Etiqueta: noticias de hackers Página 6 de 44

Un grupo de hackers conocido como Twelve ha sido observado utilizando un arsenal de herramientas disponibles públicamente para llevar a cabo ciberataques destructivos contra objetivos rusos. «En lugar de exigir un rescate por descifrar los datos, Twelve prefiere cifrar los datos de las víctimas y luego destruir su infraestructura con un limpiador para evitar su recuperación», dijo Kaspersky en un análisis del viernes. «El enfoque es indicativo de un deseo de causar el máximo daño a las organizaciones objetivo sin obtener un beneficio financiero directo». El grupo de piratas informáticos, que se cree que se formó en abril de 2023 tras el inicio de la guerra entre Rusia y Ucrania, tiene un historial de montar ciberataques que tienen como objetivo paralizar las redes de las víctimas e interrumpir las operaciones comerciales. También se le ha observado realizando operaciones de piratería y filtración que exfiltran información confidencial, que luego se comparte en su canal de Telegram. Kaspersky afirma que Twelve comparte infraestructuras y superposiciones tácticas con un grupo de ransomware llamado DARKSTAR (también conocido como COMET o Shadow), lo que aumenta la posibilidad de que los dos grupos de intrusos estén relacionados entre sí o formen parte del mismo grupo de actividades. «Al mismo tiempo, mientras que las acciones de Twelve son claramente de naturaleza hacktivista, DARKSTAR se apega al patrón clásico de doble extorsión», dijo el proveedor ruso de ciberseguridad. «Esta variación de objetivos dentro del sindicato subraya la complejidad y diversidad de las ciberamenazas modernas». Las cadenas de ataque comienzan con la obtención de acceso inicial mediante el abuso de cuentas locales o de dominio válidas, después de lo cual se utiliza el Protocolo de escritorio remoto (RDP) para facilitar el movimiento lateral. Algunos de estos ataques también se llevan a cabo a través de los contratistas de la víctima. «Para hacer esto, obtuvieron acceso a la infraestructura del contratista y luego usaron su certificado para conectarse a la VPN de su cliente», señaló Kaspersky. «Una vez obtenido el acceso, el adversario puede conectarse a los sistemas del cliente a través del Protocolo de escritorio remoto (RDP) y luego penetrar en la infraestructura del cliente». Entre las otras herramientas utilizadas por Twelve se destacan Cobalt Strike, Mimikatz, Chisel, BloodHound, PowerView, adPEAS, CrackMapExec, Advanced IP Scanner y PsExec para el robo de credenciales, el descubrimiento, el mapeo de redes y la escalada de privilegios. Las conexiones RDP maliciosas al sistema se tunelizan a través de ngrok. También se han implementado shells web PHP con capacidades para ejecutar comandos arbitrarios, mover archivos o enviar correos electrónicos. Estos programas, como el shell web WSO, están disponibles en GitHub. En un incidente investigado por Kaspersky, se dice que los actores de la amenaza explotaron vulnerabilidades de seguridad conocidas (por ejemplo, CVE-2021-21972 y CVE-2021-22005) en VMware vCenter para entregar un shell web que luego se utilizó para instalar una puerta trasera denominada FaceFish. «Para afianzarse en la infraestructura del dominio, el adversario utilizó PowerShell para agregar usuarios y grupos del dominio y para modificar las ACL (listas de control de acceso) para los objetos de Active Directory», dijo. «Para evitar ser detectados, los atacantes disfrazaron su malware y sus tareas bajo los nombres de productos o servicios existentes». Algunos de los nombres utilizados incluyen «Update Microsoft», «Yandex», «YandexUpdate» e «intel.exe». Los ataques también se caracterizan por el uso de un script de PowerShell («Sophos_kill_local.ps1») para finalizar los procesos relacionados con el software de seguridad de Sophos en el host comprometido. Las etapas finales implican el uso del Programador de tareas de Windows para ejecutar ransomware y cargas útiles de borrado, pero no antes de recopilar y exfiltrar información confidencial sobre sus víctimas a través de un servicio de intercambio de archivos llamado DropMeFiles en forma de archivos ZIP. «Los atacantes utilizaron una versión del popular ransomware LockBit 3.0, compilado a partir de código fuente disponible públicamente, para cifrar los datos», dijeron los investigadores de Kaspersky. «Antes de comenzar a trabajar, el ransomware finaliza los procesos que pueden interferir con el cifrado de archivos individuales». El limpiador, idéntico al malware Shamoon, reescribe el registro de arranque maestro (MBR) en las unidades conectadas y sobrescribe todo el contenido de los archivos con bytes generados aleatoriamente, lo que impide de manera efectiva la recuperación del sistema. «El grupo se apega a un arsenal de herramientas de malware disponible públicamente y familiar, lo que sugiere que no fabrica ninguna propia», señaló Kaspersky. «Esto hace posible detectar y prevenir los ataques de Twelve a su debido tiempo». ¿Le resultó interesante este artículo? Síganos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

En los entornos de TI, algunos secretos se gestionan bien y otros pasan desapercibidos. A continuación, se incluye una lista rápida de los tipos de secretos que suelen gestionar las empresas, incluido un tipo que deberían gestionar: Contraseñas [x]
Certificados TLS [x]
Cuentas [x]
