11 de abril de 2024Sala de prensaEndpoint Security/Ransomware Un actor de amenazas rastreado como TA547 se ha dirigido a docenas de organizaciones alemanas con un ladrón de información llamado Rhadamanthys como parte de una campaña de phishing con temas de facturas. «Esta es la primera vez que los investigadores observaron que TA547 utiliza Rhadamanthys, un ladrón de información utilizado por múltiples actores de amenazas cibercriminales», dijo Proofpoint. «Además, el actor parecía utilizar un script de PowerShell que los investigadores sospechan que fue generado por un modelo de lenguaje grande (LLM)». TA547 es un prolífico actor de amenazas con motivación financiera que se sabe que está activo desde al menos noviembre de 2017, utilizando señuelos de phishing por correo electrónico para entregar una variedad de malware para Android y Windows, como ZLoader, Gootkit, DanaBot, Ursnif e incluso el ransomware Adhubllka. En los últimos años, el grupo se ha convertido en un intermediario de acceso inicial (IAB) para ataques de ransomware. También se ha observado el uso de trucos de geocercado para restringir las cargas útiles a regiones específicas. Los mensajes de correo electrónico observados como parte de la última campaña se hacen pasar por la empresa alemana Metro AG y contienen un archivo ZIP protegido con contraseña que, cuando se abre, inicia la ejecución de un script remoto de PowerShell para iniciar el ladrón Rhadamanthys directamente en la memoria. Curiosamente, el script de PowerShell utilizado para cargar Rhadamanthys incluye «comentarios gramaticalmente correctos e hiperespecíficos» para cada instrucción del programa, lo que plantea la posibilidad de que haya sido generado (o reescrito) utilizando un LLM. La hipótesis alternativa es que TA547 copió el guión de otra fuente que había utilizado tecnología de IA generativa para crearlo. «Esta campaña representa un ejemplo de algunos cambios de técnica de TA547, incluido el uso de LNK comprimidos y el ladrón de Rhadamanthys no observado previamente», dijo Proofpoint. «También proporciona información sobre cómo los actores de amenazas están aprovechando el contenido probablemente generado por LLM en campañas de malware». El desarrollo se produce cuando las campañas de phishing también han apostado por tácticas poco comunes para facilitar los ataques de recolección de credenciales. En estos correos electrónicos, los destinatarios reciben una notificación de un mensaje de voz y se les indica que hagan clic en un enlace para acceder a él. La carga útil recuperada de la URL es contenido HTML muy ofuscado que ejecuta código JavaScript incrustado en una imagen SVG cuando la página se representa en el sistema de destino. Dentro de los datos SVG hay «datos cifrados que contienen una página de segunda etapa que solicita al objetivo que ingrese sus credenciales para acceder al mensaje de voz», dijo Binary Defense, agregando que la página está cifrada usando CryptoJS. Otros ataques basados en correo electrónico han allanado el camino para el Agente Tesla, que ha surgido como una opción atractiva para los actores de amenazas debido a que «es un servicio de malware asequible con múltiples capacidades para exfiltrar y robar datos de los usuarios», según Cofense. Las campañas de ingeniería social también han adoptado la forma de anuncios maliciosos publicados en motores de búsqueda como Google que atraen a usuarios desprevenidos a descargar instaladores falsos de software popular como PuTTY, FileZilla y Room Planner para, en última instancia, implementar Nitrogen e IDAT Loader. La cadena de infección asociada con IDAT Loader es notable por el hecho de que el instalador MSIX se utiliza para iniciar un script de PowerShell que, a su vez, contacta a un bot de Telegram para buscar un segundo script de PowerShell alojado en el bot. Este script de PowerShell actúa como un conducto para entregar otro script de PowerShell que se utiliza para eludir las protecciones de la interfaz de escaneo antimalware de Windows (AMSI), así como para activar la ejecución del cargador, que posteriormente procede a cargar el troyano SectopRAT. «Los endpoints pueden protegerse de anuncios maliciosos mediante políticas de grupo que restringen el tráfico procedente de las redes publicitarias principales y menos conocidas», afirmó Jérôme Segura, investigador principal de amenazas de Malwarebytes. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.
