• Check Point Research muestra que Emotet sigue siendo el número uno de los malware más frecuentes, mientras que Agent Tesla pasa del cuarto al segundo puesto tras varias campañas de mal-spam.

Check Point Research, la división de Inteligencia de Amenazas Check Point® Software Technologies Ltd. (NASDAQ: CHKP), proveedor líder especializado en ciberseguridad a nivel mundial, ha publicado su Índice Global de Amenazas del mes de marzo. Los investigadores informan que Emotet continúa su reinado como el malware más difundido, afectando al 10% de las empresas de todo el mundo, el doble que en febrero.

Emotet es un troyano avanzado, autopropagado y modular que utiliza múltiples métodos para ser persistente y aplica técnicas de evasión para evitar su detección. Desde su regreso en noviembre del año pasado y tras la reciente noticia del cierre de Trickbot, Emotet ha ido reforzando su posición como el malware más prevalente, especialmente este mes en el que se han realizado muchas campañas agresivas de correo electrónico, incluyendo varias estafas de phishing con temática de Semana Santa. Los emails se enviaron a víctimas de todo el mundo, uno de ellos con el asunto “buona pasqua, happy easter”, pero adjunto al email había un archivo XLS malicioso para distribuir Emotet.

El Agente Tesla, la RAT avanzada que funciona como un keylogger y ladrón de información, es el segundo malware más frecuente este mes, escalando posiciones desde el cuarto lugar del mes pasado. El aumento del Agente Tesla se debe a varios envíos nuevos de mal-spam que distribuyen el RAT a través de archivos maliciosos xlsx/PDF en todo el mundo. Algunas de estas campañas han aprovechado la guerra entre Rusia y Ucrania para atraer a las víctimas.

"La tecnología ha avanzado en los últimos años hasta el punto de que los ciberdelincuentes dependen cada vez más de la confianza de las personas para acceder a una red corporativa. Al centrar sus correos electrónicos de phishing en festividades estacionales como la Semana Santa, son capaces de explotar y atraer a las víctimas para que descarguen archivos adjuntos maliciosos que contienen malwares como Emotet. Se esperaba un aumento de estafas de este tipo el fin de semana de Pascua y, por ello, advertimos a los usuarios para que estuvieran alerta, incluso si el email parecía provenir de una fuente fiable. ", afirma Ivonne Pedraza, Territory Manager CCA de Check Point Software. "Este mes también hemos observado que Apache Log4j ha vuelto a ser la vulnerabilidad número uno más explotada. Incluso después de todo lo que se habló de ella a finales del año pasado, sigue causando daños meses después de la detección inicial. Las empresas deben tomar medidas inmediatas para evitar que se produzcan ataques".

Los investigadores han revelado que en marzo el sector de la Educación/Investigación sigue siendo el más atacado a nivel mundial, seguido por el Gobierno/Militar y el de ISP/MSP. "La revelación de información del servidor web Git" ha sido la vulnerabilidad más explotada y común - ha afectado al 26% de las empresas de todo el mundo-, seguida de “Apache Log4j Remote Code Execution” que impactó a más del 33%. "La ejecución de código remoto en encabezados HTTP" se sitúa en tercer lugar, afectando al 26% de los negocios en el mundo.

Ejemplos de correos electrónicos de phishing con temática de Pascua

Los 3 malware más buscados en Colombia en marzo:

*Las flechas muestran el cambio de posición en el ranking en comparación con el mes anterior.

1. ↔ Gupteba- Conocida desde 2011, Glupteba es una puerta trasera que maduró gradualmente hasta convertirse en una botnet. Para 2019 incluía una actualización de direcciones C&C a través de listas públicas de BitCoin, una capacidad integral de robo de navegador y router exploiter. Ha atacado al 16.21% de las organizaciones en Colombia en marzo y su impacto global fue 2.03% en ese periodo.

2. ↑ Remcos - Es un RAT que apareció por primera vez en 2016. Se distribuye a través de documentos maliciosos de Microsoft Office que se adjuntan a los correos electrónicos SPAM, y está diseñado para eludir la seguridad UAC de Microsoft Windows y ejecutar el malware con privilegios de alto nivel. En Colombia en marzo tuvo un impacto en las empresas del 13.44% y a nivel global del 1.30%.