Claves SSH ??? Los secretos enumerados anteriormente suelen estar protegidos con soluciones de gestión de acceso privilegiado (PAM) o similares. Sin embargo, la mayoría de los proveedores de PAM tradicionales apenas hablan de la gestión de claves SSH. La razón es sencilla: no tienen la tecnología para hacerlo correctamente. Podemos demostrarlo. Todos nuestros clientes de gestión de claves SSH han implementado un PAM tradicional, pero se dieron cuenta de que no podían gestionar claves SSH con él. En el mejor de los casos, los PAM tradicionales pueden descubrir, y mucho menos gestionar, el 20% de todas las claves. Entonces, ¿a qué se debe todo el alboroto sobre las claves SSH? Las claves SSH son credenciales de acceso en el protocolo Secure Shell (SSH). En muchos sentidos, son como contraseñas, pero funcionalmente diferentes. Además de eso, las claves tienden a superar en número a las contraseñas, especialmente en entornos de TI de larga data, en una proporción de 10:1. Si bien solo algunas contraseñas son privilegiadas, casi todas las claves SSH abren puertas a algo valioso. Una clave también puede abrir puertas a varios servidores, como una llave maestra en las mansiones antiguas. Una clave raíz permite el acceso de administrador a un solo servidor o a varios. Después de realizar una evaluación de riesgos con nosotros, uno de nuestros clientes descubrió una clave raíz que permitía el acceso a TODOS sus servidores. Otro riesgo es que cualquiera puede autoabastecerse claves SSH. No se administran de forma centralizada y es por diseño. Es por eso que la proliferación de claves es un problema persistente en los entornos de TI a gran escala. Hay aún más: las claves no vienen con una identidad de forma predeterminada, por lo que compartirlas o duplicarlas es muy fácil. Además, con terceros. De forma predeterminada, las claves nunca caducan. Además de todo esto, existen conexiones interactivas y automatizadas, las últimas de las cuales son más frecuentes. Se ejecutan millones de conexiones automatizadas de aplicación a aplicación, servidor a servidor y máquina a máquina utilizando SSH todos los días, pero no hay suficientes organizaciones (la mayoría de ellas nuestros clientes) que tengan control sobre las credenciales SSH de la máquina. Estoy seguro de que has entendido el punto: tu entorno de TI puede estar plagado de claves para tu reino, pero no sabes cuántas hay, quién las está usando, cuáles son legítimas y cuáles deberían eliminarse, las claves no tienen fecha de caducidad y se pueden crear más a voluntad sin una supervisión adecuada. El problema clave es tu problema clave. ¿Por qué los PAM tradicionales no pueden manejar claves SSH? Debido a que las claves SSH son funcionalmente diferentes a las contraseñas, los PAM tradicionales no las gestionan muy bien. Los PAM tradicionales se crearon para almacenar contraseñas, e intentan hacer lo mismo con las claves. Sin entrar en demasiados detalles sobre la funcionalidad de las claves (como las claves públicas y privadas), almacenar claves privadas y entregarlas cuando se solicita simplemente no funciona. Las claves deben estar protegidas en el lado del servidor, de lo contrario, mantenerlas bajo control es un esfuerzo inútil. Además, tu solución necesita descubrir claves primero para gestionarlas. La mayoría de los PAM no pueden. También hay archivos de configuración de claves y otros elementos clave (!) involucrados que los PAM tradicionales pasan por alto. Lea más en el siguiente documento: Su PAM no está completo sin la administración de claves SSH Incluso si su organización administra el 100% de sus contraseñas, lo más probable es que aún le falte el 80% de sus credenciales críticas si no administra claves SSH. Como inventores del protocolo Secure Shell (SSH), en SSH Communications Security somos la fuente original de la credencial de acceso llamada clave SSH. Conocemos los entresijos de su administración. Su PAM no está a prueba de futuro sin acceso sin credenciales Volvamos al tema de las contraseñas. Incluso si las tiene en bóveda, no las está administrando de la mejor manera posible. Los entornos modernos y dinámicos (que utilizan servidores en la nube internos o alojados, contenedores u orquestación de Kubernetes) no funcionan bien con bóvedas o con PAM que se crearon hace 20 años. Por eso ofrecemos un acceso efímero moderno, en el que los secretos necesarios para acceder a un objetivo se otorgan justo a tiempo para la sesión y caducan automáticamente una vez que se realiza la autenticación. Esto no deja contraseñas ni claves que administrar, en absoluto. Nuestra solución también es no intrusiva: implementarla requiere cambios mínimos en su entorno de producción. ¿Qué le parece esto para reducir la superficie de ataque, eliminar la complejidad, ahorrar costos y minimizar el riesgo? Lea más aquí: Entonces, la mejor manera de administrar contraseñas Y claves es no tener que administrarlas en absoluto y pasar a la administración de secretos efímeros en su lugar. Así: «Ojalá todavía estuviera rotando contraseñas y claves». ¡Ningún cliente lo ha dicho nunca! Una vez que se deja de usar credenciales, no se vuelve atrás. Escuche el ejemplo de nuestros clientes que han calificado nuestra solución con una puntuación NPS de 71, lo cual es astronómico en el campo de la ciberseguridad. Los PAM tradicionales han funcionado bien hasta ahora, pero es hora de preparar su entorno para el futuro con una solución moderna que le permita dejar de usar contraseñas y claves. A un ritmo que le resulte cómodo. Consulta nuestra suite PrivX Zero Trust para aprender a gestionar el acceso y los secretos de forma integral. ¿Te ha parecido interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Las autoridades policiales han anunciado el desmantelamiento de una red criminal internacional que utilizaba una plataforma de phishing para desbloquear teléfonos móviles robados o perdidos. Se estima que la plataforma de phishing como servicio (PhaaS), llamada iServer, se ha cobrado más de 483.000 víctimas en todo el mundo, encabezadas por Chile (77.000), Colombia (70.000), Ecuador (42.000), Perú (41.500), España (30.000) y Argentina (29.000). «Las víctimas son principalmente ciudadanos de habla hispana de países europeos, norteamericanos y sudamericanos», indicó Europol en un comunicado de prensa. La operación, denominada Operación Kaerb, contó con la participación de organismos policiales y judiciales de España, Argentina, Chile, Colombia, Ecuador y Perú. En el marco del ejercicio conjunto que tuvo lugar entre el 10 y el 17 de septiembre, se ha detenido a un ciudadano argentino responsable del desarrollo y funcionamiento del servicio PhaaS desde 2018. En total, la operación dio lugar a 17 