Etiqueta: Filtración de datos Página 1 de 7

11 de abril de 2024Sala de prensaSpyware/Ciberespionaje Apple revisó el miércoles su documentación relativa a su sistema de notificación de amenazas de software espía mercenario para mencionar que alerta a los usuarios cuando pueden haber sido blanco individual de dichos ataques. También llamó específicamente a empresas como NSO Group por desarrollar herramientas de vigilancia comercial como Pegasus que son utilizadas por actores estatales para realizar «ataques dirigidos individualmente de un costo y complejidad tan excepcionales». «Aunque se implementan contra un número muy pequeño de individuos (a menudo periodistas, activistas, políticos y diplomáticos), los ataques de software espía mercenario son continuos y globales», dijo Apple. «El costo extremo, la sofisticación y la naturaleza mundial de los ataques de software espía mercenario los convierten en algunas de las amenazas digitales más avanzadas que existen en la actualidad». La actualización marca un cambio en la redacción que anteriormente decía que estas «notificaciones de amenazas» están diseñadas para informar y ayudar a los usuarios que pueden haber sido atacados por atacantes patrocinados por el estado. Según TechCrunch, se dice que Apple envió notificaciones de amenazas a usuarios de iPhone en 92 países a las 12:00 p. m. PST del miércoles, coincidiendo con la revisión de la página de soporte. Vale la pena señalar que Apple comenzó a enviar notificaciones de amenazas para advertir a los usuarios que cree que han sido atacados por atacantes patrocinados por el estado a partir de noviembre de 2021. Sin embargo, la compañía también enfatiza que no «atribuye los ataques ni las notificaciones de amenazas resultantes». a cualquier actor de amenaza o región geográfica en particular. El desarrollo se produce en medio de esfuerzos continuos de los gobiernos de todo el mundo para contrarrestar el uso indebido y la proliferación de software espía comercial. El mes pasado, el gobierno de Estados Unidos dijo que Finlandia, Alemania, Irlanda, Japón, Polonia y Corea del Sur se habían unido a un grupo inaugural de 11 países que trabajan para desarrollar salvaguardias contra el abuso de tecnología de vigilancia invasiva. «El software espía comercial ha sido utilizado indebidamente en todo el mundo por regímenes autoritarios y en democracias. […] sin autorización legal, salvaguardias o supervisión adecuadas», dijeron los gobiernos en una declaración conjunta. «El uso indebido de estas herramientas presenta riesgos significativos y crecientes para nuestra seguridad nacional, incluida la seguridad de nuestro personal, información y datos gubernamentales. sistemas». Según un informe reciente publicado por el Grupo de Análisis de Amenazas (TAG) de Google y Mandiant, los proveedores de vigilancia comerciales estaban detrás de la explotación salvaje de una parte de las 97 vulnerabilidades de día cero descubiertas en 2023. Todas las vulnerabilidades atribuidas «Las empresas del sector privado han estado involucradas en el descubrimiento y venta de exploits durante muchos años. , pero hemos observado un aumento notable en la explotación impulsada por estos actores en los últimos años», dijo el gigante tecnológico. «Los actores de amenazas están aprovechando cada vez más los días cero, a menudo con fines de evasión y persistencia, y no esperamos que esta actividad disminuya pronto». Google también dijo que el aumento de las inversiones en seguridad para mitigar exploits está afectando los tipos de vulnerabilidades que los actores de amenazas pueden utilizar como arma en sus ataques, obligándolos a eludir varias barreras de seguridad (por ejemplo, Lockdown Mode y MiraclePtr) para infiltrarse en los dispositivos objetivo. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

10 de abril de 2024Sala de prensaSeguridad móvil/Spyware Una campaña activa de malware para Android denominada eXotic Visit se ha dirigido principalmente a usuarios del sur de Asia, en particular a los de India y Pakistán, con malware distribuido a través de sitios web dedicados y Google Play Store. La empresa eslovaca de ciberseguridad dijo que la actividad, en curso desde noviembre de 2021, no está vinculada a ningún actor o grupo de amenazas conocido. Está rastreando al grupo detrás de la operación bajo el nombre de Virtual Invaders. «Las aplicaciones descargadas proporcionan una funcionalidad legítima, pero también incluyen código del Android XploitSPY RAT de código abierto», afirmó el investigador de seguridad de ESET, Lukáš Štefanko, en un informe técnico publicado hoy. Se dice que la campaña es de naturaleza muy específica, ya que las aplicaciones disponibles en Google Play tienen un número insignificante de instalaciones que oscilan entre cero y 45. Desde entonces, las aplicaciones han sido eliminadas. Las aplicaciones falsas pero funcionales se hacen pasar principalmente por servicios de mensajería como Alpha Chat, ChitChat, Defcom, Dink Messenger, Signal Lite, TalkU, WeTalk, Wicker Messenger y Zaangi Chat. Se dice que aproximadamente 380 víctimas descargaron las aplicaciones y crearon cuentas para usarlas con fines de mensajería. También se emplean como parte de eXotic Visit aplicaciones como Sim Info y Telco DB, las cuales afirman proporcionar detalles sobre los propietarios de tarjetas SIM simplemente ingresando un número de teléfono con sede en Pakistán. Otras aplicaciones se hacen pasar por un servicio de pedidos de alimentos en Pakistán, así como por un hospital indio legítimo llamado Specialist Hospital (ahora rebautizado como Trilife Hospital). XploitSPY, subido a GitHub en abril de 2020 por un usuario llamado RaoMK, está asociado con una empresa india de soluciones de seguridad cibernética llamada XploitWizer. También se ha descrito como una bifurcación de otro troyano de código abierto para Android llamado L3MON, que, a su vez, se inspira en AhMyth. Viene con una amplia gama de funciones que le permiten recopilar datos confidenciales de dispositivos infectados, como ubicaciones GPS, grabaciones de micrófonos, contactos, mensajes SMS, registros de llamadas y contenido del portapapeles; extraer detalles de notificaciones de aplicaciones como