3. ↑ AsyncRat –. Es un troyano que se dirige a la plataforma Windows. Este malware envía información del sistema sobre el sistema de destino a un servidor remoto. Recibe comandos del sistema para descargar y ejecutar complementos, eliminar procesos, desinstalarse/actualizarse y hacer capturas de imágenes de pantalla del sistema infectado. En Colombia, ha afectado en marzo a un 12.25% de las empresas y globalmente al 0.69%.

Los sectores más atacados a nivel mundial:
Este mes, la educación/investigación es la industria más atacada a nivel mundial, seguida de las Gobierno/Militar y ISP/MSP.

1. Educación/Investigación
2. Gobierno/Militar
3. ISP/MSP

Top 3 vulnerabilidades más explotadas en marzo:

1. ↔ Filtración de información del repositorio Git - La vulnerabilidad en la exposición de información en el repositorio Git está reportada. La explotación exitosa de esta vulnerabilidad podría permitir la divulgación involuntaria de información de la cuenta.

2. ↔ Ejecución remota de código en Apache Log4j (CVE-2021- 44228) – Existe una vulnerabilidad de ejecución remota de código en Apache Log4j que, si se explota de forma favorable, podría permitir a un atacante remoto ejecutar código arbitrario en el sistema afectado.
3. ↔ Ejecución remota de código en encabezados HTTP – Las cabeceras HTTP permiten que el cliente y el servidor pasen información adicional con una petición HTTP. Un ciberdelincuente remoto puede usar un encabezado HTTP vulnerable para ejecutar código arbitrario en el equipo infectado.
Top 3 del malware móvil mundial en marzo:

1. AlienBot – Esta familia es un Malware-as-a-Service (MaaS) para dispositivos Android que permite a un atacante remoto, como primer paso, inyectar código malicioso en aplicaciones financieras legítimas. El ciberdelincuente obtiene acceso a las cuentas de las víctimas, y finalmente controla completamente su dispositivo.
2. xHelper – Aplicación Android maliciosa que fue descubierta por primera vez en marzo de 2019. Se utiliza para descargar otras aplicaciones maliciosas y mostrar anuncios. Es capaz de esquivar los antivirus móviles, así como reinstalarse por sí misma en caso de que el usuario la elimine.
3. FluBot – FluBot es un malware botnet para Android que se distribuye a través de SMS de phishing, la mayoría de las veces haciéndose pasar por marcas de reparto de logística. Una vez que el usuario hace clic en el enlace dentro del mensaje, FluBot se instala y obtiene acceso a toda la información sensible del teléfono.

El Índice Global de Impacto de Amenazas de Check Point Software y su Mapa ThreatCloud están impulsados por la inteligencia ThreatCloud de Check Point Software. ThreatCloud proporciona inteligencia de amenazas en tiempo real derivada de cientos de millones de sensores en todo el mundo, sobre redes, endpoints y móviles. La inteligencia se enriquece con motores basados en IA y datos de investigación exclusivos de Check Point Research, la rama de inteligencia e investigación de Check Point Software Technologies. La lista completa de las 10 familias principales de malware en marzo está disponible en el blog de Check Point Software.

Las redes sociales han pasado a ser el objetivo principal. El sector del transporte es la segunda categoría más atacada. Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha publicado su Brand Phishing Report del Q1 de 2022 (enero-marzo). El estudio destaca las marcas que los ciberdelincuentes suplantan para intentar robar información personal o credenciales de pago.

La red social LinkedIn encabeza la clasificación por primera vez en la historia, siendo protagonista de más de la mitad (52%) de los intentos de phishing durante este primer trimestre del año, lo que supone un espectacular aumento del 44% con respecto al pasado periodo, en el que ocupaba la quinta posición y sólo representaba el 8% de los intentos de phishing. LinkedIn ha superado a DHL como la firma más afectada, que ahora ocupa la segunda posición y representa el 14% de todos los intentos de phishing de estos primeros meses del año.