arrestos, 28 registros y la incautación de 921 artículos, incluidos teléfonos móviles, dispositivos electrónicos, vehículos y armas. Se cree que hasta la fecha se han desbloqueado hasta 1,2 millones de teléfonos móviles. «Si bien iServer era esencialmente una plataforma de phishing automatizada, su enfoque específico en la recolección de credenciales para desbloquear teléfonos robados la diferenciaba de las típicas ofertas de phishing como servicio», dijo Group-IB. iServer, según la empresa con sede en Singapur, ofrecía una interfaz web que permitía a los delincuentes poco cualificados, conocidos como «desbloqueadores», extraer contraseñas de dispositivos y credenciales de usuario de plataformas móviles basadas en la nube, lo que esencialmente les permitía eludir el modo perdido y desbloquear los dispositivos. El administrador del sindicato criminal anunció el acceso a estos desbloqueadores, quienes, a su vez, utilizaron iServer no solo para realizar desbloqueos de phishing, sino también para vender sus ofertas a otros terceros, como los ladrones de teléfonos. Los desbloqueadores también son responsables de enviar mensajes falsos a las víctimas de robo de teléfonos que tienen como objetivo recopilar datos que permitan el acceso a esos dispositivos. Esto se logra enviando mensajes de texto SMS que instan a los destinatarios a localizar su teléfono perdido haciendo clic en un enlace. Esto desencadena una cadena de redireccionamiento que finalmente lleva a la víctima a una página de destino que le solicita que ingrese sus credenciales, código de acceso del dispositivo y códigos de autenticación de dos factores (2FA), que luego se utilizan para obtener acceso ilícito al dispositivo, desactivar el modo Perdido y desvincular el dispositivo de la cuenta del propietario. «iServer automatiza la creación y entrega de páginas de phishing que imitan plataformas móviles populares basadas en la nube, presentando varias implementaciones únicas que mejoran su efectividad como herramienta de ciberdelito», dijo Group-IB. La plataforma Ghost cae en acción global El desarrollo se produce cuando Europol y la Policía Federal Australiana (AFP) revelaron el desmantelamiento de una red de comunicaciones cifradas llamada Ghost («www.ghostchat»).[.]La plataforma, que venía incluida en un teléfono inteligente Android personalizado por unos 1.590 dólares por una suscripción de seis meses, se utilizó para llevar a cabo una amplia gama de actividades ilegales, como el tráfico, el blanqueo de dinero e incluso actos de violencia extrema. Es solo la última incorporación a una lista de servicios similares como Phantom Secure, EncroChat, Sky ECC y Exclu que se han cerrado por motivos similares. «La solución utilizaba tres estándares de cifrado y ofrecía la opción de enviar un mensaje seguido de un código específico que daría como resultado la autodestrucción de todos los mensajes en el teléfono objetivo», dijo Europol. «Esto permitió a las redes criminales comunicarse de forma segura, evadir la detección, contrarrestar las medidas forenses y coordinar sus operaciones ilegales a través de las fronteras». Se cree que varios miles de personas han utilizado la plataforma, con alrededor de 1.000 mensajes intercambiados a través del servicio cada día antes de su interrupción. En el transcurso de la investigación que comenzó en marzo de 2022, se ha arrestado a 51 sospechosos: 38 en Australia, Once de ellos pertenecen a Irlanda, uno a Canadá y otro a Italia, pertenecientes al grupo mafioso italiano Sacra Corona Unita. Encabezando la lista está un hombre de 32 años de Sydney, Nueva Gales del Sur, acusado de crear y administrar Ghost como parte de la Operación Kraken, junto con otros acusados ​​de utilizar la plataforma para traficar cocaína y cannabis, distribuir drogas y fabricar un falso complot terrorista. Se cree que el administrador, Jay Je Yoon Jung, puso en marcha la empresa criminal hace nueve años, lo que le reportó millones de dólares en beneficios ilegítimos. Fue detenido en su casa de Narwee. La operación también ha dado lugar al desmantelamiento de un laboratorio de drogas en Australia, así como a la confiscación de armas, drogas y un millón de euros en efectivo. La AFP afirmó que se infiltró en la infraestructura de la plataforma para organizar un ataque a la cadena de suministro de software modificando el proceso de actualización del software para obtener acceso al contenido almacenado en 376 teléfonos activos ubicados en Australia. «El panorama de las comunicaciones cifradas se ha fragmentado cada vez más como resultado de las recientes acciones de las fuerzas del orden dirigidas a las plataformas utilizadas por las redes delictivas», señaló Europol. «Los actores delictivos, en respuesta, están recurriendo a una variedad de herramientas de comunicación menos establecidas o personalizadas que ofrecen distintos grados de seguridad y anonimato. Al hacerlo, buscan nuevas soluciones técnicas y también utilizan aplicaciones de comunicación populares para diversificar sus métodos». La agencia de aplicación de la ley, además de destacar la necesidad de acceso a las comunicaciones entre sospechosos para abordar delitos graves, pidió a las empresas privadas que se aseguren de que sus plataformas no se conviertan en refugios seguros para los malos actores y proporcionen formas de acceso legal a los datos «bajo supervisión judicial y en pleno respeto de los derechos fundamentales». Alemania desmantela 47 casas de cambio de criptomonedas Las acciones también coinciden con la incautación por parte de Alemania de 47 servicios de cambio de criptomonedas alojados en el país que permitían actividades ilegales de lavado de dinero para ciberdelincuentes, incluidos grupos de ransomware, distribuidores de la darknet y operadores de botnet. La operación ha recibido el nombre en código de Final Exchange. Los servicios han sido acusados ​​de no implementar programas de Conozca a su Cliente (KYC) o de lucha contra el blanqueo de dinero y de ocultar intencionadamente el origen de los fondos obtenidos de