WhatsApp, Facebook, Instagram y Gmail; descargar y cargar archivos; ver aplicaciones instaladas; y comandos de cola. Además de eso, las aplicaciones maliciosas están diseñadas para tomar fotografías y enumerar archivos en varios directorios relacionados con capturas de pantalla, WhatApp, WhatsApp Business, Telegram y un mod no oficial de WhatsApp conocido como GBWhatsApp. «A lo largo de los años, estos actores de amenazas han personalizado su código malicioso agregando ofuscación, detección de emuladores, ocultación de [command-and-control] direcciones y uso de una biblioteca nativa», dijo Štefanko. El objetivo principal de la biblioteca nativa («defcome-lib.so») es mantener la información del servidor C2 codificada y oculta de las herramientas de análisis estático. Si se detecta un emulador, La aplicación utiliza un servidor C2 falso para evadir la detección. Algunas de las aplicaciones se han propagado a través de sitios web creados específicamente para este propósito («chitchat.ngrok[.]io») que proporcionan un enlace a un archivo de paquete de Android («ChitChat.apk») alojado en GitHub. Actualmente no está claro cómo se dirige a las víctimas a estas aplicaciones. «La distribución comenzó en sitios web dedicados y luego incluso se trasladó al Google Play oficial. tienda», concluyó Štefanko. «El propósito de la campaña es el espionaje y probablemente esté dirigido a víctimas en Pakistán e India». ¿Le pareció interesante este artículo? Síganos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

10 de abril de 2024Sala de prensaSeguridad de hardware/Investigadores de ciberseguridad de Linux han revelado lo que dicen es el «primer exploit nativo de Spectre v2» contra el kernel de Linux en sistemas Intel que podría explotarse para leer datos confidenciales de la memoria. El exploit, llamado Native Branch History Inyección (BHI), se puede utilizar para filtrar memoria arbitraria del kernel a 3,5 kB/seg evitando las mitigaciones existentes de Spectre v2/BHI, dijeron investigadores del Grupo de Seguridad de Redes y Sistemas (VUSec) de la Vrije Universiteit Amsterdam en un nuevo estudio. La deficiencia se rastrea como CVE-2024-2201. BHI fue divulgado por primera vez por VUSec en marzo de 2022 y lo describió como una técnica que puede sortear las protecciones Spectre v2 en procesadores modernos de Intel, AMD y Arm. Si bien el ataque aprovechó los filtros de paquetes Berkeley (eBPF) extendidos, las recomendaciones de Intel para abordar el problema, entre otras cosas, fueron desactivar los eBPF sin privilegios de Linux. «Los tiempos de ejecución administrados privilegiados que se pueden configurar para permitir que un usuario sin privilegios genere y ejecute código en un dominio privilegiado, como el ‘eBPF sin privilegios’ de Linux, aumentan significativamente el riesgo de ataques de ejecución transitoria, incluso cuando las defensas contra el modo intramodo [Branch Target Injection] están presentes», dijo Intel en ese momento. «El kernel se puede configurar para denegar el acceso a eBPF sin privilegios de forma predeterminada, al mismo tiempo que permite a los administradores habilitarlo en tiempo de ejecución cuando sea necesario». BHI nativo neutraliza esta contramedida al mostrar que BHI es posible sin eBPF. Afecta a todos los sistemas Intel que son susceptibles a BHI. Como resultado, hace posible que un atacante con acceso a los recursos de la CPU influya en rutas de ejecución especulativas a través de software malicioso instalado en una máquina con el objetivo de extraer datos confidenciales que son asociado con un proceso diferente. «Las técnicas de mitigación existentes para deshabilitar eBPF privilegiado y habilitar (Fine)IBT son insuficientes para detener la explotación de BHI contra el kernel/hipervisor», dijo el Centro de Coordinación CERT (CERT/CC) en un aviso. El atacante puede explotar esta vulnerabilidad para filtrar memoria privilegiada de la CPU saltando especulativamente a un dispositivo elegido». Se ha confirmado que la falla afecta a Illumos, Intel, Red Hat, SUSE Linux, Triton Data Center y Xen. AMD, en un boletín, dijo que está «consciente de cualquier impacto» en sus productos. La divulgación se produce semanas después de que IBM y VUSec detallaran GhostRace (CVE-2024-2193), una variante de Spectre v1 que emplea una combinación de ejecución especulativa y condiciones de carrera para filtrar datos de arquitecturas de CPU contemporáneas. También sigue una nueva investigación de ETH Zurich que reveló una familia de ataques denominados Ahoi Attacks que podrían usarse para comprometer entornos de ejecución confiables (TEE) basados en hardware y romper máquinas virtuales confidenciales (CVM) como AMD Secure Encrypted Virtualization-Secure Nested Paging ( SEV-SNP) y extensiones de dominio Intel Trust (TDX). Los ataques, con nombres en código Heckler y WeSee, utilizan interrupciones maliciosas para romper la integridad de las CVM, lo que potencialmente permite a los actores de amenazas iniciar sesión de forma remota y obtener acceso elevado, así como realizar lecturas, escrituras e inyecciones de código arbitrarias para deshabilitar reglas de firewall y abra un shell raíz. «Para los ataques Ahoi, un atacante puede usar el hipervisor para inyectar interrupciones maliciosas en las vCPU de la víctima y engañarla para que ejecute los controladores de interrupciones», dijeron los investigadores. «Estos controladores de interrupciones pueden tener efectos globales (por ejemplo, cambiar el estado del registro en la aplicación) que un atacante puede activar para comprometer el CVM de la víctima». En respuesta a los hallazgos, AMD dijo que la vulnerabilidad tiene su origen en la implementación del kernel de Linux de SEV-SNP y que las correcciones que abordan algunos de los problemas se han trasladado al kernel principal de Linux. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