Este último índice pone de manifiesto cómo las redes sociales han pasado a ser el objetivo principal de los ciberdelincuentes, por delante de las empresas de transporte y los gigantes tecnológicos como Google, Microsoft y Apple. LinkedIn es la marca más usada por un margen considerable, pero también vemos a WhatsApp en el top diez, representando casi 1 de cada 20 ataques relacionados con el phishing en todo el mundo. El informe destaca un ejemplo particular en el que contactan con los usuarios de LinkedIn a través de un correo electrónico de apariencia oficial en un intento de atraerlos para que hagan clic en un enlace malicioso. Una vez allí, se pide a los usuarios que inicien sesión a través de un portal falso en el que se recogen sus credenciales.

El sector del transporte es la segunda categoría más atacada, ya que los ciberdelincuentes siguen aprovechando el aumento del comercio electrónico para dirigirse directamente a los consumidores y a las empresas de mensajería. DHL ocupa la segunda posición con el 14% de los intentos de phishing; FedEx ha pasado de la séptima posición a la quinta, y ahora representa el 6% de todos los casos; y Maersk y AliExpress se estrenan en la lista de los diez primeros. Dicho informe destaca una estrategia de phishing en particular que utilizaba correos electrónicos con la marca Maersk para fomentar la descarga de supuestos documentos de tránsito, infectando los equipos de trabajo con malware.

“Estos intentos de phishing son ataques oportunistas, simple y llanamente. Los grupos criminales los realizan a gran escala, con el fin de conseguir que el mayor número de personas facilite sus datos personales”, destaca Ivonne Pedraza, Territory Manager CCA de Check Point Software. “Algunos ataques intentarán aprovecharse de las personas o robar su información, como los que estamos viendo con LinkedIn. Otros serán tentativas de desplegar malware en las empresas, como los correos electrónicos fraudulentos que contienen documentos de envíos inexistentes que estamos viendo con empresas como Maersk. Si alguna vez hubo alguna duda de que las redes sociales se convertirían en uno de los sectores objetivo de los grupos delictivos, el primer trimestre ha despejado esas dudas. Mientras que Facebook ha salido de la lista de los diez primeros, LinkedIn se ha disparado al número uno y ha sido responsable de más de la mitad de los intentos de phishing en lo que va de año. La mejor defensa contra estas amenazas, como siempre, es el conocimiento. Los empleados, en particular, deben recibir formación para detectar anomalías sospechosas, como dominios mal escritos, errores tipográficos, fechas incorrectas y otros detalles que pueden poner al descubierto un correo electrónico o mensaje de texto falso. Los usuarios de LinkedIn, en particular, deberían estar muy atentos durante los próximos meses”, concluye Ivonne Pedraza.

En un ataque de phishing de marca los atacantes intentan imitar la página web oficial de una empresa conocida utilizando un nombre de dominio o una URL y un diseño de web similares a los del sitio genuino. El enlace que lleva a la página web falsa puede enviarse a las personas objetivo por correo electrónico o mensaje de texto, o también puede redirigirse al usuario durante la navegación, o activarse desde una aplicación móvil fraudulenta. El sitio web falso suele contener un formulario destinado a robar las credenciales, los datos de pago u otra información personal de los usuarios.

Top phishing por marcas en el primer trimestre de 2022

1. LinkedIn (relacionado con el 52% de todos los ataques de phishing a nivel mundial)
2. DHL (14%)
3. Google (7%)
4. Microsoft (6%)
5. FedEx (6%)
6. WhatsApp (4%)
7. Amazon (2%)
8. Maersk (1%)
9. AliExpress (0.8%)
10. Apple (0.8%)

Email de phishing de Maersk - Ejemplo de malware

Durante el primer trimestre de 2022, se ha identificado un correo electrónico de phishing malicioso que utilizaba la marca Maersk e intentaba descargar el RAT (troyano de acceso remoto) Agent Tesla en el equipo del usuario. Así, el mensaje (véase la figura 1) enviado desde “Maersk Notification (service@maersk[.]com)” una dirección falseada- con el asunto “Maersk: verify Copy for Bill of Lading XXXXXXXXX ready for verification”. El contenido solicitaba la descarga de un archivo excel “Transport-Document”que provocaría la infección del sistema con el troyano Tesla.

