Check Point Software ayudará a proteger la misión de la Estación Espacial Internacional. Como parte del proyecto, se ha construido un Centro de Misión Rakia exclusivo en las oficinas de Check Point Software en Tel Aviv albergando en su sede en Tel Aviv las instalaciones de la sala de control y los servicios de ciberseguridad. Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, apoya la misión espacial israelí Rakia acogiendo la comunicación con el centro de control especializado, situado en su sede de Tel Aviv, donde también albergará un centro de visitantes. Hoy, el astronauta israelí Eytan Stibbe tiene previsto despegar de Cabo Cañaveral (Florida) en una misión a la Estación Espacial Internacional (ISS). Allí llevará a cabo 35 experimentos, que van desde la investigación en alimentación y agricultura, pasando por pruebas médicas, el impacto de la microgravedad en la degradación del plástico, hasta ensayos con eventos luminosos transitorios, entre otros. La misión está prevista que dure entre 8 y 10 días.

Como parte del proyecto, se ha construido un Centro de Misión Rakia exclusivo en las oficinas de Check Point Software en Tel Aviv que tiene una sala de control desde la que científicos, artistas y educadores podrán supervisar las actividades de Eytan Stibbe y les permitirá realizar los cambios necesarios en los experimentos en tiempo real, a la vez que mantienen un diálogo directo con la sala de control de la ISS en Estados Unidos.

“En los últimos años, las empresas han gastado miles de millones de dólares en intentar establecer un camino "sencillo" hacia el espacio, lo que ha creado nuevas tecnologías y, a su vez, nuevos retos para la ciberseguridad”, afirma Oded Vanunu, responsable de investigación de vulnerabilidades de productos en Check Point Software Technologies. “Con una gran cantidad de comunicaciones y datos entre la nave espacial y la Tierra, cada fase de la misión Rakia necesita protección entre ambos puntos”.

La misión permitirá a los empresarios e investigadores israelíes avanzar en sus ideas innovadoras y les proporcionará una oportunidad única de poner a prueba sus empresas en un entorno de estudio único, contribuyendo así a las industrias de investigación internacionales e israelíes. El centro de visitantes, albergado por Check Point Software, hará accesible el Centro de la Misión Rakia a miles de estudiantes, permitiéndoles experimentar la travesía hacia el espacio a través de elementos interactivos y actividades educativas inspiradoras. El centro está dividido en cinco complejos, cada uno de los cuales representa un aspecto diferente de la misión:

1. El complejo de la Estación Espacial Internacional.
2. El centro de la misión "Rakia".
3. El parque de Experimentos Científicos.
4. El complejo de la vida en la Estación Espacial Internacional.
5. El proyecto inspirador “There is no dream too far away” (no hay sueño demasiado lejano).

Los visitantes podrán realizar una visualización del experimento Crisper de la Universidad de Tel Aviv y el Instituto Volcánico, que probará el diagnóstico genético de virus y bacterias en misiones espaciales en condiciones de microgravedad. Además, se simulará un experimento médico a distancia -detección del estrés y seguimiento del bienestar de los astronautas en remoto- a cargo de “Sheba Medical Center”, que reconoce el desarrollo de la angustia emocional y las situaciones de estrés a través de una app. La aplicación analizará el estado emocional de los visitantes, al igual que el de los astronautas en la estación espacial. El área inspiradora “No Dream Too Far” es una exposición fotográfica especial que muestra la “Coppola”, es decir, la ventana a través de la cual los astronautas observan la Tierra desde la Estación Espacial Internacional.

Los investigadores siguen observando un aumento de los ciberataques desde el comienzo de la guerra tanto en Ucrania como en Rusia, un 39% y un 22% respectivamente. Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha observado que los grupos de amenazas de todo el mundo están utilizando documentos con temática rusa/ucraniana para difundir malware y atraer a las víctimas hacia el ciberespionaje.

Dependiendo de los objetivos y de la región, los ciberdelincuentes están utilizando señuelos que van desde escritos de aspecto oficial hasta artículos de noticias y anuncios de ofertas de trabajo. Los investigadores creen que la motivación para estas campañas es el ciberespionaje, cuyo fin es robar información sensible a gobiernos, bancos y empresas energéticas. Los atacantes y sus víctimas no se concentran en una sola región, sino que se extienden por todo el mundo, incluyendo América Latina, Oriente Medio y Asia.