09 de abril de 2024Sala de prensaBotnet / Crypto Mining Se ha observado que un grupo de amenazas de presunto origen rumano llamado RUBYCARP mantiene una botnet de larga duración para llevar a cabo criptominería, denegación de servicio distribuido (DDoS) y ataques de phishing. El grupo, que se cree que ha estado activo durante al menos 10 años, emplea la botnet para obtener ganancias financieras, dijo Sysdig en un informe compartido con The Hacker News. «Su principal método de operación aprovecha una botnet implementada utilizando una variedad de exploits públicos y ataques de fuerza bruta», dijo la firma de seguridad en la nube. «Este grupo se comunica a través de redes IRC públicas y privadas». La evidencia recopilada hasta el momento sugiere que RUBYCARP puede haberse cruzado con otro grupo de amenazas rastreado por la firma albanesa de ciberseguridad Alphatechs bajo el nombre de Outlaw, que tiene un historial de realizar criptominería y ataques de fuerza bruta y desde entonces ha recurrido a campañas de phishing y Spearphishing para lanzar una amplia red. «Estos correos electrónicos de phishing a menudo atraen a las víctimas para que revelen información confidencial, como credenciales de inicio de sesión o detalles financieros», dijo el investigador de seguridad Brenton Isufi en un informe publicado a finales de diciembre de 2023. Un aspecto notable del oficio de RUBYCARP es el uso de un malware llamado ShellBot ( también conocido como PerlBot) para violar los entornos de destino. También se ha observado que explota fallas de seguridad en Laravel Framework (p. ej., CVE-2021-3129), una técnica también adoptada por otros actores de amenazas como AndroxGh0st. En una señal de que los atacantes están ampliando su arsenal de métodos de acceso inicial para ampliar la escala de la botnet, Sysdig dijo que descubrió señales de que los sitios de WordPress estaban comprometidos utilizando nombres de usuario y contraseñas de uso común. «Una vez que se obtiene el acceso, se instala una puerta trasera basada en el popular Perl ShellBot», dijo la compañía. «El servidor de la víctima se conecta entonces a un [Internet Relay Chat] servidor que actúa como comando y control y se une a la botnet más grande». Se estima que la botnet comprende más de 600 hosts, con el servidor IRC («chat.juicessh[.]pro») creado el 1 de mayo de 2023. Depende en gran medida de IRC para las comunicaciones generales, así como para administrar sus botnets y coordinar campañas de criptominería. Además, los miembros del grupo, llamados Juice_, Eugen, Catalin, MUIE y Smecher, entre otros, se comunican a través de un canal IRC de Undernet llamado #cristi. También se utiliza una herramienta de escaneo masivo para encontrar nuevos hosts potenciales. La llegada de RUBYCARP a la escena de las amenazas cibernéticas no es sorprendente dada su capacidad para aprovechar la botnet para alimentar diversos flujos de ingresos ilícitos, como criptominería y operaciones de phishing para robar números de tarjetas de crédito. Si bien parece que los datos de las tarjetas de crédito robadas se utilizan para comprar infraestructura de ataque, también existe la posibilidad de que la información pueda monetizarse a través de otros medios. «Estos actores de amenazas también están involucrados en el desarrollo y venta de armas cibernéticas, lo cual no es muy común», dijo Sysdig. «Tienen un gran arsenal de herramientas que han construido a lo largo de los años». años, lo que les da una gran flexibilidad a la hora de realizar sus operaciones. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

09 de abril de 2024Sala de prensaVulnerabilidad/Seguridad de IoT Se han revelado múltiples vulnerabilidades de seguridad en LG webOS que se ejecuta en sus televisores inteligentes que podrían explotarse para eludir la autorización y obtener acceso de root en los dispositivos. Los hallazgos provienen de la empresa rumana de ciberseguridad Bitdefender, que descubrió e informó las fallas en noviembre de 2023. LG solucionó los problemas como parte de las actualizaciones publicadas el 22 de marzo de 2024. Las vulnerabilidades se rastrean desde CVE-2023-6317 hasta CVE-2023. -6320 e impacta las siguientes versiones de webOS: webOS 4.9.7 – 5.30.40 ejecutándose en LG43UM7000PLA webOS 5.5.0 – 04.50.51 ejecutándose en OLED55CXPUA webOS 6.3.3-442 (kisscurl-kinglake) – 03.36.50 ejecutándose en OLED48C1PUB webOS 7.3.1-43 (mullet-mebin) – 03.33.85 ejecutándose en OLED55A23LA A continuación se muestra una breve descripción de las deficiencias: CVE-2023-6317: una vulnerabilidad que permite a un atacante omitir la verificación del PIN y agregar un perfil de usuario privilegiado. al televisor sin requerir interacción del usuario CVE-2023-6318: una vulnerabilidad que permite al atacante elevar sus privilegios y obtener acceso raíz para tomar el control del dispositivo CVE-2023-6319: una vulnerabilidad que permite la inyección de comandos del sistema operativo manipulando una biblioteca llamada asm responsable de mostrar letras de música CVE-2023-6320: una vulnerabilidad que permite la inyección de comandos autenticados manipulando el punto final de la API com.webos.service.connectionmanager/tv/setVlanStaticAddress La explotación exitosa de las fallas podría permitir una amenaza actor para obtener permisos elevados para el dispositivo, que, a su vez, se puede encadenar con CVE-2023-6318 y CVE-2023-6319 para obtener acceso de root, o con CVE-2023-6320 para ejecutar comandos arbitrarios como usuario dbus. «Aunque el servicio vulnerable está destinado únicamente al acceso LAN, Shodan, el motor de búsqueda de dispositivos conectados a Internet, identificó más de 91.000 dispositivos que exponen este servicio a Internet», dijo Bitdefender. La mayoría de los dispositivos están ubicados en Corea del Sur, Hong Kong, Estados Unidos, Suecia, Finlandia y Letonia. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