Correo electrónico de phishing de LinkedIn - Ejemplo de robo de cuenta
En este mensaje de phishing, se observa un intento de robar la información de la cuenta de LinkedIn de un usuario. El email se envió desde “LinkedIn (smtpfox-6qhrg@tavic[.]com[.]mx)”, contenía el asunto “M&R Trading Co.,Ltd 合作采购订单＃XXXXXX”. El atacante intentaba atraer a la víctima para que hiciera clic en un enlace fraudulento, que redirige al usuario a una página de inicio de sesión falsa de LinkedIn (véase la figura 2).
En el enlace malicioso (https://carriermasr.com/public/linkedIn[.]com/linkedIn[.]com/login[.]php) el usuario debía introducir su nombre de usuario y su contraseña.

Como siempre, se recomienda a los usuarios que sean precavidos a la hora de introducir datos y credenciales personales en aplicaciones o sitios web de empresas, y que se lo piensen dos veces antes de abrir archivos adjuntos o enlaces de correo electrónico, especialmente de empresas como LinkedIn o DHL, ya que actualmente son los más utilizados para hacer suplantaciones.

Check Point Software ayudará a proteger la misión de la Estación Espacial Internacional. Como parte del proyecto, se ha construido un Centro de Misión Rakia exclusivo en las oficinas de Check Point Software en Tel Aviv albergando en su sede en Tel Aviv las instalaciones de la sala de control y los servicios de ciberseguridad. Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, apoya la misión espacial israelí Rakia acogiendo la comunicación con el centro de control especializado, situado en su sede de Tel Aviv, donde también albergará un centro de visitantes. Hoy, el astronauta israelí Eytan Stibbe tiene previsto despegar de Cabo Cañaveral (Florida) en una misión a la Estación Espacial Internacional (ISS). Allí llevará a cabo 35 experimentos, que van desde la investigación en alimentación y agricultura, pasando por pruebas médicas, el impacto de la microgravedad en la degradación del plástico, hasta ensayos con eventos luminosos transitorios, entre otros. La misión está prevista que dure entre 8 y 10 días.

Como parte del proyecto, se ha construido un Centro de Misión Rakia exclusivo en las oficinas de Check Point Software en Tel Aviv que tiene una sala de control desde la que científicos, artistas y educadores podrán supervisar las actividades de Eytan Stibbe y les permitirá realizar los cambios necesarios en los experimentos en tiempo real, a la vez que mantienen un diálogo directo con la sala de control de la ISS en Estados Unidos.

“En los últimos años, las empresas han gastado miles de millones de dólares en intentar establecer un camino "sencillo" hacia el espacio, lo que ha creado nuevas tecnologías y, a su vez, nuevos retos para la ciberseguridad”, afirma Oded Vanunu, responsable de investigación de vulnerabilidades de productos en Check Point Software Technologies. “Con una gran cantidad de comunicaciones y datos entre la nave espacial y la Tierra, cada fase de la misión Rakia necesita protección entre ambos puntos”.

La misión permitirá a los empresarios e investigadores israelíes avanzar en sus ideas innovadoras y les proporcionará una oportunidad única de poner a prueba sus empresas en un entorno de estudio único, contribuyendo así a las industrias de investigación internacionales e israelíes. El centro de visitantes, albergado por Check Point Software, hará accesible el Centro de la Misión Rakia a miles de estudiantes, permitiéndoles experimentar la travesía hacia el espacio a través de elementos interactivos y actividades educativas inspiradoras. El centro está dividido en cinco complejos, cada uno de los cuales representa un aspecto diferente de la misión:

1. El complejo de la Estación Espacial Internacional.
2. El centro de la misión "Rakia".
3. El parque de Experimentos Científicos.
4. El complejo de la vida en la Estación Espacial Internacional.
5. El proyecto inspirador “There is no dream too far away” (no hay sueño demasiado lejano).

Los visitantes podrán realizar una visualización del experimento Crisper de la Universidad de Tel Aviv y el Instituto Volcánico, que probará el diagnóstico genético de virus y bacterias en misiones espaciales en condiciones de microgravedad. Además, se simulará un experimento médico a distancia -detección del estrés y seguimiento del bienestar de los astronautas en remoto- a cargo de “Sheba Medical Center”, que reconoce el desarrollo de la angustia emocional y las situaciones de estrés a través de una app. La aplicación analizará el estado emocional de los visitantes, al igual que el de los astronautas en la estación espacial. El área inspiradora “No Dream Too Far” es una exposición fotográfica especial que muestra la “Coppola”, es decir, la ventana a través de la cual los astronautas observan la Tierra desde la Estación Espacial Internacional.

