Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha detectado otra importante campaña de ciberataques en la que se están utilizando mensajes SMS de ingeniería social para atacar a los ciudadanos en Irán. Los SMS fraudulentos se hacen pasar por el Gobierno iraní y atraen a las víctimas para que descarguen aplicaciones Android maliciosas relacionadas con departamentos oficiales iraníes, como los Servicios Judiciales online de Irán. A su vez, estas apps persuaden a sus víctimas para que faciliten datos sensibles: credenciales de tarjetas de crédito y códigos de autenticación de dos factores. A partir de ahí, los atacantes pasan a realizar extracciones no autorizadas de las cuentas de las tarjetas de crédito de las víctimas.
Los ciberdelincuentes están aprovechando de una técnica conocida como botnets de "smishing", en la que los dispositivos comprometidos se usan como bots para difundir SMS de phishing similares a otras víctimas potenciales. Así, los atacantes utilizan varios canales de Telegram para promocionar y vender sus herramientas por entre 50 y 150 dólares, proporcionando un "kit de campaña para Android" completo, que incluye la aplicación maliciosa y la infraestructura subyacente, con un panel de control que puede ser gestionado fácilmente por cualquiera a través de una sencilla interfaz de bot de Telegram.
La información obtenida por Check Point Research llega en medio de importantes ciberataques dirigidos a la población iraní, incluyendo ataques a las gasolineras, ferrocarriles y otros, los cuales se atribuyen a ciberdelincuentes cuya motivación es totalmente económica.
Miles de millones de riales iraníes robados
Los investigadores estiman que se han conseguido comprometer e instalar malware en decenas de miles de dispositivos Android, provocando el robo de miles de millones de riales iraníes a las víctimas, con cifras estimadas de entre 1.000 y 2.000 dólares por usuario. Además, terceros pueden acceder online a los datos robados puesto que no han sido protegidos.
Metodología de los ciberdelincuentes
1. El ataque comienza con un mensaje SMS de phishing. En muchos casos, se trata de un mensaje de un sistema electrónico de notificación judicial que advierte a la víctima que se ha abierto una denuncia en su contra. El SMS incluye el enlace a una página web para el seguimiento de la denuncia.
2. A través de dicha página web se atrae al usuario para que descargue una aplicación Android maliciosa e introduzca los datos de su tarjeta de crédito bajo el pretexto de una pequeña cuota de servicio.
3. Una vez instalada, la App Android maliciosa roba todos los SMS del dispositivo infectado, permitiendo utilizar la tarjeta de crédito con acceso a los SMS 2FA enviados por las compañías de tarjetas de crédito.
4. La aplicación maliciosa comprueba el servidor de C&C controlado por los ciberdelincuentes en busca de nuevos comandos para su ejecución de forma periódica.
El alcance del backdoor de Android incluyen:
1. Robo de SMS: inmediatamente después de la instalación de la app falsa, todos los mensajes SMS de la víctima se suben al servidor del ciberdelincuente.
2. Ocultación para mantener la persistencia: después de enviar la información de la tarjeta de crédito, la aplicación puede ocultar su icono, lo que dificulta su control y desinstalación.
3. Bypass 2FA: al tener acceso tanto a los datos de la tarjeta de crédito como a los SMS en el dispositivo pueden proceder a retiradas no autorizadas de las cuentas bancarias de la víctima, secuestrando la autenticación 2FA (contraseña de un solo uso)
4. Capacidades de botnet: el malware permite ejecutar comandos adicionales en el dispositivo de la víctima, como robar contactos y enviar mensajes SMS.
5. Capacidades de gusano: la aplicación puede enviar SMS a una lista, utilizando un mensaje personalizado y una lista de números de teléfono, ambos recuperados del servidor de C&C. Esto permite distribuir mensajes de phishing desde los números de teléfono de los usuarios típicos en lugar de desde un emplazamiento centralizado y no limitarse a un pequeño conjunto de números de teléfono que podrían ser fácilmente bloqueados. Esto significa que, técnicamente, no hay líneas "maliciosas" que puedan ser bloqueadas por las compañías de telecomunicaciones o rastreadas hasta el ciberdelincuente.