¿Acaba de enterarse de que su información personal puede haber quedado atrapada en una violación de datos? Si es así, puedes tomar medidas para protegerte de cualquier daño en caso de que tu información llegue a manos de un estafador o ladrón. ¿Cómo se recopila esa información en primer lugar? Compartimos información personal con empresas por múltiples motivos simplemente por el día a día: para pagar comida para llevar en nuestro restaurante favorito, registrarnos en un hotel o cobrar recompensas en la cafetería local. Por supuesto, también utilizamos nuestras tarjetas de crédito y débito, a veces como parte de una cuenta en línea que rastrea nuestro historial de compras. En otras palabras, hoy en día dejamos rastros de datos prácticamente dondequiera que vayamos, y esos datos son de gran valor para los piratas informáticos. De ahí todas esas infracciones sobre las que leemos. Las violaciones de datos son una (triste) realidad de la vida Ya sea una violación importante que expone millones de registros o una de muchas otras violaciones de menor escala como las miles que han afectado a los proveedores de atención médica, cada una sirve como un recordatorio de que las violaciones de datos ocurren con regularidad y que podríamos vernos afectados. Dependiendo de la infracción y del tipo de información que haya compartido con la empresa u organización en cuestión, la información robada en una infracción podría incluir: Nombres de usuario y contraseñas Direcciones de correo electrónico Números de teléfono y direcciones particulares Información de contacto de amigos y familiares Cumpleaños y licencia de conducir números Números de tarjetas de crédito y débito o detalles de cuentas bancarias Historial de compras y actividad de la cuenta Números de seguro social ¿Qué hacen los delincuentes con esos datos? Varias cosas. Además de utilizarlos ellos mismos, pueden vender esos datos a otros delincuentes. De cualquier manera, esto puede llevar al uso ilícito de tarjetas de crédito y débito, vaciar cuentas bancarias, reclamar reembolsos de impuestos o gastos médicos en nombre de las víctimas o, en casos extremos, asumir la identidad de otras personas. Ejemplos de filtraciones de datos en los últimos años En definitiva, los datos son una especie de moneda en sí mismos porque tienen el potencial de desbloquear varios aspectos de la vida de la víctima, cada uno con su propio valor monetario. No es de extrañar que grandes infracciones como estas hayan sido noticia a lo largo de los años, y algunas de las más notables incluyen: U-Haul – 2022: una infracción que accedió a su sistema de contratos de clientes entre noviembre de 2021 y abril de 2022 expuso los nombres y números de licencia de conducir. y números de identificación estatales de 2,2 millones de inquilinos. Distrito Escolar Unificado de Los Ángeles – 2022: Los piratas informáticos liberaron 500 GB de información altamente confidencial después de una infracción y cuando no se cumplieron sus demandas posteriores de ransomware, exponiendo números de pasaporte y de Seguro Social, información de salud y evaluaciones psicológicas de algunos estudiantes. Facebook – 2021: Dos conjuntos de datos expusieron los registros de más de 530 millones de usuarios, incluidos números de teléfono, nombres de cuentas e identificaciones de Facebook. Según Facebook, la fuente de la filtración se remonta a 2019, momento en el que se subsanó la falla, aunque la información fue expuesta en 2021. Marriott International (Starwood) – 2018: Medio millón de huéspedes tenían nombres, correo electrónico y correo físico direcciones, números de teléfono, números de pasaporte, información de la cuenta de Starwood Preferred Guest, fechas de nacimiento y otra información sobre sus estadías expuestas. Equifax – 2017: Se expusieron unos 147 millones de registros que incluían nombres, direcciones, fechas de nacimiento, números de licencia de conducir y números de seguro social, junto con un subconjunto relativamente pequeño de 200.000 víctimas a las que también se les expuso la información de sus tarjetas de crédito. Como se mencionó, se trata de grandes brechas con grandes empresas que probablemente reconocemos con creces. Sin embargo, las pequeñas y medianas empresas también son objetivos: alrededor del 43% de las filtraciones de datos involucran a empresas de ese tamaño. Del mismo modo, los restaurantes y minoristas han visto comprometidos sus terminales de punto de venta (POS), e incluso los restaurantes del vecindario. Mantenerse seguro ante violaciones de datos Cuando una empresa sufre una violación de datos, los clientes deben darse cuenta de que esto podría afectar su seguridad en línea. Si se filtra la base de datos de clientes de su cafetería favorita, existe la posibilidad de que su información personal o financiera haya quedado expuesta. Sin embargo, esto no significa que su seguridad en línea esté condenada al fracaso. Si cree que se vio afectado por una infracción, puede tomar varias medidas para protegerse de los posibles efectos secundarios. 1. Vigile sus cuentas bancarias y de tarjetas de crédito. Una de las formas más efectivas de determinar si alguien está utilizando de manera fraudulenta una o más de sus cuentas es verificar sus extractos. Si ve algún cargo que no realizó, infórmelo a su banco o compañía de tarjeta de crédito de inmediato. Tienen procesos implementados para manejar el fraude. Mientras esté con ellos, vea si ofrecen alertas sobre compras, transacciones o retiros extraños. Nuestro servicio de seguimiento de crédito puede ayudarle a estar atento a esto. Supervisa los cambios en su puntaje crediticio, informe y cuentas con notificaciones y orientación oportunas para que pueda tomar medidas para abordar el robo de identidad. 2. Supervise su identidad con la ayuda de un servicio. La información violada y robada a menudo termina en mercados de la web oscura donde los piratas informáticos, estafadores y ladrones la compran para cometer aún más delitos. Antes era difícil saber si su información estaba atrapada en dichos mercados, pero ahora un servicio de monitoreo de identidad puede hacer el trabajo de detective por usted. Nuestro servicio monitorea la web oscura en busca de su información personal, incluido el correo electrónico, identificaciones gubernamentales, información de tarjetas de crédito y cuentas bancarias, y más. Esto puede ayudar a mantener segura su información personal con alertas tempranas que le muestran si sus datos se encuentran en la web oscura, un promedio de 10 meses antes que servicios similares. A partir de ahí, obtendrá orientación sobre la que puede actuar, que puede ayudar a proteger su información y sus cuentas contra robos. 