Los investigadores siguen observando un aumento de los ciberataques desde el comienzo de la guerra tanto en Ucrania como en Rusia, un 39% y un 22% respectivamente. Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha observado que los grupos de amenazas de todo el mundo están utilizando documentos con temática rusa/ucraniana para difundir malware y atraer a las víctimas hacia el ciberespionaje.

Dependiendo de los objetivos y de la región, los ciberdelincuentes están utilizando señuelos que van desde escritos de aspecto oficial hasta artículos de noticias y anuncios de ofertas de trabajo. Los investigadores creen que la motivación para estas campañas es el ciberespionaje, cuyo fin es robar información sensible a gobiernos, bancos y empresas energéticas. Los atacantes y sus víctimas no se concentran en una sola región, sino que se extienden por todo el mundo, incluyendo América Latina, Oriente Medio y Asia.

En una nueva publicación, Check Point Research realiza un perfil de tres grupos APT, denominados El Machete, Lyceum y Sidewinder, que se han descubierto recientemente llevando a cabo campañas de spear-phishing a víctimas de cinco países diferentes.

Nombre del APT Origen APT Sector al que se dirige Países objetivo
El Machete Países hispanohablantes Financiero, Gubernamental Nicaragua, Venezuela
Lyceum La República Islámica de Irán Energía Israel, Arabia Saudí
SideWinder Posiblemente la India Desconocido Pakistán