En una nueva publicación, Check Point Research realiza un perfil de tres grupos APT, denominados El Machete, Lyceum y Sidewinder, que se han descubierto recientemente llevando a cabo campañas de spear-phishing a víctimas de cinco países diferentes.

Nombre del APT Origen APT Sector al que se dirige Países objetivo
El Machete Países hispanohablantes Financiero, Gubernamental Nicaragua, Venezuela
Lyceum La República Islámica de Irán Energía Israel, Arabia Saudí
SideWinder Posiblemente la India Desconocido Pakistán

Características del malware
Check Point Research ha estudiado el malware que cada uno de los tres grupos de APTs ha utilizado de forma específica para las actividades de ciberespionaje. Las capacidades incluyen:
• Keylogging: roba todo aquello que se introduce mediante el teclado.
• Recopilación de credenciales: recaba las credenciales almacenadas en los navegadores Chrome y Firefox.
• Recogida de archivos: reúne información sobre los archivos de cada unidad y recoge los nombres y tamaños de los mismos, permitiendo el robo de ficheros específicos.
• Captura de pantalla.
• Recogida de datos del portapapeles.
• Ejecución de comandos.
Metodología de ataque
El Machete
1. Correo electrónico de spear-phishing con texto sobre Ucrania.
2. Documento de Word adjunto con un artículo versado en Ucrania.
3. La función maliciosa dentro del documento deja caer una secuencia de archivos.
4. Malware descargado en el PC.
Lyceum
1. Email con contenido sobre crímenes de guerra en Ucrania y enlace a un documento malicioso alojado en una página web.
2. El documento ejecuta un macrocódigo cuando se cierra el documento.
3. El archivo .exe se guarda en el PC.
4. La próxima vez que se reinicie el PC se iniciará el malware.
SideWinder
1. La víctima abre el documento malicioso.
2. Cuando se este se inicia, el archivo recupera una plantilla remota de un servidor controlado por el ciberdelincuente.
3. La plantilla externa que se descarga es un archivo RTF, que aprovecha la vulnerabilidad CVE-2017-11882.
4. Malware en el PC de la víctima.
Los documentos con temática de Rusia/Ucrania se convierten en un señuelo
El Machete:
Check Point Research ha descubierto a el grupo el Machete enviando correos electrónicos de spear-phishing a organizaciones financieras de Nicaragua, con un documento de Word adjunto titulado “Oscuros planes del régimen neonazi en Ucrania”. Dicho archivo contenía un artículo escrito y publicado por Alexander Khokholikov, el embajador ruso en Nicaragua, que discutía el conflicto ruso-ucraniano desde la perspectiva del Kremlin.
Lyceum:
A mediados de marzo, una empresa energética israelí recibió un email de la dirección inews-reporter@protonmail[.]com con el asunto “Crímenes de guerra rusos en Ucrania”. El mensaje contenía unas cuantas imágenes extraídas de medios de comunicación públicos y contenía un enlace a un artículo alojado en el dominio news-spot[.]live. Este enlace conducía a un documento que tenía el artículo “Researchers gather evidence of possible Russian war crimes in Ukraine”, publicado por The Guardian. El mismo dominio albergaba otros documentos maliciosos relacionados con Rusia y con la guerra entre Rusia y Ucrania, como una copia de un texto de The Atlantic Council de 2020 sobre las armas nucleares rusas, y una oferta de trabajo para un agente de “extracción/protección” en Ucrania.
SideWinder:
Este documento malicioso de Sidewinder, que también se aprovecha de la guerra entre Rusia y Ucrania, se subió a VirusTotal (VT) a mediados de marzo. A juzgar por su contenido, los objetivos previstos son entidades pakistaníes; el cebo contiene un texto del Instituto Nacional de Asuntos Marítimos de la Universidad Bahria en Islamabad, y se titula “Charla centrada en el impacto del conflicto ruso-ucraniano en Pakistán”. Este archivo malicioso utiliza la inyección remota de plantillas. Cuando se abre, recupera una plantilla remota de un servidor controlado por el ciberdelincuente.
“En este momento, estamos viendo una gran variedad de campañas APT que aprovechan la guerra actual para la distribución de malware. Se trata de prácticas muy específicas y sofisticadas, centradas principalmente en víctimas de los sectores gubernamental, financiero y energético. En este informe, presentamos el perfil y los ejemplos de tres grupos APT diferentes, originarios de distintas partes del mundo, a los que hemos descubierto orquestando estas campañas de spear-phishing. Hemos estudiado detenidamente el malware implicado, y sus capacidades abarcan el registro de teclas, la captura de pantalla y otras muchas funciones”, alerta Ivonne Pedraza, Territory Manager CCA de Check Point Software. “Creemos firmemente que todas estas están diseñadas con la principal motivación del ciberespionaje. Nuestros descubrimientos muestran una clara tendencia: las actividades colaterales en torno a la guerra entre Rusia y Ucrania se han convertido en un señuelo para los grupos de amenazas de todo el mundo. Recomiendo encarecidamente a los gobiernos, los bancos y las empresas energéticas que reiteren la concienciación y la educación en ciberseguridad a sus empleados, y que apliquen soluciones de ciberseguridad que protejan su red a todos los niveles”, concluye Ivonne Pedraza.
Últimas cifras globales de ciberataques a Ucrania, Rusia y los países de la OTAN
Recientemente, Check Point Research ha publicado una actualización sobre las tendencias de los ciberataques durante la actual guerra entre Rusia y Ucrania. Un mes después de su inicio, el 24 de febrero de 2022, ambos países han visto incrementados los ciberataques en un 10% y un 17% respectivamente. Asimismo, se ha constatado un aumento del 16% en los ciberataques a nivel global a lo largo del actual conflicto. Los investigadores han compartido los datos de ciberataques de los países y regiones de la OTAN, entre otros.