3. Coloque una alerta de fraude Si sospecha que sus datos podrían haber sido comprometidos, coloque una alerta de fraude en su crédito. Esto no solo garantiza que cualquier solicitud nueva o reciente se someta a un escrutinio, sino que también le permite tener copias adicionales de su informe crediticio para que pueda verificar si hay actividad sospechosa. Puede colocar una alerta de fraude en cualquiera de las tres principales agencias de informes crediticios (Equifax, Experian, TransUnion) y ellas notificarán a las otras dos. Una alerta de fraude suele durar un año, aunque también existen opciones para extenderla. 4. Considere congelar su crédito si es necesario Congelar su crédito hará que sea muy difícil para los delincuentes obtener préstamos o abrir nuevas cuentas a su nombre, ya que un congelamiento detiene todas las solicitudes para retirar su crédito, incluso las legítimas. De esta manera, es una medida mucho más fuerte que colocar una alerta de fraude. Tenga en cuenta que si planea solicitar un préstamo, abrir una nueva tarjeta de crédito u otra actividad que genere un informe crediticio, deberá tomar medidas adicionales para llevarlo a cabo mientras la congelación esté vigente. (La organización con la que está trabajando puede ayudarlo con los detalles). A diferencia de la alerta de fraude, deberá comunicarse con cada agencia importante de informes crediticios para implementar una. Además, la congelación dura mientras la tengas colocada. Tendrás que eliminarlo tú mismo, nuevamente con cada agencia. Puede administrar este proceso de manera centralizada con nuestro servicio de congelación de seguridad, que impide que las empresas revisen su perfil crediticio y, por lo tanto, detiene el proceso de solicitud de préstamos, tarjetas de crédito, servicios públicos, nuevas cuentas bancarias y más. Un congelamiento de seguridad no afectará su puntaje crediticio. 5. Actualice sus contraseñas Asegúrese de que sus contraseñas sean seguras y únicas. Muchas personas utilizan la misma contraseña o variaciones de ella en todas sus cuentas. Por lo tanto, asegúrese de diversificar sus contraseñas para garantizar que los piratas informáticos no puedan obtener acceso a todas sus cuentas a la vez, en caso de que una contraseña se vea comprometida. También puede emplear un administrador de contraseñas para realizar un seguimiento de sus credenciales, como el que encontrará en un completo software de protección en línea. 6. Considere contratar una cobertura contra robo de identidad. Si le sucede algo desafortunado, un servicio de restauración y cobertura contra robo de identidad puede ayudarlo a recuperarse. El nuestro ofrece $1 millón en cobertura para honorarios de abogados, gastos de viaje y reembolso de fondos robados. Además, brinda apoyo de un experto en recuperación autorizado que puede tomar las medidas necesarias para reparar su identidad y crédito. En definitiva, le ayuda a recuperar los costos del robo de identidad junto con el tiempo y el dinero que lleva recuperarse del mismo. 7. Limpia tus datos personales en línea. Puedes realizar este paso en cualquier momento, incluso si no te has visto atrapado en una violación de datos. El hecho es que las empresas de intermediación de datos recopilan y venden miles de datos sobre millones y millones de personas en todo el mundo, parte de una economía global estimada en 200 mil millones de dólares al año. Y se la venderán a cualquiera, desde anunciantes para sus campañas hasta estafadores que la usarán para correos electrónicos, mensajes de texto y llamadas spam, y ladrones que usan esa información para el robo de identidad. Sin embargo, puedes limpiarlo. Nuestro servicio de limpieza de datos personales puede escanear algunos de los sitios de corredores de datos más riesgosos y mostrarle cuáles venden su información personal. También proporciona orientación sobre cómo puede eliminar sus datos de esos sitios y, con productos seleccionados, incluso administrar la eliminación por usted. 8. Utilice software de protección en línea y amplíe su caja de herramientas de seguridad. El software de protección en línea integral le ofrecerá las herramientas y servicios enumerados anteriormente, junto con otras funciones que pueden protegerlo en línea. Eso incluye una VPN para mantener su tiempo en línea más privado de la recopilación de datos en línea y al mismo tiempo protegerlo de los ladrones que intentan robar información de cuentas y tarjetas de crédito. También incluye protección de navegación web que puede advertirle sobre sitios web sospechosos y descargas maliciosas que buscan robar su información. En definitiva, se trata de una protección exhaustiva para sus dispositivos, su privacidad y su identidad. Y en una época de filtraciones de datos, ese tipo de protección se ha vuelto esencial. Presentamos McAfee+ Protección contra robo de identidad y privacidad para su vida digital Descargue McAfee+ ahora \x3Cimg height=»1″ width=»1″ style=»display:none» src=»https://www.facebook.com/tr?id= 766537420057144&ev=PageView&noscript=1″ />\x3C/noscript>’);

08 de abril de 2024Sala de prensaCibercrimen/Seguridad de red Los cazadores de amenazas han descubierto un nuevo malware llamado Latrodectus que se ha distribuido como parte de campañas de phishing por correo electrónico desde al menos finales de noviembre de 2023. «Latrodectus es un descargador prometedor con varias evasiones de sandbox funcionalidad», dijeron investigadores de Proofpoint y Team Cymru en un análisis conjunto publicado la semana pasada, y agregaron que está diseñado para recuperar cargas útiles y ejecutar comandos arbitrarios. Hay evidencia que sugiere que el malware probablemente esté escrito por los mismos actores de amenazas detrás del malware IcedID, y que los corredores de acceso inicial (IAB) utilizan el descargador para facilitar la implementación de otro malware. Latrodectus se ha vinculado principalmente a dos IAB diferentes rastreados por Proofpoint con los nombres TA577 (también conocido como Water Curupira) y TA578, el primero de los cuales también se ha vinculado a la distribución de QakBot y PikaBot. A mediados de enero de 2024, TA578 lo ha empleado casi exclusivamente en campañas de amenazas por correo electrónico, en algunos casos entregado a través de una infección de DanaBot. TA578, que se sabe que está activo desde al menos mayo de 2020, se ha vinculado a campañas basadas en correo electrónico que entregan Ursnif, IcedID, KPOT