Más consumidores están recurriendo a los dispositivos móviles para sus necesidades diarias en lugar de los equipos de escritorio. Y a medida que cada vez más consumidores usan sus teléfonos inteligentes para hacer compras, correo electrónico y más, los atacantes pueden aprovechar a las personas que pueden no estar tan conscientes de las amenazas en línea como deberían. Esto ha abierto la puerta al malware para dispositivos móviles, que se basa en engañar a los usuarios para que permitan que las aplicaciones malintencionadas accedan a contenido que no deberían poder ver de otra manera. En algunos casos, los atacantes han adquirido la capacidad de apoderarse completamente de un dispositivo móvil, como en una pequeña campaña que descubrimos en la India en julio. En la mencionada labor, Talos descubrió 13 dispositivos infectados con el software de gestión de dispositivos móviles (MDM, por sus siglas en inglés) que podía estar en capacidad de permitir a los atacantes agregar características maliciosas a aplicaciones legítimas, dándoles la posibilidad de filtrar información, como contactos, fotos, mensajes y ubicación. Más adelante en el año, descubrimos que esta campaña apuntó a más dispositivos de lo que inicialmente pensamos, e incluso conectamos el ataque a otro actor que tenía un historial de ataques a dispositivos Android.
En el caso de GPlayed, un ataque que se descubrió en octubre, un actor pudo engañar a los usuarios para que descargaran una aplicación maliciosa que se disfrazaba de legítima tienda de aplicaciones Google Play. Una vez instalada, la aplicación maliciosa puede cargar complementos e inyectar scripts. Finalmente, GPlayed evolucionó hasta el punto de que incluía un banking trojan que intentó robar las credenciales de inicio de sesión de los usuarios a los sitios web de servicios financieros.
MALWARE EN 2018
ENERO
Los mineros de criptomonedas comienzan a convertirse en un jugador importante en la escena del malware. Estas campañas capitalizan la popularidad de las criptomonedas, utilizando los equipos de las víctimas para poder extraer la moneda digital.
FEBRERO
Cisco Talos descubre Olympic Destroyer, un malware que apuntó a los Juegos Olímpicos de Invierno en Corea del Sur. Los atacantes intentaron interrumpir las ceremonias de apertura sacando del aire al sitio web donde los asistentes podían imprimir sus boletos, así como los sistemas informáticos en el estadio donde se celebraban las ceremonias.
MARZO
Surgen nuevos ataques distribuyendo el conocido troyano bancario ISFB de Gozi. Los atacantes comienzan a utilizar la botnet "Dark Cloud" para dirigirse a organizaciones específicas.
ABRIL
Los atacantes enfilan sus armas contra los switches de Cisco aprovechando un mal uso del protocolo en Cisco Smart Install Client. Se creía que algunos de estos ataques eran obra de actores del estado-nación.
MAYO
- Cisco Talos revela los detalles de TeleGrab, un malware que fue detectado robando mensajes en la plataforma de mensajería instantánea segura Telegram, dirigido principalmente a hablantes de ruso y a usuarios que utilizaban la aplicación del cliente de escritorio.
- El mundo de la ciberseguridad es tomado por asalto por VPNFilter, una campaña masiva de malware que Talos descubrió con la ayuda de partners de seguridad. En un momento dado, el malware infectó a más de 500,000 dispositivos de red en todo el mundo y tenía el potencial de bloquear completamente el acceso a internet para esos usuarios.
- Los atacantes intentan aprovechar una cumbre histórica entre los EE.UU. y Corea del Norte, distribuyendo el malware NavRAT en correos electrónicos no deseados. Estos correos electrónicos decían que contenían información relacionada con las conversaciones entre el presidente de los Estados Unidos, Donald Trump, y el líder norcoreano, Kim Jong-Un.
JUNIO
Surgen nuevos detalles sobre VPNFilter. Investigaciones adicionales descubren un nuevo módulo de etapa 3, que inyecta un código malicioso en el tráfico web, así como la contaminación de dispositivos adicionales.
JULIO
- Aparece una nueva versión del descargador de Smoke Loader. Esta variante incluye complementos que intentan robar la información confidencial de la víctima, incluidas las credenciales de inicio de sesión almacenadas o información transferida a través de un navegador web.
- Cisco Talos descubre una campaña gestionada para los dispositivos móviles en India, que infectó Dispositivos iOS y Windows. El atacante usó una técnica de carga para instalar lo que parecía ser aplicaciones legítimas en el dispositivo del usuario, que eventualmente instalaba malware que robó información confidencial, incluidos registros de chat, fotos, contactos y más.
AGOSTO
- Los atacantes abusan de Remcos RAT que produce una empresa del mercado gris llamada "rompiendo seguridad". Si bien la compañía afirmó que solo estaba vendiendo el software para usos legítimos, los actores malintencionados lo utilizaron para ejecutar redes de bots ilegales y propagar malware.
SEPTIEMBRE
- Una nueva versión de Adwind RAT se dirige a los usuarios en Turquía. Los atacantes utilizaron archivos falsificados de Microsoft Office que contenían información presunta sobre el costo de zapatos, para engañar a los usuarios, buscando que abrieran los archivos adjuntos.
- A pesar de que VPNFilter se había extinguido en gran medida, Talos descubrió que los criminales seguían atacando a los enrutadores MikroTik, específicamente su utilidad de administración de Winbox. Talos lanza una herramienta de decodificación que permite a los investigadores estudiar esta utilidad para detectar posibles actividades maliciosas.
OCTUBRE
- Los atacantes implementan una familia de malware conocida como "GPlayed" que se dirige a dispositivos Android. El malware se disfraza de tienda legítima de Google Play. Eventualmente, el malware evoluciona para incluir también un troyano bancario.
- Una nueva campaña basada en RTF comienza a eliminar el popular malware Agent Tesla y el ladrón de información Loki. Sin ser detectado, el Agente Tesla podría robar la información de inicio de sesión de los usuarios de una serie de aplicaciones importantes de software, como Google Chrome, Mozilla Firefox y Microsoft Outlook.
NOVIEMBRE
Surge una doble campaña dirigida a agencias gubernamentales en el Medio Oriente. Los atacantes implementan el malware DNSpionage para infectar computadoras y les envían información de DNS y HTTP. Mientras tanto, los actores también llevan a cabo una campaña de redireccionamiento de DNS que afecta a estas mismas agencias, así como a una aerolínea libanesa.
DICIEMBRE
Los mismos atacantes que estuvieron detrás de una campaña de correo electrónico de sextortion en octubre, amplían su alcance esta vez enviando amenazas de bombas falsas. Varias organizaciones reciben correos electrónicos que dicen que estas bombas detonarán si no les pagan a los atacantes un pago Bitcoin establecido, lo que obliga a varios edificios gubernamentales, escuelas y universidades a evacuar.