En América Latina, la media de amenazas semanales por compañía se elevó la semana pasada a 1.773, un 13% por encima de la cifra registrada antes del inicio del conflicto. En América del Norte, la cifra es del 14% de aumento. La semana pasada en Europa la media de ataques semanales por organización fue un 18% mayor que antes del inicio del conflicto. En APAC, el dato de crecimiento se sitúa en un 16%. Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, alerta de que el número de ciberataques tanto en Rusia como en Ucrania sigue aumentando. En Ucrania, la semana pasada la media de ataques semanales por empresa fue de 1.697, un 39% más que antes del inicio del conflicto y un 17% más que la semana previa. Por su parte, en Rusia la semana pasada la media de amenazas semanales por organización se situó en 1.550, un 22% superior a la de antes del inicio del conflicto y un 10% más que la semana anterior.

Asimismo, los investigadores están realizando un seguimiento de los ciberataques en todo el mundo en el marco del actual conflicto entre Rusia y Ucrania y han detectado que la media de ataques semanales por compañía se situó hace siete días en 1.290, un 16% más que antes del inicio del conflicto, y un 2% menos que la semana anterior. Durante todo el periodo que dura la guerra, la media de amenazas semanales ha aumentado un 9% en comparación con el periodo anterior.

Ciberataques por región

• En África, la media de ataques semanales por organización se situó la semana pasada en 2.169, un 7% más que antes del comienzo del conflicto y un 1% más que la semana anterior. Durante su desarrollo, la tasa semanal de ataques subió un 2% en comparación con el periodo previo a los enfrentamientos.
• En Europa, la media de ataques semanales por empresa se situó la semana pasada en 1.101, un 18% mayor que antes del inicio de la guerra y un 5% menor que la semana anterior. Durante el conflicto, la media semanal aumentó un 10% en comparación con el periodo anterior a este.
• En América Latina, la media de amenazas semanales por compañía se elevó la semana pasada a 1.773, un 13% por encima de la cifra registrada antes del inicio del conflicto y un 6% por debajo de la semana precedente. Durante el mismo, la media de ataques semanales creció un 9% en comparación con los momentos anteriores al conflicto.
• En América del Norte, el promedio de ataques semanales por organización en la última semana fue de 957, un 14% superior al de antes del comienzo del conflicto y un 5% inferior respecto a la semana anterior. Durante la guerra, la tasa media semanal de atentados se incrementó en un 10% en comparación con el periodo anterior al estallido de la guerra.
En cuanto a los ciberataques dirigidos a los países de la OTAN, la tendencia continúa creciendo. La última semana en España se incrementaron un 5% frente a los números previos del conflicto, reduciéndose un 5% con respecto a la semana anterior.