Stealer, Buer Loader, BazaLoader, Cobalt Strike y Bumblebee. Las cadenas de ataque aprovechan los formularios de contacto en los sitios web para enviar amenazas legales sobre supuestas infracciones de derechos de autor a las organizaciones específicas. Los enlaces incrustados en los mensajes dirigen a los destinatarios a un sitio web falso para engañarlos y descargar un archivo JavaScript que es responsable de iniciar la carga útil principal utilizando msiexec. «Latrodectus publicará información cifrada del sistema en el servidor de comando y control (C2) y solicitará la descarga del bot», dijeron los investigadores. «Una vez que el bot se registra en el C2, envía solicitudes de comandos desde el C2». También viene con capacidades para detectar si se está ejecutando en un entorno aislado al verificar si el host tiene una dirección MAC válida y si hay al menos 75 procesos en ejecución en sistemas que ejecutan Windows 10 o posterior. Como en el caso de IcedID, Latrodectus está diseñado para enviar la información de registro en una solicitud POST al servidor C2 donde los campos son parámetros HTTP unidos y cifrados, después de lo cual espera más instrucciones del servidor. Los comandos permiten que el malware enumere archivos y procesos, ejecute archivos binarios y DLL, ejecute directivas arbitrarias a través de cmd.exe, actualice el bot e incluso cierre un proceso en ejecución. Un examen más detallado de la infraestructura del atacante revela que los primeros servidores C2 cobraron vida el 18 de septiembre de 2023. Estos servidores, a su vez, están configurados para comunicarse con un servidor de nivel 2 ascendente que se configuró alrededor de agosto de 2023. Conexiones de Latrodectus a IcedID surge del hecho de que el servidor T2 «mantiene conexiones con la infraestructura backend asociada con IcedID» y el uso de jump boxes previamente asociados con las operaciones de IcedID. «Latrodectus será cada vez más utilizado por actores de amenazas con motivación financiera en todo el panorama criminal, particularmente aquellos que anteriormente distribuían IcedID», evaluó el equipo Cymru. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

08 de abril de 2024Sala de redacciónSoftware Seguridad/Ciberseguridad Google ha anunciado soporte para lo que se llama V8 Sandbox en el navegador web Chrome en un esfuerzo por abordar los problemas de corrupción de memoria. El sandbox, según el líder técnico de seguridad de V8, Samuel Groß, tiene como objetivo evitar que «la corrupción de la memoria en V8 se propague dentro del proceso del host». El gigante de las búsquedas ha descrito V8 Sandbox como un entorno de pruebas ligero y en proceso para el motor JavaScript y WebAssembly que está diseñado para mitigar las vulnerabilidades comunes de V8. La idea es limitar el impacto de las vulnerabilidades de V8 restringiendo el código ejecutado por V8 a un subconjunto del espacio de direcciones virtuales del proceso («la zona de pruebas») y aislándolo del resto del proceso. Las deficiencias que afectan a V8 representaron una parte importante de las vulnerabilidades de día cero que Google abordó entre 2021 y 2023, con hasta 16 fallas de seguridad descubiertas durante ese período. «El sandbox supone que un atacante puede modificar de forma arbitraria y simultánea cualquier memoria dentro del espacio de direcciones del sandbox, ya que esta primitiva puede construirse a partir de vulnerabilidades típicas de V8», dijo el equipo de Chromium. «Además, se supone que un atacante podrá leer la memoria fuera de la zona de pruebas, por ejemplo, a través de canales laterales del hardware. La zona de pruebas pretende entonces proteger el resto del proceso de dicho atacante. Como tal, cualquier corrupción de La memoria fuera del espacio de direcciones de la zona de pruebas se considera una infracción de la zona de pruebas». Groß enfatizó los desafíos que implica abordar las vulnerabilidades de V8 cambiando a un lenguaje seguro para la memoria como Rust o enfoques de seguridad de la memoria del hardware, como el etiquetado de la memoria, dados los «problemas lógicos sutiles» que pueden explotarse para corromper la memoria, a diferencia de los errores clásicos de seguridad de la memoria como use-after-frees, accesos fuera de límites y otros. «Casi todas las vulnerabilidades encontradas y explotadas en V8 hoy en día tienen una cosa en común: la eventual corrupción de la memoria ocurre necesariamente dentro del montón de V8 porque el compilador y el tiempo de ejecución operan (casi) exclusivamente en instancias de HeapObject de V8», dijo Groß. Dado que estos problemas no pueden protegerse con las mismas técnicas utilizadas para las vulnerabilidades típicas de corrupción de memoria, V8 Sandbox está diseñado para aislar la memoria del montón de V8 de modo que, si se produce alguna corrupción de memoria, no pueda escapar de los límites de seguridad a otras partes del proceso. memoria. Esto se logra reemplazando todos los tipos de datos que pueden acceder a la memoria fuera de la zona de pruebas con alternativas «compatibles con la zona de pruebas», evitando así de manera efectiva que un atacante acceda a otra memoria. La zona de pruebas se puede habilitar configurando «v8_enable_sandbox» en verdadero en gn args. Los resultados comparativos de Speedometer y JetStream muestran que la función de seguridad agrega una sobrecarga de aproximadamente el 1% en cargas de trabajo típicas, lo que permite habilitarla de forma predeterminada a partir de la versión 123 de Chrome, que abarca Android, ChromeOS, Linux, macOS y Windows. «El V8 Sandbox requiere un sistema de 64 bits, ya que necesita reservar una gran cantidad de espacio de direcciones virtuales, actualmente un terabyte», dijo Groß. «La zona de pruebas está motivada por el hecho de que las tecnologías actuales de seguridad de la memoria son en gran medida inaplicables para optimizar los motores JavaScript. Si bien estas tecnologías no logran prevenir la corrupción de la memoria en el propio V8, de hecho pueden proteger la superficie de ataque de la zona de pruebas V8. Por lo tanto, la zona de pruebas es necesaria paso hacia la seguridad de la memoria.» El desarrollo se produce cuando Google destacó el papel de Kernel Address Sanitizer (KASan) en la detección de errores de memoria en el código nativo y ayuda a reforzar la seguridad del firmware de Android, y agregó que utilizó la herramienta basada en compilador para descubrir más de 40 errores. «El uso de compilaciones habilitadas para KASan durante las pruebas y/o la fuzzing puede ayudar a detectar vulnerabilidades de corrupción de memoria y problemas de estabilidad antes de que lleguen a los dispositivos de los usuarios», dijeron Eugene Rodionov e Ivan Lozano del equipo de Android. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