Características del malware
Check Point Research ha estudiado el malware que cada uno de los tres grupos de APTs ha utilizado de forma específica para las actividades de ciberespionaje. Las capacidades incluyen:
• Keylogging: roba todo aquello que se introduce mediante el teclado.
• Recopilación de credenciales: recaba las credenciales almacenadas en los navegadores Chrome y Firefox.
• Recogida de archivos: reúne información sobre los archivos de cada unidad y recoge los nombres y tamaños de los mismos, permitiendo el robo de ficheros específicos.
• Captura de pantalla.
• Recogida de datos del portapapeles.
• Ejecución de comandos.
Metodología de ataque
El Machete
1. Correo electrónico de spear-phishing con texto sobre Ucrania.
2. Documento de Word adjunto con un artículo versado en Ucrania.
3. La función maliciosa dentro del documento deja caer una secuencia de archivos.
4. Malware descargado en el PC.
Lyceum
1. Email con contenido sobre crímenes de guerra en Ucrania y enlace a un documento malicioso alojado en una página web.
2. El documento ejecuta un macrocódigo cuando se cierra el documento.
3. El archivo .exe se guarda en el PC.
4. La próxima vez que se reinicie el PC se iniciará el malware.
SideWinder
1. La víctima abre el documento malicioso.
2. Cuando se este se inicia, el archivo recupera una plantilla remota de un servidor controlado por el ciberdelincuente.
3. La plantilla externa que se descarga es un archivo RTF, que aprovecha la vulnerabilidad CVE-2017-11882.
4. Malware en el PC de la víctima.
Los documentos con temática de Rusia/Ucrania se convierten en un señuelo
El Machete:
Check Point Research ha descubierto a el grupo el Machete enviando correos electrónicos de spear-phishing a organizaciones financieras de Nicaragua, con un documento de Word adjunto titulado “Oscuros planes del régimen neonazi en Ucrania”. Dicho archivo contenía un artículo escrito y publicado por Alexander Khokholikov, el embajador ruso en Nicaragua, que discutía el conflicto ruso-ucraniano desde la perspectiva del Kremlin.
Lyceum:
A mediados de marzo, una empresa energética israelí recibió un email de la dirección inews-reporter@protonmail[.]com con el asunto “Crímenes de guerra rusos en Ucrania”. El mensaje contenía unas cuantas imágenes extraídas de medios de comunicación públicos y contenía un enlace a un artículo alojado en el dominio news-spot[.]live. Este enlace conducía a un documento que tenía el artículo “Researchers gather evidence of possible Russian war crimes in Ukraine”, publicado por The Guardian. El mismo dominio albergaba otros documentos maliciosos relacionados con Rusia y con la guerra entre Rusia y Ucrania, como una copia de un texto de The Atlantic Council de 2020 sobre las armas nucleares rusas, y una oferta de trabajo para un agente de “extracción/protección” en Ucrania.
SideWinder:
Este documento malicioso de Sidewinder, que también se aprovecha de la guerra entre Rusia y Ucrania, se subió a VirusTotal (VT) a mediados de marzo. A juzgar por su contenido, los objetivos previstos son entidades pakistaníes; el cebo contiene un texto del Instituto Nacional de Asuntos Marítimos de la Universidad Bahria en Islamabad, y se titula “Charla centrada en el impacto del conflicto ruso-ucraniano en Pakistán”. Este archivo malicioso utiliza la inyección remota de plantillas. Cuando se abre, recupera una plantilla remota de un servidor controlado por el ciberdelincuente.
“En este momento, estamos viendo una gran variedad de campañas APT que aprovechan la guerra actual para la distribución de malware. Se trata de prácticas muy específicas y sofisticadas, centradas principalmente en víctimas de los sectores gubernamental, financiero y energético. En este informe, presentamos el perfil y los ejemplos de tres grupos APT diferentes, originarios de distintas partes del mundo, a los que hemos descubierto orquestando estas campañas de spear-phishing. Hemos estudiado detenidamente el malware implicado, y sus capacidades abarcan el registro de teclas, la captura de pantalla y otras muchas funciones”, alerta Ivonne Pedraza, Territory Manager CCA de Check Point Software. “Creemos firmemente que todas estas están diseñadas con la principal motivación del ciberespionaje. Nuestros descubrimientos muestran una clara tendencia: las actividades colaterales en torno a la guerra entre Rusia y Ucrania se han convertido en un señuelo para los grupos de amenazas de todo el mundo. Recomiendo encarecidamente a los gobiernos, los bancos y las empresas energéticas que reiteren la concienciación y la educación en ciberseguridad a sus empleados, y que apliquen soluciones de ciberseguridad que protejan su red a todos los niveles”, concluye Ivonne Pedraza.
Últimas cifras globales de ciberataques a Ucrania, Rusia y los países de la OTAN
Recientemente, Check Point Research ha publicado una actualización sobre las tendencias de los ciberataques durante la actual guerra entre Rusia y Ucrania. Un mes después de su inicio, el 24 de febrero de 2022, ambos países han visto incrementados los ciberataques en un 10% y un 17% respectivamente. Asimismo, se ha constatado un aumento del 16% en los ciberataques a nivel global a lo largo del actual conflicto. Los investigadores han compartido los datos de ciberataques de los países y regiones de la OTAN, entre otros.

En América Latina, la media de amenazas semanales por compañía se elevó la semana pasada a 1.773, un 13% por encima de la cifra registrada antes del inicio del conflicto. En América del Norte, la cifra es del 14% de aumento. La semana pasada en Europa la media de ataques semanales por organización fue un 18% mayor que antes del inicio del conflicto. En APAC, el dato de crecimiento se sitúa en un 16%. Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, alerta de que el número de ciberataques tanto en Rusia como en Ucrania sigue aumentando. En Ucrania, la semana pasada la media de ataques semanales por empresa fue de 1.697, un 39% más que antes del inicio del conflicto y un 17% más que la semana previa. Por su parte, en Rusia la semana pasada la media de amenazas semanales por organización se situó en 1.550, un 22% superior a la de antes del inicio del conflicto y un 10% más que la semana anterior.

Asimismo, los investigadores están realizando un seguimiento de los ciberataques en todo el mundo en el marco del actual conflicto entre Rusia y Ucrania y han detectado que la media de ataques semanales por compañía se situó hace siete días en 1.290, un 16% más que antes del inicio del conflicto, y un 2% menos que la semana anterior. Durante todo el periodo que dura la guerra, la media de amenazas semanales ha aumentado un 9% en comparación con el periodo anterior.