"Los ciberataques en ambos bandos, tanto en Rusia como Ucrania, siguen aumentando a medida que avanza el conflicto. La semana pasada, han crecido un 10% y un 17% respectivamente, en comparación con la semana anterior. Parece que los ciberdelincuentes están incrementando sus esfuerzos para aprovecharse de la situación. La tendencia es visible no sólo en los dos países implicados, sino a nivel mundial donde vemos que el promedio de ataques semanales por entidad fue la semana pasada un 16% más alto que antes del comienzo del conflicto. Creo que están tratando de aprovechar el bombo y el interés en torno a la guerra siempre que pueden, ya que buscan atacar a organizaciones que abarcan tanto al sector público, ya sea una ONG, una entidad sin ánimo de lucro o gubernamental, como al sector privado. Desde Check Point Software seguiremos vigilando las tendencias de los ciberataques en las próximas semanas en relación con el actual conflicto entre Rusia y Ucrania", explica Ivonne Pedraza, Territory Manager CCA Check Point Software.

Check Point Research recomienda a las personas que quieran hacer donativos que tengan cuidado con los enlaces y los sitios web que eligen para enviar fondos. En la Darknet los investigadores de CPR han localizado a una mujer que dice llamarse "Marina" y que utiliza una foto de un periódico alemán para identificarse de forma fraudulenta. En otro ejemplo, un anuncio de la Darknet dirige a un sitio web legítimo que ya ha recaudado donativos por valor de casi 10 millones de dólares en criptomonedas
Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha observado una tendencia en la Darknet en la que se publican anuncios para solicitar donaciones para ayudar a los ucranianos. Aunque algunos son legítimos, muchos por el contrario son fraudulentos. Todos los ejemplos encontrados solicitan donaciones en criptomonedas.

La Darknet es un apartado de Internet no visible para los motores de búsqueda y a la que se accede utilizando navegadores anónimos. Los investigadores advierten a los usuarios que no se deben realizar donaciones a Ucrania a través de ella, ya que los ciberdelincuentes buscan sacar provecho rápidamente del gran interés que despierta el conflicto con Rusia.

Según el fundador de la bolsa de criptomonedas Kina, con sede en Kiev, el gobierno ucraniano ha recaudado más de 26 millones de dólares en criptomonedas desde el comienzo de la guerra. Los investigadores de Check Point Research, que escanean con frecuencia la Darknet, han detectado varios anuncios y páginas web cuyo objetivo es recaudar dinero para el pueblo ucraniano, en su mayoría en forma de criptodivisas. La investigación realizada muestra que mientras algunos de estos sitios son parte de la campaña oficial de recaudación de fondos del gobierno ucraniano, otros parecen ser sospechosos y promovidos por ciberdelincuentes que aprovechan la crisis actual para realizar actividades fraudulentas.

Aunque no es ilegal acceder y utilizar la Darknet, muchas de las actividades que se realizan en ella son ventas y transacciones ilegítimas. Durante la pandemia, las investigaciones de CPR descubrieron anuncios relacionados con el Coronavirus y pequeñas webs que ofrecían desde certificados COVID falsos, a vacunas o resultados de pruebas falsas. Ahora, los investigadores han encontrado ejemplos de anuncios en esta red, tanto legítimos como cuestionables, en los que se solicita dinero para ayudar a las víctimas de la guerra.

Marina solicita ayuda en la Darknet

En la Darknet, los investigadores han hallado una página web (onion) que solicita donaciones para "Marina".
Una breve descripción afirma que "Marina" y sus hijos están tratando de escapar de Ucrania debido a una "muy mala situación" y están pidiendo dinero en criptomonedas El llamamiento también dice: "cada moneda ayuda".

Aunque los códigos QR adjuntos son direcciones de monederos de criptomonedas, una rápida comprobación muestra que la imagen principal de la página está tomada de un artículo de periódico de la cadena internacional de noticias alemana Deutsche Welle (DW). No parece proporcionarse ninguna otra información, lo que plantea dudas sobre la autenticidad y legitimidad general de la página.

Una rápida exploración de más sitios web en la Darknet muestra más mini sites que contienen solicitudes de donaciones. Algunos redireccionan a webs oficiales legítimas del gobierno y piden la recaudación de fondos, pero otros enlaces son nulos o a páginas vacías. Algunos sitios remiten a lo que parecen ser páginas web fraudulentas.

Algunas de las páginas web a las que se hace referencia en la Darknet apuntan realmente a lugares fiables. El que destaca es: https://www.defendukraine.org/donate-, un sitio online que llama a los usuarios a "ayudar al ejército ucraniano y a sus heridos, así como a las familias y niños atrapados en el conflicto en desarrollo". También hace referencia a la cuenta de Twitter "Defiende Ucrania". El dominio se registró el 16 de febrero, una semana antes de que comenzara la guerra en Ucrania. La web en sí es sencilla y contiene una lista de diferentes organizaciones y ONG de Ucrania, así como de criptomonedas: Bitcoin, Ethereum y USDT.

