Archivo de la etiqueta: IT security

Siguiendo la continua evolución del célebre grupo APT Pawn Storm

Trend Micro se dedica a proteger el mundo conectado, y a todos sus clientes en todos los rincones del planeta. Para ayudarnos en esta tarea, contamos con un equipo de más de 1.200 investigadores white hat dedicados a trabajar las 24 horas del día para anticipar e investigar las últimas ciberamenazas emergentes. Muchos de los grupos responsables de estas son bandas criminales. Pero cada vez más, pueden ser también hackers apoyados por el estado. Esto puede sonar muy lejos de la cotidianeidad del día a día de la empresa española media. Pero ese no es necesariamente el caso. 

Los sofisticados grupos de Amenazas Persistentes Avanzadas (APT) no siempre tienen como objetivo las grandes marcas o los sectores militares y de infraestructura crítica. Como destaca nuestra última investigación sobre el perverso grupo Pawn Storm, incluso van tras escuelas privadas, guarderías y médicos.

Breve historia de Pawn Storm

Las actividades de Pawn Storm se remontan a 2004, aunque hemos estado siguiendo al grupo de cerca durante los últimos seis años más o menos. También conocido por los apodos APT28, Sofacy, Sednit, Fancy Bear y Strontium, es uno de los grupos APT más destacados del mundo. Entre las víctimas notables del pasado se encuentran el partido de la Unión Demócrata Cristiana Alemana (CDU), la Agencia Mundial Antidopaje (AMA) y el Comité Nacional Democrático (DNC). Hillary Clinton ha culpado de los correos electrónicos confidenciales de este último que ayudaron a Donald Trump a llegar al poder. 

No se equivoquen, Pawn Storm es uno de los grupos de APT más sofisticados y con más recursos que hemos visto. Y gracias al seguimiento que hemos hecho de sus herramientas, tácticas y procedimientos (TTP), hemos podido detallar algunas nuevas tendencias en 2019.

¿Qué hay de nuevo?

Concretamente, vimos que el grupo decidió usar las cuentas de correo electrónico de objetivos de alto perfil que ya había comprometido para enviar correos electrónicos de phishing de credenciales a otros objetivos – principalmente a compañías de defensa de Oriente Medio. No está claro por qué lo hicieron, tal vez para evadir los filtros de spam, y no parece haber sido particularmente exitoso.

También observamos a Pawn Storm escudriñando servidores de correo electrónico y servidores Microsoft Exchange Autodiscover en todo el mundo, con el fin de forzar bruscamente las credenciales de los administradores, exfiltrando los datos de los correos electrónicos y utilizándolos para realizar phishing a una nueva oleada de objetivos. Curiosamente, sus objetivos para esta campaña no eran solo los sospechosos habituales de organizaciones militares y de defensa, gobiernos, bufetes de abogados, partidos políticos y universidades, sino también otros más inusuales como escuelas privadas en Francia y Reino Unido, e incluso una guardería en Alemania.

Esto es un testimonio del hecho de que ninguna organización está a salvo de los ataques APT hoy en día.

La buena noticia es que los tipos malos cometen errores que podemos utilizar para entender mejor sus métodos y motivaciones. Por ejemplo, pudimos rastrear las campañas de phishing de credenciales contra dos proveedores de correo web de EE.UU., uno ruso y otro iraní durante un período de dos años analizando la solicitud del Marco de Políticas de Remitente de DNS (SPF) de los dominios que utilizaba. Aunque el grupo asignó cinco dominios a los servidores utilizados en esta campaña, no los registró, lo que permitió a los investigadores de Trend Micro colarse sigilosamente y monitorizar la actividad.

Mantenerse a salvo

Predecimos que este grupo de amenazas en particular estará presente en los años próximos años. Y es solo uno de los muchos que operan hoy en día. A continuación ofrecemos algunas recomendaciones para aislar a su organización contra estos últimos ataques. Incluso si no es un objetivo de Pawn Storm, estas son una serie de buenas prácticas importantes a tener en cuenta:

  • Aplicar el principio de menores privilegios, y deshabilitar los servicios obsoletos o no utilizados
  • Parchear regularmente/actualizar el sistema operativo y las aplicaciones. Considere la posibilidad de aplicar parches virtuales para las vulnerabilidades conocidas y desconocidas
  • Monitorizar regularmente la infraestructura con firewalls y sistemas de detección y prevención de intrusiones
  • Desplegar autenticación de doble factor para las cuentas de correo electrónico corporativo, el acceso de red y los servicios subcontratados
  • Formar y concienciar a los empleados en materia de técnicas de phishing y vectores de ataque más comunes, y prohibir el uso del correo web personal y las cuentas de redes sociales para fines laborales
  • Realizar con frecuencia copias de seguridad de los datos y cifrar la información sensible almacenada

Para leer el informe completo, haga clic aquí

Amenazas a Zoom: cómo mantener a salvo tu negocio y a tus empleados

Por: José Battat, director general de Trend Micro Iberia.