"Estos ataques comenzaron con los ferrocarriles, que rastreamos hasta un grupo llamado Indra. Las amenazas continuaron con las gasolineras, y luego con la compañía nacional de aviación. Ahora, estamos asistiendo a otro ciberataque que demuestra cómo incluso la ciberdelincuencia a secas puede generar titulares y caos, perjudicando a muchos en este país. Aunque no vemos una conexión directa, nuestras últimas investigaciones muestran cómo incluso las menos sofisticadas crean un daño significativo en la población general de Irán. Creemos que la motivación es financiera y son una forma de ciberdelincuencia en estado puro. Sospechamos que los implicados son probablemente del propio Irán”, alerta Alexandra Gofman, jefa del equipo de Inteligencia de Amenazas de Check Point Software. “En concreto, la velocidad y la propagación de estos grupos no tienen precedentes. Es un ejemplo de campaña con éxito monetario dirigida hacia el público en general. La campaña se aprovecha de la ingeniería social y causa importantes pérdidas económicas, a pesar de la baja calidad y la sencillez técnica de sus herramientas. Su éxito se debe a varias razones. En primer lugar, cuando se trata de mensajes gubernamentales de aspecto oficial, los ciudadanos hacen clic en el enlace proporcionado. En segundo lugar, debido a la naturaleza de botnet de estos ataques, en los que cada dispositivo infectado recibe la orden de distribuir más mensajes SMS de phishing, estas campañas se propagan rápidamente a un gran número de víctimas potenciales. Aunque estas campañas específicas están muy extendidas en Irán, pueden tener lugar en cualquier otra parte del mundo. Creo que es importante concienciar sobre los esquemas de ingeniería social que emplean los actores maliciosos”, concluye Gofman.
Consejos de seguridad
• Utilizar las tiendas de aplicaciones oficiales para descargar apps, incluso las recomendadas por sus familiares o sugeridas en las redes sociales.
• Usar la autenticación de dos factores, preferiblemente desde dos dispositivos diferentes.
• Proteger el dispositivo móvil, como quien lo hace con el ordenador portátil.

Es esencial tener en cuenta la ciberseguridad a la hora de planificar el nuevo año. En 2021, los ciberataques relacionados con la pandemia en todo el mundo siguieron afectando a las organizaciones. Los ciberdelincuentes redoblaron sus ataques, aprovechando que algunos países experimentaban nuevas oleadas de cepas de COVID-19 o entraban en diversas fases de reapertura de sus fronteras, con picos de vendedores de certificados de vacunas falsos en la dark web como resultado.

Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, señala que los ciberataques a empresas de todo el mundo aumentaron un 40% en 2021, en comparación con el año anterior, y que 1 de cada 61 empresas se ha visto afectadas por ransomware cada semana.

A medida que las organizaciones se embarcan en el camino de la recuperación tras la pandemia, esencial tener en cuenta la ciberseguridad a la hora de planificar el año que viene. En este sentido, conviene analizar algunos de los principales incidentes cibernéticos y las lecciones aprendidas en 2021 para ayudar a las organizaciones a asegurar y proteger mejor sus negocios, activos y personas frente a posibles amenazas:

• Auge mundial de los documentos de vacunación COVID-19: la demanda mundial de certificados de vacunación falsos se disparó en las últimas semanas. Los investigadores de Check Point Research revelaron que el número de vendedores se multiplicó por 10, entre agosto y septiembre de este año. A medida que más países salen de las políticas de bloqueo del mandato de vacunación, la petición de estos pasaportes sigue creciendo. Los ciberdelincuentes están aprovechando estos acontecimientos relacionados con la pandemia para obtener beneficios económicos, ya que estos se vendían por 150 euros en España a través de Telegram.