Direcciones de Bitcoin: https://www.blockchain.com/btc/address/357a3So9CbsNfBBgFYACGvxxS6tMaDoa1P
Este sitio ha recibido actualmente (desde 2022-02-24 12:58, primera transacción) 261.16141073 BTC valorados en 9.880.525,93 dólares.

En tiempos de crisis y circunstancias extremas, -como en este caso es la guerra- siempre hay una proliferación de ciberdelincuentes que intentan aprovechar la situación y se produce un aumento de las actividades fraudulentas. En un informe reciente, Check Point Research publicó datos sobre el incremento de las amenazas que los investigadores han observado desde el comienzo de la guerra. Los ataques contra el Gobierno y el sector militar de Ucrania crecieron un asombroso 196% en los tres primeros días de combate. No es de extrañar que los atacantes se dirijan ahora a la Darknet en busca de nuevas actividades ofensivas.

“Check Point Research siempre vigila de cerca la Darknet. El año pasado, encontramos anuncios de servicios falsos de Coronavirus. Ahora, estamos viendo cómo aparecen estafas de donaciones a medida que se intensifica el conflicto entre Rusia y Ucrania. Estos anuncios utilizan nombres falsos e historias personales para atraer a la ciudadanía a donar. En uno de los ejemplos, vemos a alguien que dice llamarse "Marina" y que muestra una foto personal con sus hijos de la mano. Resulta que la imagen está sacada en realidad de un periódico alemán”, advierte Ivonne Pedraza, Territory Manager CCA de Check Point Software. “Al mismo tiempo, estamos observando anuncios legítimos de donaciones para ayudar a los ucranianos, donde mostramos un ejemplo que logró recaudar casi diez millones de dólares. Así pues, en la Darknet se mezclan anuncios legítimos y fraudulentos. Pero esta red puede ser un lugar peligroso. Insto encarecidamente a todos los que quieran hacer donaciones a que utilicen fuentes y medios de confianza. Check Point Research la seguirá vigilando durante todo el tiempo que dure la guerra e informará de cualquier otra acción indebida”, destaca Ivonne Pedraza.

El grupo Conti cuenta con oficinas físicas en varios países, incluida Rusia. El equipo de RR. HH de Conti ofrece bonificaciones mensuales, primas, premio al empleado del mes y revisiones de rendimiento. Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha recabado nuevos detalles sobre el funcionamiento interno del grupo de ransomware Conti. Conti es un grupo de Ransomware-as-a-Service (RaaS), que permite alquilar el acceso a su infraestructura para lanzar ataques. Expertos del sector han afirmado que Conti tiene su sede en Rusia y puede tener vínculos con la inteligencia de este país. A Conti se le han atribuido ataques de ransomware dirigidos a docenas de empresas, entre ellas el gigante de la ropa Fat Face y Shutterfly, así como a infraestructuras críticas, como el servicio sanitario irlandés y otras organizaciones de asistencia.

El 27 de febrero de este año un presunto infiltrado difundió en Internet un caché de registros de chat pertenecientes al Conti, que afirmaba haberse opuesto al apoyo del grupo a la invasión rusa de Ucrania. Los investigadores analizaron los archivos filtrados y descubrieron que este conjunto de ransomware opera como una gran empresa tecnológica. La compañía tiene un departamento de Recursos Humanos, un proceso de contratación, salarios y pago de bonificaciones.