Los ciberdelincuentes siempre están buscando nuevas oportunidades para ganar dinero y robar datos. Los eventos de tendencia mundial son una forma probada de hacerlo, y no son tan más grandes como la actual pandemia de COVID-19. Esto está provocando una oleada de phishing, BEC, extorsión, ransomware e intentos de brechas y violación de datos. Y a medida que se envía a sus domicilios a un número cada vez mayor de trabajadores en todo el mundo, se abren nuevas oportunidades para comprometer las apps de videoconferencia.

Aunque no es el único objetivo, Zoom ha sido objeto de algunos de los incidentes más destacados en lo que va de año. Afortunadamente, hay cosas que se pueden hacer para mantener los negocios seguros.

Bajo el microscopio

La app de videoconferencia es, en muchos sentidos, víctima de su propio éxito. Se han planteado preocupaciones de seguridad sobre ella en el pasado, después de que los investigadores revelaran un fallo zero-day en el cliente Mac Zoom que podría haber permitido a los hackers espiar a los usuarios a través de sus cámaras web. Más tarde, en el mismo año, investigaciones separadas revelaron un ataque de enumeración dirigido a la API que afectaba a la plataforma. No se cree que ninguno de ellos haya sido sobreexplotado.

Sin embargo, las cosas han cambiado hoy en día: con gran parte del mundo utilizando la plataforma para realizar reuniones de negocios y videollamadas personales, el análisis de su postura de seguridad nunca ha sido mayor.

De errores a bombardeos

Hay varios riesgos que hay que tener en cuenta. El primero es el de varias nuevas vulnerabilidades descubiertas en la plataforma: una de ellas podría permitir a los hackers robar las contraseñas de Windows, y otras dos podrían permitir a los atacantes instalar remotamente malware en los Macs afectados y espiar las reuniones.

Sin embargo, la mayor parte de la cobertura de noticias se centra en «Zoombombing«, cuando los usuarios no invitados interrumpen las reuniones. Esto sucede a menudo cuando se llevan a cabo eventos semipúblicos a gran escala y las identificaciones (ID) de las reuniones se comparten en las redes sociales. Si no hay una contraseña para la reunión y no se examina a los asistentes, pueden  aparecer los Zoombombers. Una vez en la «reunión», los intrusos suelen publicar comentarios ofensivos, transmitir contenido para adultos o hacer otras cosas para perturbar el evento.

Las mismas técnicas subyacentes podrían ser utilizadas por los hackers para espiar o interrumpir las reuniones de negocio. Se trata de aprovechar las configuraciones inseguras de la app, (y posiblemente usar herramientas de fuerza bruta para descifrar las ID de las reuniones).

Con el acceso a una reunión, los hackers podrían recoger información corporativa altamente sensible y/o crítica para el mercado, o incluso propagar malware a través de una función de transferencia de archivos.

La última amenaza es de ataques de phishing. Los hackers saben que los usuarios buscan en masa maneras de comunicarse durante los confinamientos dictados por los gobiernos. Al crear enlaces y sitios web de Zoom de aspecto legítimo, podrían robar detalles financieros, propagar malware o recoger números de ID de Zoom, lo que les permitiría infiltrarse en reuniones virtuales. Un proveedor descubrió que se habían registrado 2.000 nuevos dominios solo en marzo, más de dos tercios del total del año hasta ahora.

Qué se puede hacer

La buena noticia es que hay varias cosas que se pueden hacer para mitigar los riesgos de seguridad asociados con Zoom.

Las más básicas son:

• Asegurarse de que Zoom siempre esté en la última versión del software

• Concienciar sobre las estafas de phishing de Zoom en los programas de capacitación de usuarios. Los usuarios solo deben descargar el cliente Zoom de un sitio de confianza y verificar si hay algo sospechoso en la URL de la reunión al unirse a una reunión

• Asegurarse de que todos los teletrabajadores tengan un programa antimalware, incluida la detección de phishing instalada de un proveedor de confianza

A continuación, es importante revisar los ajustes de administración de la aplicación, para reducir las oportunidades de los hackers y los Zoombombers.

Lo más importante gira en torno a Zoom Personal Meeting ID (un número de 9-11 dígitos que cada usuario tiene). Si un hacker se apodera de esto, y la reunión no está protegida por una contraseña, podrían acceder a ella. Un correo electrónico filtrado o simples técnicas de fuerza bruta/especulación podrían permitir a un hacker comprometer el ID y la URL asociada. En el caso de reuniones recurrentes, la amenaza persiste.

Afortunadamente, las contraseñas generadas automáticamente ahora están activadas de forma predeterminada, y el uso de identificaciones de reuniones personales está desactivado, lo que significa que Zoom creará una identificación aleatoria y única para cada reunión.