Ciberataques por región

• En África, la media de ataques semanales por organización se situó la semana pasada en 2.169, un 7% más que antes del comienzo del conflicto y un 1% más que la semana anterior. Durante su desarrollo, la tasa semanal de ataques subió un 2% en comparación con el periodo previo a los enfrentamientos.
• En Europa, la media de ataques semanales por empresa se situó la semana pasada en 1.101, un 18% mayor que antes del inicio de la guerra y un 5% menor que la semana anterior. Durante el conflicto, la media semanal aumentó un 10% en comparación con el periodo anterior a este.
• En América Latina, la media de amenazas semanales por compañía se elevó la semana pasada a 1.773, un 13% por encima de la cifra registrada antes del inicio del conflicto y un 6% por debajo de la semana precedente. Durante el mismo, la media de ataques semanales creció un 9% en comparación con los momentos anteriores al conflicto.
• En América del Norte, el promedio de ataques semanales por organización en la última semana fue de 957, un 14% superior al de antes del comienzo del conflicto y un 5% inferior respecto a la semana anterior. Durante la guerra, la tasa media semanal de atentados se incrementó en un 10% en comparación con el periodo anterior al estallido de la guerra.
En cuanto a los ciberataques dirigidos a los países de la OTAN, la tendencia continúa creciendo. La última semana en España se incrementaron un 5% frente a los números previos del conflicto, reduciéndose un 5% con respecto a la semana anterior.

"Los ciberataques en ambos bandos, tanto en Rusia como Ucrania, siguen aumentando a medida que avanza el conflicto. La semana pasada, han crecido un 10% y un 17% respectivamente, en comparación con la semana anterior. Parece que los ciberdelincuentes están incrementando sus esfuerzos para aprovecharse de la situación. La tendencia es visible no sólo en los dos países implicados, sino a nivel mundial donde vemos que el promedio de ataques semanales por entidad fue la semana pasada un 16% más alto que antes del comienzo del conflicto. Creo que están tratando de aprovechar el bombo y el interés en torno a la guerra siempre que pueden, ya que buscan atacar a organizaciones que abarcan tanto al sector público, ya sea una ONG, una entidad sin ánimo de lucro o gubernamental, como al sector privado. Desde Check Point Software seguiremos vigilando las tendencias de los ciberataques en las próximas semanas en relación con el actual conflicto entre Rusia y Ucrania", explica Ivonne Pedraza, Territory Manager CCA Check Point Software.

Check Point Research recomienda a las personas que quieran hacer donativos que tengan cuidado con los enlaces y los sitios web que eligen para enviar fondos. En la Darknet los investigadores de CPR han localizado a una mujer que dice llamarse "Marina" y que utiliza una foto de un periódico alemán para identificarse de forma fraudulenta. En otro ejemplo, un anuncio de la Darknet dirige a un sitio web legítimo que ya ha recaudado donativos por valor de casi 10 millones de dólares en criptomonedas
Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha observado una tendencia en la Darknet en la que se publican anuncios para solicitar donaciones para ayudar a los ucranianos. Aunque algunos son legítimos, muchos por el contrario son fraudulentos. Todos los ejemplos encontrados solicitan donaciones en criptomonedas.

La Darknet es un apartado de Internet no visible para los motores de búsqueda y a la que se accede utilizando navegadores anónimos. Los investigadores advierten a los usuarios que no se deben realizar donaciones a Ucrania a través de ella, ya que los ciberdelincuentes buscan sacar provecho rápidamente del gran interés que despierta el conflicto con Rusia.

Según el fundador de la bolsa de criptomonedas Kina, con sede en Kiev, el gobierno ucraniano ha recaudado más de 26 millones de dólares en criptomonedas desde el comienzo de la guerra. Los investigadores de Check Point Research, que escanean con frecuencia la Darknet, han detectado varios anuncios y páginas web cuyo objetivo es recaudar dinero para el pueblo ucraniano, en su mayoría en forma de criptodivisas. La investigación realizada muestra que mientras algunos de estos sitios son parte de la campaña oficial de recaudación de fondos del gobierno ucraniano, otros parecen ser sospechosos y promovidos por ciberdelincuentes que aprovechan la crisis actual para realizar actividades fraudulentas.

