques contra la infraestructura militar y civil ucraniana. Si las hostilidades continúan, es probable que veamos repetirse este patrón de ciberataques selectivos.
• Las operaciones de ransomware dirigidas a hospitales y organizaciones médicas continuarán, especialmente en los países que apoyan o financian a Ucrania.
• Los ciberataques a infraestructuras críticas continuarán. Es posible que la IA se utilice cada vez más no solo para automatizar ataques, sino también para desarrollar ataques deepfake avanzados.
• También es posible que continúen los ataques a entidades financieras europeas, como el perpetrado en septiembre de 2022 contra Revolut (una popular empresa y aplicación fintech), con sede en el Reino Unido, que comprometió más de 50.000 registros de clientes.
• En América, prevemos una explosión de los ataques comerciales de spyware para móviles. Esperamos que los actores de amenazas en Brasil expandan aún más los ataques bancarios con troyanos de los sistemas de escritorio a los dispositivos móviles y continúen apuntando a las víctimas en América Latina. De hecho, en diciembre de 2022 se reveló la familia de malware ^BrasDexxxxix, que se dirige específicamente a la banca brasileña, incluido PIX, un sistema de pago similar a Zelle en Estados Unidos.
• Es posible que los ataques a sistemas Linux sigan pasando desapercibidos, especialmente los que virtualizan sistemas, lanzan ransomware e instalan puertas traseras en los sistemas objetivo.
• Esperamos más ataques selectivos contra la infraestructura de la nube en todos los sectores, ya que los actores de las amenazas tratan de obtener una visibilidad adicional de las organizaciones a las que pretenden socavar o extraer beneficios.

©2023 BlackBerry Limited. Las marcas comerciales, incluidas, entre otras, BLACKBERRY, EMBLEM Design y CYLANCE son marcas comerciales o marcas comerciales registradas de BlackBerry Limited, sus filiales y/o afiliados, utilizadas bajo licencia, y los derechos exclusivos sobre dichas marcas comerciales están expresamente reservados. Todas las demás marcas comerciales pertenecen a sus respectivos propietarios. BlackBerry no se hace responsable de los productos o servicios de terceros. Este documento no puede ser modificado, reproducido, transmitido o copiado, en parte o en su totalidad, sin el permiso expreso y por escrito de BlackBerry Limited.

Descargo de responsabilidad: La información contenida en este informe tiene únicamente fines educativos. BlackBerry no garantiza ni se responsabiliza de la exactitud, integridad y fiabilidad de las declaraciones o estudios de terceros a los que se hace referencia en el mismo. El análisis expresado en este informe refleja el conocimiento actual de la información disponible por parte de nuestros analistas de investigación y puede estar sujeto a cambios a medida que conozcamos información adicional. Los lectores son responsables de actuar con la debida diligencia a la hora de aplicar esta información a su vida privada y profesional. BlackBerry no aprueba ningún uso malintencionado o indebido de la información presentada en este informe.