1. Características de las operaciones internas de Conti:

• Conti actúa como una empresa tecnológica:
- Estructura jerárquica y definida.
- Responsables de equipo que dependen de la alta dirección.
- Principales grupos observados: RR. HH, programadores, verificadores, criptógrafos, administradores de sistemas, ingenieros informáticos, especialistas en OSINT y personal de negociación.
- Check Point Research ha identificado a los principales implicados con sus nombres: Stern (gran jefe), Bentley (jefe técnico), Mango (gestor de cuestiones generales), Buza (director técnico), Target (responsable de los codificadores y sus productos), Veron alias Mors (coordinador de las operaciones del grupo con Emotet).
• Trabajar desde una oficina física en Rusia:
- El grupo Conti dispone de diversas oficinas físicas. El responsable es "Target", socio de Stern y responsable efectivo de la operativa de las oficinas, que también es el encargado del fondo salarial, del equipamiento técnico, del proceso de contratación de Conti y de la formación del personal. Durante 2020, las oficinas offline fueron utilizadas principalmente por los técnicos de pruebas, los equipos ofensivos y los negociadores; Target señala 2 oficinas dedicadas a los trabajadores que hablan directamente con los representantes de las víctimas.
- En agosto de 2020, se abrió una adicional para administradores de sistemas y programadores, bajo la supervisión del "Profesor, que es quien se encarga de todo el proceso técnico de garantizar las infecciones”.
• Remuneración. Primas mensuales, multas, empleado del mes, evaluaciones de rendimiento:
- Los miembros del equipo de negociación de Conti (incluidos los especialistas en OSINT) cobran mediante comisiones, calculadas como un porcentaje del valor del rescate pagado que oscila entre el 0,5% y el 1%. Los programadores y algunos de los directivos reciben un salario en bitcoin, transferido una o dos veces al mes.
- Los empleados de Conti no están sindicados, por lo que están expuestos a prácticas como ser sancionados por su bajo rendimiento.
2. El talento se recluta tanto de fuentes legítimas como clandestinas
- El principal recurso que suele utilizar Conti HR para la contratación son los servicios de búsqueda de personal de habla rusa, como headhunter.ru. También han utilizado otros portales como superjobs.ru, pero al parecer con menos éxito. Conti OPSec prohíbe dejar rastros de las ofertas de trabajo para desarrolladores en esos sitios web, una norma que aplica estrictamente uno de los altos cargos, "Stern".
- Así que, para contratar desarrolladores, Conti se salta el sistema de empleo de headhunter.ru, y en su lugar accede directamente a la bolsa de currículums y se pone en contacto con los candidatos por correo electrónico. Es posible que alguien se pregunte "¿por qué headhunter.ru ofrece este servicio?", y la respuesta es que no lo hace. Conti simplemente "ha tomado prestada" la bolsa de currículums sin permiso, lo que parece ser una práctica habitual en el mundo de la ciberdelincuencia.
3. Conti y los planes de futuro: intercambio de criptomonedas y una red social de darknet
- Una de las ideas discutidas es la creación de una bolsa de criptomonedas en el propio ecosistema del grupo.
- Otro proyecto es la "red social de la Darknet" (también: "VK para la Darknet" o "Carbon Black para los hackers"), un proyecto inspirado por Stern y llevado a cabo por Mango, como una acción comercial. En julio de 2021, Conti ya se puso en contacto con un diseñador, que realizó algunas maquetas.
“Por primera vez, tenemos la oportunidad de acceder a un grupo conocido en el mundo del ransomware. Conti actúa como una empresa de alta tecnología. Nos encontramos con cientos de empleados en una jerarquía de directivos. Vemos una función de RR. HH, con responsables de diferentes departamentos. De forma alarmante, tenemos pruebas de que no todos los asalariados son plenamente conscientes de que forman parte de un grupo de ciberdelincuentes. En otras palabras, Conti ha podido reclutar profesionales de fuentes legítimas. Estos trabajadores creen que están colaborando con una empresa de publicidad, cuando en realidad están haciéndolo con un conocido grupo de ransomware”, explica Ivonne Pedraza, Territory Manager CCA de Check Point technologies. “Algunos de ellos se enteran de la verdad y deciden quedarse, lo que revela que el equipo directivo de Conti ha desarrollado un proceso para conseguir retenerlos. Nos queda claro que Conti ha desarrollado una cultura interna para aumentar los beneficios, además de multar a los empleados por comportamientos inadecuados. También es evidente que Conti tiene oficinas en Rusia. Nuestra publicación presenta conclusiones sobre su funcionamiento interno y su cultura”, concluye Ivonne Pedraza

Para celebrar el Día Internacional de la Mujer 2022, Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, explica cómo han hecho grandes avances en el reconocimiento y la importancia de las mujeres en la ciberseguridad. En este sentido, Check Point actúa y lleva a cabo acciones cada día para aumentar la representación femenina dentro de su empresa y apoyar la proliferación de estas en la industria de la ciberseguridad.

En 2013, las mujeres ocupaban solo el 11% de los puestos de trabajo en el mundo de la ciberseguridad. En 2020, las mujeres europeas representaban el 23% de la fuerza laboral en este campo según el informe Women in Cybersecurity, realizado por la organización de certificaciones en seguridad (ISC)2. Aunque es cierto que cada vez son más las mujeres que ocupan puestos en ciberseguridad, aún queda mucho camino por recorrer para romper las diferencias de género.