Esta configuración debe mantenerse tal cual. Pero las organizaciones pueden hacer más, incluyendo:

  • Asegurarse de que también se genera un ID de reunión automáticamente para las reuniones recurrentes
  • Configurar la pantalla compartida como «solo host» para evitar que los asistentes no invitados compartan contenido perjudicial
  • No comparta ninguna ID de la reunión online
  • Desactivar las «transferencias de archivos» para mitigar el riesgo de malware
  • Asegurarse de que solo los usuarios autenticados puedan participar en las reuniones
  • Bloquear la reunión una vez que haya empezado para evitar que alguien se una a ella.
  • Utilizar la función de sala de espera, así el anfitrión o host solo puede permitir asistentes de un registro preasignado
  • Reproduzca un sonido cuando alguien entre o salga de la reunión
  • Permitir que el anfitrión ponga a los asistentes en espera, eliminándolos temporalmente de una reunión si es necesario

Cuenta atrás para CLOUDSEC: no te pierdas el mayor evento de ciberseguridad de la semana

Autor: Bharat Mistry, Trend Micro

Leer los titulares de las noticias tecnológicas todos los días puede tener un efecto vertiginoso. Las cosas se mueven a tal ritmo que puede ser difícil desconectar y ver el panorama general. Solo en los últimos días, hemos visto un importante ataque DDoS que ha desconectado Wikipedia en la mayor parte de Europa y en algunas partes de Oriente Medio. También hemos sido testigos de la declaración de culpabilidad de uno de los hombres detrás de la famosa botnet IoT Satori. Y hemos visto a un fabricante de automóviles japonés convertirse en la última firma en sufrir un importante incidente de BEC: esta vez le ha costado a la empresa más de 37 millones de dólares.

¿Cómo podemos unir los puntos entre todo esto y multitud de otras tendencias y eventos del sector que nos bombardean cada día? Es un reto para el que la conferencia CLOUDSEC de Trend Micro ha sido creada.

Cinco años después

La vida se mueve muy rápido si eres un profesional de la ciberseguridad. En solo los últimos cinco años hemos visto cómo el panorama de las amenazas ha cambiado significativamente, a medida que han ido surgiendo, evolucionando y extendiéndose técnicas como el ransomware, las estafas BEC, el criptojacking y otras técnicas de malware sin archivo. Todo esto en medio de una creciente crisis de habilidades de seguridad y falta de capacitación, ataques de estado-nación descarados que habrían parecido imposibles hace unos años y un panorama regulatorio que se vuelve más complejo cada trimestre que pasa.

Hace cinco años, Trend Micro se propuso ayudar a los responsables de la ciberseguridad a dar sentido a esta locura con un nuevo tipo de conferencia. La idea era invitar a expertos de todo el mundo y de todos los ámbitos -incluidos el mundo académico, las organizaciones sin ánimo de lucro, los proveedores de cloud computing y los organismos encargados de la aplicación de la ley- a compartir su experiencia a través de una serie de breves, útiles e inspiradoras ponencias. Nace CLOUDSEC.

Durante estos años hemos seguido escuchando los comentarios de los asistentes para que cada vez sean más relevantes. Es por eso que en CLOUDSEC 2019 usted notará un nuevo enfoque en el intercambio de casos de estudio y experiencias por parte de CISO de organizaciones globales. Este es un mundo alejado de las nebulosas generalizaciones que escuchará en muchas conferencias de seguridad. CLOUDSEC ofrece información práctica y experiencia para ayudar al CISO medio a enfrentar mejor los obstáculos diarios que se le presentan.

Mejor que nunca

El encuentro de este año tendrá lugar el viernes, 13 de septiembre, en el histórico mercado Old Billingsgate. Situado en la orilla norte del Támesis, cerca del Puente de Londres y de la Torre de Londres, este edificio clasificado como Victoriano de Grado II ha sido transformado de un mercado de pescado, que en su día fue famoso en el mundo entero, en un lugar para eventos de primer orden. Es el escenario perfecto para CLOUDSEC 2019, ya que los asistentes pueden escuchar a una amplia elenco de portavoces.

Entre otros, este año estarán:

Theresa Payton: antigua CIO de la Casa Blanca

Alexandru Caciuloiu: asesor en materia de ciberdelincuencia y criptomoneda, Oficina de las Naciones Unidas contra la Droga y el Delito

Charlie McMurdie: ex jefe de la Unidad Nacional de Delitos Cibernéticos de la Policía, y Asesor Principal de Delitos Cibernéticos PwC

Steven Bryen: evangelista y técnico senior, Amazon Web Services

Frank Thomas: director general de plataformas de seguridad e ingeniería, Thomson Reuters

Magnus Carling: CISO en Stena AB.

Marko Jung: director global de seguridad de la información, Universidad de Oxford

Rik Ferguson: vicepresidente de investigación de seguridad, Trend Micro

Robert McArdle: director del equipo de investigació Forward Looking Threat Research, Trend Micro

Frank Schwittay: vicepresidente para Europa de Trend Micro

Y muchos más….

Queda poco tiempo para reservar tu plaza para el viernes. Únete a nosotros para disfrutar de una oportunidad inolvidable de escuchar a un grupo de conferenciantes de primer nivel que goza de gran prestigio en todo el mundo, y de establecer contactos con expertos del sector y con tus propios colegas durante y después del encuentro.

Qué: CLOUDSEC 2019
Cuándo: 13 de septiembre de 2019
Dónde: Old Billingsgate Market, Londres

Registro: https://www.cloudsec.com/uk/