forma delictiva, permitiendo así que florezca el cibercrimen. No se anunció públicamente ninguna detención. «Los servicios de intercambio permitían transacciones de trueque sin pasar por un proceso de registro y sin comprobar la prueba de identidad», dijo la Oficina Federal de Policía Criminal (también conocida como Bundeskriminalamt). «La oferta tenía como objetivo intercambiar criptomonedas de forma rápida, sencilla y anónima por otras criptomonedas o monedas digitales para ocultar su origen». El Departamento de Justicia de EE. UU. acusa a dos personas por una estafa de criptomonedas por valor de 230 millones de dólares El Departamento de Justicia de EE. UU. (DoJ) ha anunciado que dos sospechosos han sido arrestados y acusados ​​de conspiración para robar y blanquear más de 230 millones de dólares en criptomonedas de una víctima anónima en Washington DC. Malone Lam, de 20 años, y Jeandiel Serrano, de 21, y otros co-conspiradores presuntamente han llevado a cabo robos de criptomonedas al menos desde agosto de 2024 al obtener acceso a las cuentas de las víctimas, que luego fueron blanqueadas a través de varios intercambios y servicios de mezcla. Las ganancias mal habidas se utilizaron luego para financiar un estilo de vida extravagante, como viajes internacionales, clubes nocturnos, automóviles de lujo, relojes, joyas, bolsos de diseño y casas de alquiler en Los Ángeles y Miami. «Ellos blanquearon las ganancias, incluso moviendo los fondos a través de varios mezcladores e intercambios utilizando ‘peel chains’, billeteras de paso y redes privadas virtuales (VPN) para ocultar sus verdaderas identidades», dijo el DoJ. ¿Te ha parecido interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

16 de septiembre de 2024Ravie LakshmananSeguridad financiera / Malware Los investigadores de ciberseguridad siguen advirtiendo sobre los intentos de los actores de amenazas norcoreanos de apuntar a posibles víctimas en LinkedIn para entregar malware llamado RustDoor. El último aviso proviene de Jamf Threat Labs, que dijo haber detectado un intento de ataque en el que se contactó a un usuario en la red social profesional al afirmar ser un reclutador para un intercambio legítimo de criptomonedas descentralizado (DEX) llamado STON.fi. La actividad cibernética maliciosa es parte de una campaña de múltiples frentes desatada por actores de amenazas cibernéticas respaldados por la República Popular Democrática de Corea (RPDC) para infiltrarse en redes de interés con el pretexto de realizar entrevistas o tareas de codificación. Los sectores financiero y de criptomonedas se encuentran entre los principales objetivos de los adversarios patrocinados por el estado que buscan generar ingresos ilícitos y cumplir con un conjunto de objetivos en constante evolución basados ​​en los intereses del régimen. Estos ataques se manifiestan en forma de «campañas de ingeniería social altamente personalizadas y difíciles de detectar» dirigidas a empleados de finanzas descentralizadas («DeFi»), criptomonedas y negocios similares, como lo destacó recientemente la Oficina Federal de Investigaciones (FBI) de Estados Unidos en un aviso. Uno de los indicadores notables de la actividad de ingeniería social de Corea del Norte se relaciona con solicitudes para ejecutar código o descargar aplicaciones en dispositivos propiedad de la empresa, o dispositivos que tienen acceso a la red interna de una empresa. Otro aspecto que vale la pena mencionar es que dichos ataques también involucran «solicitudes para realizar una ‘prueba previa al empleo’ o un ejercicio de depuración que implica ejecutar paquetes Node.js no estándar o desconocidos, paquetes PyPI, scripts o repositorios de GitHub». Los casos que presentan tales tácticas se han documentado ampliamente en las últimas semanas, lo que subraya una evolución persistente de las herramientas utilizadas en estas campañas contra los objetivos. La última cadena de ataques detectada por Jamf implica engañar a la víctima para que descargue un proyecto de Visual Studio con trampa explosiva como parte de un supuesto desafío de codificación que incorpora comandos bash para descargar dos payloads diferentes de segunda etapa («VisualStudioHelper» y «zsh_env») con funcionalidad idéntica. Este malware de segunda etapa es RustDoor, que la empresa está rastreando como Thiefbucket. Al momento de escribir este artículo, ninguno de los motores antimalware ha marcado el archivo de prueba de codificación comprimido como malicioso. Se cargó en la plataforma VirusTotal el 7 de agosto de 2024. «Los archivos de configuración integrados en las dos muestras de malware independientes muestran que VisualStudioHelper persistirá a través de cron, mientras que zsh_env persistirá a través del archivo zshrc», dijeron los investigadores Jaron Bradley y Ferdous Saljooki. RustDoor, una puerta trasera de macOS, fue documentada por primera vez por Bitdefender en febrero de 2024 en relación con una campaña de malware dirigida a empresas de criptomonedas. Un análisis posterior de S2W descubrió una variante de Golang denominada GateDoor que está diseñada para infectar máquinas Windows. Los hallazgos de Jamf son significativos, no solo porque marcan la primera vez que el malware se atribuye formalmente a actores de amenazas norcoreanos, sino también por el hecho de que el malware está escrito en Objective-C. VisualStudioHelper también está diseñado para actuar como un ladrón de información al recolectar archivos especificados en la configuración, pero solo después de solicitar al usuario que ingrese su contraseña del sistema haciéndola pasar como si se originara en la aplicación Visual Studio para evitar levantar sospechas. Sin embargo, ambas cargas útiles funcionan como una puerta trasera y utilizan dos servidores diferentes para las comunicaciones de comando y control (C2). «Los actores de amenazas continúan estando atentos para encontrar nuevas formas de perseguir a los que están en la industria de la criptografía», dijeron los investigadores. «Es importante capacitar a sus empleados, incluidos sus desarrolladores, para que sean cautelosos a la hora de confiar en quienes se conectan a través de las redes sociales y piden a los usuarios que ejecuten software de cualquier tipo. «Estos esquemas de ingeniería social llevados a cabo por la RPDC provienen de personas que dominan el inglés y entran en la conversación habiendo investigado bien a su objetivo». ¿Le resultó interesante este artículo? Síganos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