Múltiples actores de amenazas del nexo con China han sido vinculados a la explotación de día cero de tres fallas de seguridad que afectan a los dispositivos Ivanti (CVE-2023-46805, CVE-2024-21887 y CVE-2024-21893). Mandiant realiza un seguimiento de los grupos bajo los apodos no categorizados UNC5221, UNC5266, UNC5291, UNC5325, UNC5330 y UNC5337. También anteriormente vinculado a la ola de explotación está un equipo de piratería chino llamado UNC3886, cuyo oficio se destaca por convertir errores de día cero en Fortinet y VMware como armas para violar las redes objetivo. La filial de Google Cloud dijo que también ha observado actores con motivación financiera que explotan CVE-2023-46805 y CVE-2024-21887, probablemente en un intento de realizar operaciones de minería de criptomonedas. «UNC5266 se superpone en parte con UNC3569, un actor de espionaje del nexo con China que se ha observado explotando vulnerabilidades en Aspera Faspex, Microsoft Exchange y Oracle Web Applications Desktop Integrator, entre otros, para obtener acceso inicial a los entornos de destino», dijeron los investigadores de Mandiant. El actor de amenazas ha sido vinculado a una actividad posterior a la explotación que condujo al despliegue del marco de comando y control (C2) de Sliver, una variante del ladrón de credenciales WARPWIRE y una nueva puerta trasera basada en Go denominada TERRIBLETEA que viene con la ejecución de comandos. , registro de teclas, escaneo de puertos, interacción del sistema de archivos y funciones de captura de pantalla. UNC5330, que se ha observado combinando CVE-2024-21893 y CVE-2024-21887 para violar los dispositivos Ivanti Connect Secure VPN al menos desde febrero de 2024, ha aprovechado malware personalizado como TONERJAM y PHANTOMNET para facilitar acciones posteriores al compromiso – PHANTOMNET – A puerta trasera modular que se comunica mediante un protocolo de comunicación personalizado a través de TCP y emplea un sistema basado en complementos para descargar y ejecutar cargas útiles adicionalesTONERJAM: un iniciador diseñado para descifrar y ejecutar PHANTOMNET Además de utilizar el Instrumental de administración de Windows (WMI) para realizar reconocimiento, moverse lateralmente y manipular entradas de registro y establecer persistencia, se sabe que UNC5330 compromete las cuentas de enlace LDAP configuradas en los dispositivos infectados para obtener acceso de administrador de dominio. Otro actor de espionaje notable vinculado a China es UNC5337, que se dice que se infiltró en dispositivos Ivanti ya en enero de 2024 utilizando CVE-2023-46805 y CVE-2024 para entregar un conjunto de herramientas de malware personalizado conocido como SPAWN que comprende cuatro componentes distintos que funcionan en tándem para funcionar como una puerta trasera sigilosa y persistente: SPAWNSNAIL: una puerta trasera pasiva que escucha en el host local y está equipada para iniciar un shell bash interactivo, así como para iniciar SPAWNSLOTHSPAWNMOLE: una utilidad de tunelización que es capaz de dirigir tráfico malicioso a un host específico mientras pasa datos benignos. tráfico sin modificar al servidor web Connect Secure SPAWNANT: un instalador que es responsable de garantizar la persistencia de SPAWNMOLE y SPAWNSNAIL aprovechando una función de instalación de arranque central SPAWNSLOTH: un programa de manipulación de registros que deshabilita el registro y el reenvío de registros a un servidor syslog externo cuando el implante SPAWNSNAIL está Mandiant en ejecución ha evaluado con confianza media que UNC5337 y UNC5221 son el mismo grupo de amenazas, señalando que la herramienta SPAWN está «diseñada para permitir el acceso a largo plazo y evitar la detección». UNC5221, que anteriormente se atribuía a shells web como BUSHWALK, CHAINLINE, FRAMESTING y LIGHTWIRE, también ha desatado un shell web basado en Perl denominado ROOTROT que está integrado en un archivo .ttc legítimo de Connect Secure ubicado en «/data/runtime /tmp/tt/setcookie.thtml.ttc» explotando CVE-2023-46805 y CVE-2024-21887. Una implementación exitosa del shell web es seguida por un reconocimiento de la red y un movimiento lateral, lo que en algunos casos resulta en el compromiso de un servidor vCenter en la red víctima por medio de una puerta trasera de Golang llamada BRICKSTORM. «BRICKSTORM es una puerta trasera Go dirigida a servidores VMware vCenter», explicaron los investigadores de Mandiant. «Admite la capacidad de configurarse como un servidor web, realizar manipulación de directorios y sistemas de archivos, realizar operaciones de archivos como cargar/descargar, ejecutar comandos de shell y realizar retransmisión SOCKS». El último de los cinco grupos con sede en China vinculados al abuso de las fallas de seguridad de Ivanti es UNC5291, que según Mandiant probablemente tiene asociaciones con otro grupo de piratería informática UNC3236 (también conocido como Volt Typhoon), principalmente debido a que apunta a sectores académicos, energéticos, de defensa y sectores de salud. «La actividad de este clúster comenzó en diciembre de 2023 centrándose en Citrix Netscaler ADC y luego pasó a centrarse en los dispositivos Ivanti Connect Secure después de que los detalles se hicieran públicos a mediados de enero de 2024», dijo la compañía. Los hallazgos subrayan una vez más la amenaza que enfrentan los dispositivos de punta, ya que los actores de espionaje utilizan una combinación de fallas de día cero, herramientas de código abierto y puertas traseras personalizadas para adaptar su oficio en función de sus objetivos para evadir la detección durante períodos prolongados. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.