• Ataques a infraestructuras críticas: en todo el mundo, los ciberdelincuentes aumentaron los ataques contra servicios esenciales y organismos gubernamentales, como el transporte, educación, etc. Un ejemplo de la magnitud y el peligro de estos delitos son los ciberataques al sistema ferroviario iraní a principios de este año, que provocaron la interrupción de los servicios y dirigieron a los pasajeros a llamar al número de teléfono de la oficina del líder supremo iraní Jamenei. El incidente sirvió de importante llamada de atención para que los Gobiernos de todo el mundo aumentaran de forma proactiva la seguridad de las infraestructuras críticas, ya que el proceso de recuperación es complicado y largo. Hay que asegurarse de contar con un plan eficaz de recuperación de desastres y de que los sistemas están actualizados y aprovechar el software de terceros para protegerse de las amenazas y otros vectores de ataque.
• Ataques de ransomware de triple extorsión: en el Mid-Year Report de Check Point Software, se presentaba un nuevo tipo de amenaza: los ataques de triple extorsión, una evolución del delito que ya era tendencia. Por ejemplo, el ransomware REvil, una de las familias más destacadas, responsable de decenas de brechas importantes desde 2019 y, más recientemente, los ciberataques de Kaseya y JBS del 4 de julio a principios de este año.
• Ataques a la cadena de suministro: el aumento de los incidentes cibernéticos ha hecho que las compañías se den cuenta de que sólo son tan fuertes como su eslabón más débil, independientemente de las industrias. Los incidentes en la cadena de suministro despertaron el interés de los investigadores tras el ataque a SolarWinds. Como resultado, nuestros investigadores identificaron fallos de seguridad en Atlassian, una plataforma de software fundada en Australia con más de 180.000 clientes en todo el mundo. Los equipos de trabajo distribuidos y las tecnologías remotas han exacerbado la tendencia de los ataques a la cadena de suministro, sin embargo es imperativo asegurar que estas tecnologías tengan las mejores defensas contra el robo de datos.
• Asegurar el lugar de trabajo híbrido: uno de los principales retos a los que se enfrentan las empresas, en un entorno de trabajo híbrido, es la intensidad de los ciberataques más que la exposición a nuevas vulnerabilidades. Los ciberdelincuentes son plenamente conscientes del tiempo que las compañías pueden tardar en identificar y remediar; los parches para las vulnerabilidades pueden requerir días, semanas e incluso meses si las organizaciones no cuentan con las políticas y la infraestructura de seguridad adecuadas. La conclusión es que el trabajo híbrido es ahora una parte muy importante de nuestra vida cotidiana, y los profesionales de TI y los empleados tienen que dar un paso adelante para garantizar la seguridad de cada endpoint.
“Este año hemos aprendido mucho de lo que significa la ciberseguridad. Son muchas las empresas que han asumido que los ciberdelincuentes siempre buscan aprovecharse de las organizaciones y los individuos; y que ninguna compañía o persona es inmune a un ataque. Para adelantarse a las amenazas, las organizaciones deben adoptar un enfoque proactivo de la ciberseguridad. Una superficie o endpoints desprotegidos es un punto débil, que puede dar lugar a ciberataques y amenazas”, destaca Ivonne Pedraza, Territory Manager CCA de Check Point Software Technologies.

Desde el pasado viernes, el equipo de Check Point Research ha sido testigo de lo que parece una represión evolutiva, con la introducción rápida de nuevas variaciones del exploit original, más de 60 en menos de 24 horas. Desde Check Point Software, ya han evitado más de 845.000 intentos de asignación de la vulnerabilidad, más del 46% de esos intentos fueron realizados por grupos maliciosos conocidos. Se trata claramente de una de las vulnerabilidades más graves en los últimos años. Apache ha proporcionado un parche (Log4j 2.15.0) para mitigar la vulnerabilidad para que los usuarios pueden actualizar su versión y protegerse. Explotar esta vulnerabilidad es sencillo y permite a los ciberdelincuentes controlar servidores web basados en java.
Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, alerta de una vulnerabilidad crítica de ejecución remota de código (RCE) en el paquete de registro de Apache Log4j 2 versiones 2.14.1 e inferiores (CVE-2021-44228). Apache Log4j es la biblioteca de registro java más popular, con más de 400.000 descargas en su proyecto GitHub. Es utilizada por un gran número de empresas en todo el mundo, permitiendo el registro en un amplio conjunto de aplicaciones muy conocidas. Desde el pasado viernes, los investigadores han sido testigos de lo que parece una represión evolutiva, con la introducción rápida de nuevas variaciones del exploit original, más de 60 en menos de 24 horas.
Explotar esta vulnerabilidad es sencillo y permite a los ciberdelincuentes controlar servidores web basados en java y lanzar ataques de ejecución remota de código. Por ello, es fundamental tener en cuenta que la biblioteca Log4j está integrada en casi todos los servicios o aplicaciones de Internet que conocemos, como Twitter, Amazon, Microsoft, Minecraft y otros.
En la actualidad la mayoría de los ataques se centran en el uso de la minería de criptomonedas a costa de las víctimas, sin embargo, ante el ruido de este fenómeno, los ciberdelincuentes pueden atacar a objetivos de mayor calidad. Por ejemplo, se puede explotar tanto en HTTP como en HTTPS (la versión cifrada de la navegación). El número de combinaciones de cómo hacerlo da al atacante muchas alternativas para saltarse las protecciones recién introducidas. Esto significa que una capa de protección no es suficiente y, sólo una postura de seguridad de varias capas, proporcionaría una protección robusta.
Esta vulnerabilidad, debido a la complejidad para parchearla y a la facilidad para explotarla, permanecerá con nosotros durante años, a menos que las empresas y los servicios tomen medidas inmediatas para evitar ataques a sus productos.
Teniendo en cuenta la temporada de festivos, en las que los equipos de seguridad pueden ser más lentos a la hora de implementar medidas de protección, la amenaza es inminente. Esta actúa como una ciberpandemia: es altamente contagiosa, se propaga rápidamente y tiene múltiples variantes, lo que obliga a que haya más formas de atacar.
Los números detrás de CVE-2021-44228
Esta CVE se une a la atmósfera general de ciberpandemia en la que las principales vulnerabilidades en el software y los servicios populares afectan a un enorme número de organizaciones.
Desde Check Point Software, ya han evitado más de 845.000 intentos de asignación de la vulnerabilidad, más del 46% de esos intentos fueron realizados por grupos maliciosos conocidos. Hasta ahora se ha observado un intento de explotación en más del 40% de las redes corporativas a nivel mundial.
Claves para estar protegido
Check Point ha lanzado ya una nueva protección para las Quantum Gateway impulsada por Threat Cloud, diseñada para prevenir este ataque, y mantener la protección. Para ello, las Quantum gateways deben estar actualizadas con las nuevas protecciones automáticas. En caso contrario, se deberá implementar una nueva barrera de protección siguiendo las directrices aquí detalladas. Desde la compañía instan a los equipos de TI y de seguridad a que tomen medidas de corrección inmediatas al respecto.
La arquitectura de Check Point Infinity no se ve afectada por Log4j. La compañía ha verificado a fondo que la vulnerabilidad no afecta a su cartera de Infinity, incluyendo Quantum Gateways, SMART Management, Harmony Endpoint, Harmony Mobile, ThreatCloud y CloudGuard.
Apache ha proporcionado un parche (Log4j 2.15.0) para mitigar la vulnerabilidad. Los usuarios pueden actualizar su versión en consecuencia.