16 de septiembre de 2024Ravie LakshmananSeguridad en la nube / Vulnerabilidad Una falla de seguridad crítica ahora parcheada que afecta a Google Cloud Platform (GCP) Composer podría haber sido explotada para lograr la ejecución remota de código en servidores en la nube mediante una técnica de ataque a la cadena de suministro llamada confusión de dependencias. La vulnerabilidad ha sido bautizada como CloudImposer por Tenable Research. «La vulnerabilidad podría haber permitido a un atacante secuestrar una dependencia de software interna que Google preinstala en cada herramienta de orquestación de canalizaciones de Google Cloud Composer», dijo la investigadora de seguridad Liv Matan en un informe compartido con The Hacker News. La confusión de dependencias (también conocida como ataque de sustitución), que fue documentada por primera vez por el investigador de seguridad Alex Birsan en febrero de 2021, se refiere a un tipo de compromiso de la cadena de suministro de software en el que se engaña a un administrador de paquetes para que extraiga un paquete malicioso de un repositorio público en lugar del archivo previsto del mismo nombre de un repositorio interno. Por lo tanto, un actor de amenazas podría organizar un ataque a gran escala a la cadena de suministro mediante la publicación de un paquete falsificado en un repositorio de paquetes público con el mismo nombre que un paquete desarrollado internamente por empresas y con un número de versión más alto. Esto, a su vez, hace que el administrador de paquetes descargue sin saberlo el paquete malicioso del repositorio público en lugar del repositorio privado, reemplazando efectivamente la dependencia del paquete existente con su contraparte no autorizada. El problema identificado por Tenable es similar en el sentido de que podría usarse de manera abusiva para cargar un paquete malicioso en el repositorio Python Package Index (PyPI) con el nombre «google-cloud-datacatalog-lineage-producer-client», que luego podría preinstalarse en todas las instancias de Composer con permisos elevados. Si bien Cloud Composer requiere que el paquete en cuestión esté fijado a la versión (es decir, la versión 0.1.0), Tenable descubrió que usar el argumento «–extra-index-url» durante un comando «pip install» prioriza la obtención del paquete del registro público, lo que abre la puerta a la confusión de dependencias. Armados con este privilegio, los atacantes podrían ejecutar código, extraer credenciales de cuentas de servicio y moverse lateralmente en el entorno de la víctima a otros servicios de GCP. Tras una divulgación responsable el 18 de enero de 2024, Google lo solucionó en mayo de 2024 al garantizar que el paquete solo se instale desde un repositorio privado. También agregó la precaución adicional de verificar la suma de comprobación del paquete para confirmar su integridad y validar que no haya sido alterado. Se dice que Python Packaging Authority (PyPA) conocía los riesgos que plantea el argumento «–extra-index-url» al menos desde marzo de 2018, e insta a los usuarios a omitir el uso de PyPI en los casos en que sea necesario extraer el paquete interno. «Se espera que los paquetes sean únicos hasta el nombre y la versión, por lo que pip trata dos ruedas con el mismo nombre de paquete y versión como indistinguibles», señaló un miembro de PyPA en ese momento. «Esta es una característica deliberada de los metadatos del paquete y no es probable que cambie». Como parte de su solución, Google ahora también recomienda que los desarrolladores utilicen el argumento «–index-url» en lugar del argumento «–extra-index-url» y que los clientes de GCP utilicen un repositorio virtual de Artifact Registry cuando requieran varios repositorios. «El argumento ‘–index-url’ reduce el riesgo de ataques de confusión de dependencias al buscar únicamente paquetes en el registro que se definieron como un valor determinado para ese argumento», dijo Matan. ¿Te resultó interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

16 de septiembre de 2024The Hacker NewsProtección de identidad / Respuesta a incidentes Imagínese esto… Llega al trabajo y se encuentra con una escena caótica. Los sistemas no funcionan y el pánico está en el aire. ¿El culpable? No es un virus malicioso, sino una identidad comprometida. El atacante está dentro de sus paredes, haciéndose pasar por un usuario de confianza. Esta no es una película de terror, es la nueva realidad del cibercrimen. La pregunta es: ¿está preparado? Los planes tradicionales de respuesta a incidentes son como mapas antiguos en un mundo nuevo. Se centran en el malware y las violaciones de la red, pero los delincuentes de hoy van tras sus identidades. Credenciales robadas y puntos de acceso débiles: estas son las claves de su reino. Si bien existe un manual para manejar los brotes de malware, a menudo falta el capítulo de «identidad». Las organizaciones luchan por identificar las cuentas comprometidas y evitar que los atacantes se muevan lateralmente dentro de sus sistemas. ¿El resultado? Una violación que se sale de control y causa daños masivos. La solución: un manual de respuesta a incidentes centrado en la identidad No se trata de otra palabra de moda en materia de seguridad, es su salvavidas ante un ataque de identidad. Proporciona procedimientos, herramientas y estrategias claras para detectar, contener y recuperarse de una violación de identidad. En este seminario web, descubrirá: Por qué la identidad es la nueva línea de frente en la ciberguerra: comprenda el cambio en las tácticas de los atacantes y por qué las defensas tradicionales