Para lograr la meta de tener una organización más equilibrada en términos de género, Check Point Software participa en diferentes conferencias y eventos que promueven la diversidad de género con el fin de incorporar candidatas a la compañía. También ha establecido iniciativas como el programa Woman Mentoring, una campaña de desarrollo del liderazgo para futuras líderes femeninas o el programa de mentoría FIERCE en Estados Unidos, que se llevan a cabo en la región de EMEA cada seis meses. El funcionamiento contempla una dinámica en la que se nombra a una mujer con experiencia, directora o líder de equipo para que guíe a una alumna con menor recorrido. Se trata de una asociación de aprendizaje y desarrollo con un intercambio bidireccional de orientación y asesoramiento, para apoyar a las mujeres que desean desarrollar su carrera en el mundo de la ciberseguridad.

Otra iniciativa llevada a cabo en colaboración con la empresa estadounidense FIERCE es el programa FIERCE Mentorship, cuyo objetivo es formar a las mujeres jóvenes para que se involucren en la ciberseguridad. Este foro de divulgación comunitaria trabaja con comunidades y programas locales para ofrecer actividades innovadoras que inspiren a las chicas a elegir y seguir carreras relacionadas con la ciberseguridad.

"En Check Point Software siempre hemos estado muy comprometidos no sólo con la igualdad, sino con romper los prejuicios en el lugar de trabajo a la hora de contratar, formar y evaluar a nuestros empleados. Para ello, llevamos a cabo programas especiales dedicados a desarrollar las carreras de todas nuestras empleadas, por ejemplo, en el ámbito de la formación. Hemos puesto en marcha un programa de mentoría de alto rendimiento para desarrollar las carreras de las mujeres en nuestros equipos y otro centrado en el desarrollo del liderazgo para las futuras directivas, para preparar a las próximas líderes de nuestra empresa", explica Maya Horowitz, vicepresidenta de investigación de Check Point Software.

"Han sido muchas las mujeres sobresalientes que han sido cruciales en el éxito de Check Point Software desde su nacimiento. La mejor ciberseguridad se basa en tener a las mejores mujeres y hombres trabajando en ella, y nuestra diversidad es siempre un beneficio", destaca Gil Shwed, fundador y CEO de Check Point Software. “Check Point se esfuerza cada día por aumentar la representación femenina y sigue promoviendo campañas y asociaciones con organizaciones para aumentar el número de mujeres en puestos relacionados con la tecnología y formarlas para que crezca su formación en ciberseguridad. En la actualidad, más de la mitad de los altos cargos ejecutivos de Check Point Software están ocupados por mujeres, como la directora de producto (CPO), la directora financiera (CFO), la directora de operaciones (COO) y la directora comercial (CCO)”.

Se ha descubierto que títulos populares como "Temple Run" o "Subway Surfer" son maliciosos, los atacantes pueden utilizar el malware instalado como backdoor para obtener el control total de los equipos de las víctimas. Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha detectado la existencia de un nuevo malware que se está distribuyendo activamente a través de la tienda oficial de Microsoft, apodado Electron Bot.

Con más de 5.000 equipos ya afectados, el malware ejecuta continuamente comandos de los ciberdelincuentes, como por ejemplo el control de cuentas de redes sociales en Facebook, Google y Sound Cloud. De esta forma, es capaz de registrar nuevas cuentas, iniciar sesión, dejar comentarios y dar "me gusta" a otras publicaciones.

Electron Bot es un malware modular de envenenamiento SEO, que se utiliza para la promoción en redes sociales y el fraude de clics. Se distribuye principalmente a través de la plataforma de la tienda de Microsoft y aparece a partir de docenas de aplicaciones infectadas, en su mayoría videojuegos, que los ciberdelincuentes suben constantemente. La actividad de los atacantes comenzó como una campaña de clicker de anuncios descubierta a finales de 2018. El malware en cuestión se escondía en la tienda de Microsoft como una app llamada "Album by Google Photos" que decía ser publicada por Google LLC. Ahora ha evolucionado de forma constante a lo largo de los años, añadiendo nuevas características y técnicas a su arsenal.

El bot está desarrollado con Electron, un marco de trabajo para crear aplicaciones de escritorio multiplataforma utilizando scripts web. El marco combina el motor de renderizado Chromium y el tiempo de ejecución Node.js, dándole las capacidades de un navegador controlado por scripts como JavaScript.

Para evitar la detección, la mayoría de los scripts que controlan el malware se cargan dinámicamente en tiempo de ejecución desde los servidores de los ciberdelincuentes. Esto les permite modificar la carga útil del malware y cambiar el comportamiento de los bots en cualquier momento. Electron imita el comportamiento de la navegación humana y evadir las protecciones de los sitios web.