Aunque no es ilegal acceder y utilizar la Darknet, muchas de las actividades que se realizan en ella son ventas y transacciones ilegítimas. Durante la pandemia, las investigaciones de CPR descubrieron anuncios relacionados con el Coronavirus y pequeñas webs que ofrecían desde certificados COVID falsos, a vacunas o resultados de pruebas falsas. Ahora, los investigadores han encontrado ejemplos de anuncios en esta red, tanto legítimos como cuestionables, en los que se solicita dinero para ayudar a las víctimas de la guerra.

Marina solicita ayuda en la Darknet

En la Darknet, los investigadores han hallado una página web (onion) que solicita donaciones para "Marina".
Una breve descripción afirma que "Marina" y sus hijos están tratando de escapar de Ucrania debido a una "muy mala situación" y están pidiendo dinero en criptomonedas El llamamiento también dice: "cada moneda ayuda".

Aunque los códigos QR adjuntos son direcciones de monederos de criptomonedas, una rápida comprobación muestra que la imagen principal de la página está tomada de un artículo de periódico de la cadena internacional de noticias alemana Deutsche Welle (DW). No parece proporcionarse ninguna otra información, lo que plantea dudas sobre la autenticidad y legitimidad general de la página.

Una rápida exploración de más sitios web en la Darknet muestra más mini sites que contienen solicitudes de donaciones. Algunos redireccionan a webs oficiales legítimas del gobierno y piden la recaudación de fondos, pero otros enlaces son nulos o a páginas vacías. Algunos sitios remiten a lo que parecen ser páginas web fraudulentas.

Algunas de las páginas web a las que se hace referencia en la Darknet apuntan realmente a lugares fiables. El que destaca es: https://www.defendukraine.org/donate-, un sitio online que llama a los usuarios a "ayudar al ejército ucraniano y a sus heridos, así como a las familias y niños atrapados en el conflicto en desarrollo". También hace referencia a la cuenta de Twitter "Defiende Ucrania". El dominio se registró el 16 de febrero, una semana antes de que comenzara la guerra en Ucrania. La web en sí es sencilla y contiene una lista de diferentes organizaciones y ONG de Ucrania, así como de criptomonedas: Bitcoin, Ethereum y USDT.

Direcciones de Bitcoin: https://www.blockchain.com/btc/address/357a3So9CbsNfBBgFYACGvxxS6tMaDoa1P
Este sitio ha recibido actualmente (desde 2022-02-24 12:58, primera transacción) 261.16141073 BTC valorados en 9.880.525,93 dólares.

En tiempos de crisis y circunstancias extremas, -como en este caso es la guerra- siempre hay una proliferación de ciberdelincuentes que intentan aprovechar la situación y se produce un aumento de las actividades fraudulentas. En un informe reciente, Check Point Research publicó datos sobre el incremento de las amenazas que los investigadores han observado desde el comienzo de la guerra. Los ataques contra el Gobierno y el sector militar de Ucrania crecieron un asombroso 196% en los tres primeros días de combate. No es de extrañar que los atacantes se dirijan ahora a la Darknet en busca de nuevas actividades ofensivas.

“Check Point Research siempre vigila de cerca la Darknet. El año pasado, encontramos anuncios de servicios falsos de Coronavirus. Ahora, estamos viendo cómo aparecen estafas de donaciones a medida que se intensifica el conflicto entre Rusia y Ucrania. Estos anuncios utilizan nombres falsos e historias personales para atraer a la ciudadanía a donar. En uno de los ejemplos, vemos a alguien que dice llamarse "Marina" y que muestra una foto personal con sus hijos de la mano. Resulta que la imagen está sacada en realidad de un periódico alemán”, advierte Ivonne Pedraza, Territory Manager CCA de Check Point Software. “Al mismo tiempo, estamos observando anuncios legítimos de donaciones para ayudar a los ucranianos, donde mostramos un ejemplo que logró recaudar casi diez millones de dólares. Así pues, en la Darknet se mezclan anuncios legítimos y fraudulentos. Pero esta red puede ser un lugar peligroso. Insto encarecidamente a todos los que quieran hacer donaciones a que utilicen fuentes y medios de confianza. Check Point Research la seguirá vigilando durante todo el tiempo que dure la guerra e informará de cualquier otra acción indebida”, destaca Ivonne Pedraza.