se están quedando cortas. Las últimas tácticas que utilizan los atacantes para comprometer cuentas: aprenda sobre phishing, robo de credenciales y otros métodos sofisticados utilizados para robar identidades. Estrategias probadas para una detección y contención rápidas: descubra cómo identificar rápidamente las cuentas comprometidas y detener a los atacantes de inmediato. Cómo crear un manual de respuesta a incidentes de identidad adaptado a su organización: obtenga orientación práctica para crear un manual que se alinee con sus necesidades y recursos específicos. Quién debería asistir: Profesionales de seguridad de TI Equipos de respuesta a incidentes CIO y CISO Cualquier persona responsable de proteger los datos confidenciales de su organización Únase a este seminario web Reserve su lugar ahora y aprenda cómo salvaguardar sus identidades contra las amenazas más urgentes de la actualidad. ¿Le resultó interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síganos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

16 de septiembre de 2024Ravie LakshmananSoftware espía / Inteligencia sobre amenazas Apple ha presentado una moción para desestimar «voluntariamente» su demanda contra el proveedor de software espía comercial NSO Group, citando un panorama de riesgos cambiante que podría llevar a la exposición de información crítica de «inteligencia sobre amenazas». El desarrollo fue informado por primera vez por The Washington Post el viernes. El fabricante del iPhone dijo que sus esfuerzos, junto con los de otros en la industria y los gobiernos nacionales para abordar el aumento del software espía comercial, han «debilitado sustancialmente» a los acusados. «Al mismo tiempo, lamentablemente, han surgido otros actores maliciosos en la industria del software espía comercial», dijo la compañía. «Es debido a esta combinación de factores que Apple ahora busca la desestimación voluntaria de este caso». «Si bien Apple sigue creyendo en los méritos de sus reclamos, también ha determinado que seguir adelante con este caso tiene el potencial de poner en riesgo información de seguridad vital». Apple presentó originalmente la demanda contra la empresa israelí en noviembre de 2021 en un intento de responsabilizarla por atacar ilegalmente a los usuarios con su herramienta de vigilancia Pegasus. Describió a NSO Group, una subsidiaria de Q Cyber ​​Technologies Limited, como «mercenarios amorales del siglo XXI que han creado una maquinaria de cibervigilancia altamente sofisticada que invita al abuso rutinario y flagrante». A principios de enero, un juez federal denegó una moción de NSO Group para desestimar la demanda con el argumento de que la empresa «tiene su sede en Israel y Apple debería haberlos demandado allí», y el tribunal afirmó que «el propósito antipiratería de la CFAA encaja perfectamente con las acusaciones de Apple, y NSO no ha demostrado lo contrario». En su moción de desestimación voluntaria, Apple dijo que tres acontecimientos importantes han sido un factor contribuyente: el riesgo de que la información de inteligencia de amenazas que ha desarrollado para proteger a los usuarios contra ataques de software espía pueda quedar expuesta, señalando un informe del 25 de julio de 2024 de The Guardian. El periódico británico reveló que funcionarios israelíes habían confiscado documentos de NSO Group en julio de 2020 en un aparente esfuerzo por detener la entrega de información sobre la notoria herramienta de piratería como parte de la actual disputa legal de la empresa con WhatsApp, propiedad de Meta, que presentó una demanda similar en 2019. «Las incautaciones fueron parte de una maniobra legal inusual creada por Israel para bloquear la divulgación de información sobre Pegasus, que el gobierno creía que causaría ‘graves daños diplomáticos y de seguridad’ al país», señaló The Guardian en ese momento. Apple también citó como razones para el cambio de dinámica en la industria del software espía comercial y la proliferación de diferentes empresas de software espía, así como la posibilidad de revelar a terceros «la información que Apple utiliza para derrotar al software espía mientras los acusados ​​y otros crean obstáculos significativos para obtener un remedio efectivo». El desarrollo se produce después de que el Atlantic Council divulgara que los individuos detrás de algunos de los vendedores de software espía en Israel, Italia e India que han sido objeto de investigación por permitir que regímenes autoritarios espíen a defensores de los derechos humanos, líderes de la oposición y periodistas han tratado de cambiarles el nombre, crear otros nuevos o emprender cambios estratégicos de jurisdicción. Un ejemplo de ello es Intellexa, la empresa ahora sancionada que está detrás del software espía Predator, que ha resurgido con una nueva infraestructura en relación con su uso continuo por parte de posibles clientes en países como Angola, la República Democrática del Congo (RDC) y Arabia Saudita. «Los operadores de Predator han mejorado significativamente su infraestructura, añadiendo capas de complejidad para evadir la detección», dijo el Grupo Insikt de la empresa de ciberseguridad. «La nueva infraestructura incluye un nivel adicional en su sistema de entrega de varios niveles, que anonimiza las operaciones de los clientes, lo que hace aún más difícil identificar qué países están utilizando el software espía». ¿Le resultó interesante este artículo? Síganos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Los investigadores de ciberseguridad han advertido sobre las campañas de phishing en curso que abusan de las entradas de actualización en los encabezados HTTP para entregar páginas de inicio de sesión de correo electrónico falsificadas que están diseñadas para recopilar las credenciales de los usuarios. «A diferencia de otros comportamientos de distribución de páginas web de phishing a través de contenido HTML, estos ataques utilizan el encabezado de respuesta enviado por un servidor, que se produce antes del procesamiento del contenido HTML», dijeron los