Las principales capacidades de Electron bot son:

1. Envenenamiento SEO, un método de ataque en el que los ciberdelincuentes crean sitios web maliciosos y utilizan tácticas de optimización de motores de búsqueda para que aparezcan de forma destacada en los resultados de búsqueda. Este método también se utiliza para vender como un servicio y promover el ranking de otros sitios web.
2. Ad Clicker, una infección informática que se ejecuta en segundo plano y se conecta constantemente a páginas web remotas para generar "clics" en la publicidad, con lo que se obtiene un beneficio económico por la cantidad de veces que se hace clic en un anuncio.
3. Promover cuentas de redes sociales, como YouTube y SoundCloud, para dirigir el tráfico a contenidos específicos y aumentar las visitas y los clics en los anuncios para generar beneficios.
4. Promocionar productos online para generar beneficios con los clics en los anuncios o aumentar la valoración de la tienda con el objetivo de aumentar las ventas.

Además, como la carga útil de Electron Bot se hace de forma dinámica, los atacantes pueden utilizar el malware instalado como backdoor para obtener el control total del dispositivo de la víctima.

Distribución a través de aplicaciones de videojuegos en Microsoft Store

Hay docenas de aplicaciones infectadas en la tienda de Microsoft. Se han encontrado títulos populares como "Temple Run" o "Subway Surfer" que son maliciosos.

Figura 1: Templo Endless Runner 2

Hasta ahora, los investigadores han contabilizado 5.000 víctimas en 20 países. La mayoría de las víctimas son de Suecia, Bermudas, Israel y España. Además, han detectado varios distribuidores de videojuegos maliciosos, donde todas las aplicaciones bajo los mismos están relacionadas con la campaña maliciosa:

• Lupy games
• Crazy 4 games
• Jeuxjeuxkeux games
• Akshi games
• Goo Games
• Bizon case

Cómo funciona el malware

1. El ciberataque comienza con la instalación de una aplicación de la tienda de Microsoft que se hace pasar por legítima.
2. Tras la instalación, el ciberdelincuente descarga archivos y ejecuta scripts.
3. El malware, que ha sido descargado, gana persistencia en el equipo de la víctima, ejecutando repetidamente varios comandos enviados desde el C&C del atacante.

En cuanto al origen de este ciberataque, hay evidencias de que la campaña de malware se inició en Bulgaria, incluyendo:

• Todas las variantes entre 2019 - 2022 fueron subidas a un almacenamiento público en la nube "mediafire.com" desde Bulgaria.
• La cuenta de Sound Cloud y el canal de YouTube que el bot promociona están bajo el nombre de "Ivaylo Yordanov", un popular luchador de fútbol búlgaro.
• Bulgaria es el país más promocionado en el código fuente.

Los investigadores de Check Point Research ha informado a Microsoft de todos los distribuidores de videojuegos detectados que están relacionados con esta campaña.

"Esta investigación ha analizado un nuevo malware llamado Electron-Bot que ha atacado a más de 5.000 víctimas en todo el mundo. Electron-Bot se descarga y se propaga fácilmente desde la plataforma oficial de la tienda de Microsoft. El framework Electron proporciona a las aplicaciones Electron acceso a todos los recursos informáticos, incluida la computación GPU. Como el payload del bot se carga dinámicamente en cada tiempo de ejecución, los atacantes pueden modificar el código y cambiar el comportamiento del bot a alto riesgo. Por ejemplo, pueden inicializar otra segunda etapa y enviar un nuevo malware como un ransomware o una RAT. Todo esto puede ocurrir sin el conocimiento de la víctima. La mayoría de las personas piensan que se puede confiar en las reseñas de las tiendas de aplicaciones, y no dudan en descargar una aplicación desde allí. Esto conlleva un riesgo increíble, ya que nunca se sabe qué elementos maliciosos se pueden estar descargando", alerta Ivonne Pedraza, Territory Manager CCA de Check Point Software.

Consejos de seguridad

Para estar lo más seguro posible, antes de descargar una aplicación de la tienda de aplicaciones:

1. Hay que evitar descargar una aplicación con poca cantidad de reseñas
2. Se debe buscar aplicaciones con buenas reseñas, consistentes y confiables
3. En caso de que el nombre de la aplicación sea sospechoso y no coincida con el nombre original, hay que prestar atención.