investigadores de la Unidad 42 de Palo Alto Networks, Yu Zhang, Zeyu You y Wei Wang. «Los enlaces maliciosos indican al navegador que actualice o vuelva a cargar automáticamente una página web de inmediato, sin requerir la interacción del usuario». Los objetivos de la actividad a gran escala, observada entre mayo y julio de 2024, incluyen grandes corporaciones en Corea del Sur, así como agencias gubernamentales y escuelas en los EE. UU. Se han asociado hasta 2000 URL maliciosas con las campañas. Más del 36% de los ataques se han centrado en el sector empresarial y económico, seguido de los servicios financieros (12,9%), el gobierno (6,9%), la salud y la medicina (5,7%) y la informática e Internet (5,4%). Los ataques son los últimos de una larga lista de tácticas que los actores de amenazas han empleado para ofuscar sus intenciones y engañar a los destinatarios de correo electrónico para que compartan información confidencial, incluido el aprovechamiento de los dominios de nivel superior (TLD) y los nombres de dominio de moda para propagar ataques de phishing y redirección. Las cadenas de infección se caracterizan por la entrega de enlaces maliciosos a través de URL de actualización de encabezado que contienen las direcciones de correo electrónico de los destinatarios objetivo. El enlace al que se redirige está incrustado en el encabezado de respuesta de actualización. El punto de partida de la cadena de infección es un mensaje de correo electrónico que contiene un enlace que imita un dominio legítimo o comprometido que, cuando se hace clic, activa la redirección a la página de recolección de credenciales controlada por el actor. Para dar al intento de phishing una apariencia de legitimidad, las páginas de inicio de sesión de correo web maliciosas tienen las direcciones de correo electrónico de los destinatarios precompletadas. También se ha observado que los atacantes utilizan dominios legítimos que ofrecen acortamiento de URL, seguimiento y servicios de marketing de campañas. «Al imitar cuidadosamente los dominios legítimos y redirigir a las víctimas a sitios oficiales, los atacantes pueden ocultar eficazmente sus verdaderos objetivos y aumentar la probabilidad de que el robo de credenciales sea exitoso», dijeron los investigadores. «Estas tácticas resaltan las sofisticadas estrategias que utilizan los atacantes para evitar la detección y explotar objetivos desprevenidos». El phishing y el compromiso de correo electrónico empresarial (BEC) siguen siendo una vía importante para los adversarios que buscan desviar información y realizar ataques con motivaciones económicas. Los ataques BEC han costado a las organizaciones estadounidenses e internacionales aproximadamente 55.490 millones de dólares entre octubre de 2013 y diciembre de 2023, con más de 305.000 incidentes de estafa reportados durante el mismo período de tiempo, según la Oficina Federal de Investigaciones (FBI) de EE. UU. El desarrollo se produce en medio de «docenas de campañas de estafa» que han aprovechado videos deepfake con figuras públicas, directores ejecutivos, presentadores de noticias y altos funcionarios del gobierno para promover esquemas de inversión falsos como Quantum AI desde al menos julio de 2023. Estas campañas se propagan a través de publicaciones y anuncios en varias plataformas de redes sociales, dirigiendo a los usuarios a páginas web falsas que los instan a completar un formulario para registrarse, después de lo cual un estafador los contacta a través de una llamada telefónica y les pide que paguen una tarifa inicial de $ 250 para acceder al servicio. «El estafador le indica a la víctima que descargue una aplicación especial para que pueda ‘invertir’ más de sus fondos», dijeron los investigadores de Unit 42. «Dentro de la aplicación, un panel parece mostrar pequeñas ganancias». «Por último, cuando la víctima intenta retirar sus fondos, los estafadores exigen comisiones por retirada o citan alguna otra razón (por ejemplo, cuestiones fiscales) para no poder recuperar sus fondos. «Los estafadores pueden entonces bloquear la cuenta de la víctima y embolsarse los fondos restantes, lo que hace que la víctima haya perdido la mayor parte del dinero que puso en la ‘plataforma'». También sigue al descubrimiento de un actor de amenazas sigiloso que se presenta como una empresa legítima y ha estado anunciando servicios automatizados de resolución de CAPTCHA a gran escala a otros cibercriminales y ayudándolos a infiltrarse en las redes de TI. Bautizada como Greasy Opal por Arkose Labs, se cree que la «empresa de habilitación de ataques cibernéticos» con sede en la República Checa ha estado operativa desde 2009, ofreciendo a los clientes un conjunto de herramientas para el robo de credenciales, la creación masiva de cuentas falsas, la automatización del navegador y el spam en las redes sociales a un precio de 190 dólares y 10 dólares adicionales por una suscripción mensual. La cartera de productos abarca toda la gama de delitos cibernéticos, lo que les permite desarrollar un modelo de negocio sofisticado al empaquetar varios servicios juntos. Se dice que los ingresos de la entidad solo para 2023 no serán inferiores a 1,7 millones de dólares. «Greasy Opal emplea tecnología OCR de vanguardia para analizar e interpretar eficazmente los CAPTCHA basados ​​en texto, incluso aquellos distorsionados u oscurecidos por ruido, rotación u oclusión», señaló la empresa de prevención de fraudes en un análisis reciente. «El servicio desarrolla algoritmos de aprendizaje automático entrenados en amplios conjuntos de datos de imágenes». Uno de sus usuarios es Storm-1152, un grupo de ciberdelincuencia vietnamita que Microsoft identificó anteriormente como vendedor de 750 millones de cuentas y herramientas fraudulentas de Microsoft a través de una red de sitios web falsos y páginas de redes sociales a otros actores criminales. «Greasy Opal ha creado un próspero conglomerado de negocios multifacéticos, que ofrece no solo servicios de resolución de CAPTCHA, sino también software de mejora de SEO y servicios de automatización de redes sociales que a menudo se utilizan para el spam, que podría ser un precursor de la distribución de malware», dijo Arkose Labs. «Este grupo de actores de amenazas refleja una tendencia creciente de empresas que operan en una zona gris, mientras que sus productos y servicios se han utilizado para actividades ilegales posteriores». ¿Te resultó interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

14 de septiembre de 2024Ravie LakshmananSeguridad empresarial / Inteligencia de amenazas Ivanti ha revelado que una falla de seguridad recientemente parcheada en su Cloud Service Appliance (CSA) ha sido explotada activamente en la red. La vulnerabilidad de alta gravedad en cuestión es CVE-2024-8190 (puntuación CVSS: 7,2), que permite la ejecución remota de código en determinadas circunstancias. «Una vulnerabilidad de inyección de comandos del sistema operativo en las versiones 4.6 Patch 518 y anteriores de Ivanti Cloud Services Appliance permite que un atacante autenticado remoto obtenga la ejecución remota de código», señaló Ivanti en un aviso publicado a principios de esta semana. «El atacante debe tener privilegios de nivel de administrador para explotar esta vulnerabilidad». La falla afecta a Ivanti CSA 4.6, que actualmente ha llegado al final de su vida útil, lo que requiere que los clientes actualicen a una versión compatible en el futuro. Dicho esto, se ha abordado en el parche 519 de CSA 4.6. «Con el estado de fin de vida útil, esta es la última corrección que Ivanti implementará para esta versión», agregó la empresa de software de TI con sede en Utah. «Los clientes deben actualizar a Ivanti CSA 5.0 para obtener soporte continuo». «CSA 5.0 es la única versión compatible y no contiene esta vulnerabilidad. Los clientes que ya ejecutan Ivanti CSA 5.0 no necesitan realizar ninguna acción adicional». El viernes, Ivanti actualizó su aviso para señalar que observó una explotación confirmada de la falla en la naturaleza dirigida a un «número limitado de clientes». No reveló detalles adicionales relacionados con los ataques o la identidad de los actores de amenazas que la utilizan como arma, sin embargo, una serie de otras vulnerabilidades en los productos de Ivanti han sido explotadas como un día cero por grupos de ciberespionaje con nexo con China. El desarrollo ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a agregar la deficiencia a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que requiere que las agencias federales apliquen las correcciones antes del 4 de octubre de 2024. La divulgación también se produce cuando la empresa de ciberseguridad Horizon3.ai publicó un análisis técnico detallado de una vulnerabilidad de deserialización crítica (CVE-2024-29847, puntuación CVSS: 10.0) que afecta a Endpoint Manager (EPM) y que da como resultado la ejecución remota de código. ¿Te resultó interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

13 de septiembre de 2024Ravie LakshmananSeguridad de software / Inteligencia de amenazas Es probable que actores maliciosos estén aprovechando exploits de prueba de concepto (PoC) disponibles públicamente para fallas de seguridad recientemente reveladas en Progress Software WhatsUp Gold para llevar a cabo ataques oportunistas. Se dice que la actividad comenzó el 30 de agosto de 2024, apenas cinco horas después de que el investigador de seguridad Sina Kheirkhah del Summoning Team publicara una PoC para CVE-2024-6670 (puntuación CVSS: 9,8), a quien también se le atribuye el descubrimiento y la notificación de CVE-2024-6671 (puntuación CVSS: 9,8). Ambas vulnerabilidades críticas, que permiten a un atacante no autenticado recuperar la contraseña cifrada de un usuario, fueron parcheadas por Progress a mediados de agosto de 2024. «La cronología de los acontecimientos sugiere que, a pesar de la disponibilidad de parches, algunas organizaciones no pudieron aplicarlos rápidamente, lo que provocó incidentes casi inmediatamente después de la publicación de la PoC», dijeron los investigadores de Trend Micro Hitomi Kimura y Maria Emreen Viray en un análisis del jueves. Los ataques observados por la empresa de ciberseguridad implican eludir la autenticación de WhatsUp Gold para explotar el Active Monitor PowerShell Script y, en última instancia, descargar varias herramientas de acceso remoto para obtener persistencia en el host de Windows. Esto incluye Atera Agent, Radmin, SimpleHelp Remote Access y Splashtop Remote, con Atera Agent y Splashtop Remote instalados por medio de un único archivo de instalación MSI recuperado de un servidor remoto. «El proceso de sondeo NmPoller.exe, el ejecutable de WhatsUp Gold, parece ser capaz de alojar un script llamado Active Monitor PowerShell Script como una función legítima», explicaron los investigadores. «Los actores de amenazas en este caso lo eligieron para ejecutar código arbitrario de forma remota». Si bien no se han detectado acciones de explotación posteriores, el uso de varios programas de acceso remoto apunta a la participación de un actor de ransomware. Esta es la segunda vez que las vulnerabilidades de seguridad en WhatsUp Gold se han utilizado activamente como arma. A principios del mes pasado, la Shadowserver Foundation dijo que había observado intentos de explotación contra CVE-2024-4885 (puntuación CVSS: 9,8), otro error crítico que Progress resolvió en junio de 2024. La revelación se produce semanas después de que Trend Micro también revelara que los actores de amenazas están explotando una falla de seguridad ahora parcheada en Atlassian Confluence Data Center y Confluence Server (CVE-2023-22527, puntuación CVSS: 10,0) para entregar el shell web de Godzilla. «La vulnerabilidad CVE-2023-22527 sigue siendo ampliamente explotada por una amplia gama de actores de amenazas que abusan de esta vulnerabilidad para realizar actividades maliciosas, lo que la convierte en un riesgo de seguridad significativo para las organizaciones de todo el mundo», afirmó la empresa. ¿Te resultó interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.