"Es muy importante destacar la gravedad de esta amenaza. A primera vista, está dirigida a los mineros de criptomonedas, pero creemos que crea el tipo de ruido de fondo que los ciberdelincuentes tratarán de aprovechar para atacar toda una serie de objetivos de alto valor, como los bancos, la protección del Estado y las infraestructuras críticas. Empezamos a aplicar nuestra protección el viernes y el domingo ya habíamos evitado más de 400.000 intentos de explotar la vulnerabilidad en más de un tercio de todas las redes corporativas del mundo. Lo más preocupante es el hecho de que casi la mitad de esos intentos fueron realizados por grupos maliciosos conocidos. Los equipos de seguridad deben actuar con la máxima urgencia, ya que el potencial de daño es incalculable. La necesidad de una respuesta rápida se ve acentuada por el hecho de que se descubrió al final de la semana laboral, en el período previo a la temporada de vacaciones, cuando los técnicos pueden ser más lentos en la aplicación de medidas de protección. En Check Point Software llevamos varios meses dando la voz de alarma sobre una "ciberpandemia" y esto es exactamente a lo que nos referimos. Es muy contagiosa y se propaga rápidamente, por lo que es esencial una vigilancia constante y una estrategia de prevención sólida", alerta Lotem Finkelstein, director de inteligencia de amenazas e investigación de Check Point Software Technologies.

Por segundo año consecutivo, la solución de seguridad para email de Avanan se sitúa entre las 500 empresas tecnológicas de más rápido crecimiento en Estados Unidos. Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, destaca que Avanan, recientemente adquirida por Check Point Software, se ha situado en el puesto 125 del Deloitte Technology Fast 500™, una clasificación de las 500 empresas tecnológicas, de medios de comunicación, telecomunicaciones, ciencias sociales, tecnología financiera y tecnología energética de más rápido crecimiento en Norteamérica, que cumple su vigésimo séptimo año.
Previamente, Avanan ocupó el puesto 171 como empresa ganadora del premio Technology Fast 500™ para 2020. En 2021 las empresas de Technology Fast 500™ han logrado un crecimiento de sus ingresos comprendido entre el 212% y el 87% de 2017 a 2020, con un crecimiento medio del 521%. Los ganadores del premio Technology Fast 500 se seleccionan en función del porcentaje de crecimiento de los ingresos del año fiscal entre 2017 y 2020.
"El correo electrónico ha sido sistemáticamente el vector de ataque número uno que conduce a las brechas en las empresas, y el enfoque de Avanan en la seguridad del email basado en la nube nos ha permitido liderar la revolución en la forma en que las empresas lo protegen", dijo Gil Friedrich, vicepresidente de seguridad del correo electrónico en Check Point Software Technologies. "La seguridad basada en la API de Check Point Software y Avanan, líder en el sector, redefine la seguridad del uso del correo electrónico en la nube y ofrece la mejor protección contra el malware. Las empresas de todo el mundo pueden ahora modernizar sus soluciones heredadas con esta seguridad del email como servicio y protegerlo en la nube y las suites de colaboración de los ataques más sofisticados".
"Cada año, el Technology Fast 500 destaca a los principales innovadores en el ámbito de la tecnología y este año no es una excepción", afirmó Paul Silverglate, vicepresidente de Deloitte LLP y líder del sector tecnológico estadounidense. "Ante los innumerables retos derivados de la pandemia, los mejores y más brillantes fueron capaces de cambiar de rumbo, reinventarse, transformarse y crecer. Celebramos a las empresas ganadoras y, sobre todo, a los empleados con talento que impulsan su éxito."

La popular aplicación de inversión Robinhood ha informado que en días pasados sufrió una brecha de seguridad en la que unos ciberdelincuentes lograron acceder a la información personal de unos 7 millones de usuarios y exigieron el pago de un rescate.
La plataforma de inversión online ha aclarado que no se han llegado a exponer números de la Seguridad Social, información de cuentas bancarias o números de tarjetas de débito y que los clientes no han sufrido pérdidas financieras a causa de la intrusión.
Para la gran mayoría de los afectados de la plataforma, la única información obtenida por los atacantes fue una dirección de correo electrónico o el nombre completo. Con respecto a 310 personas concretas, la información obtenida incluía su nombre, fecha de nacimiento y código postal. De ellos, a 10 clientes en particular se extrajeron "detalles más amplios de la cuenta", dijo Robinhood en un comunicado.
“Los ciberataques de ingeniería social son cada vez más frecuentes. En estos asaltos cibernéticos, los ciberdelincuentes utilizan las interacciones personales para llevar a cabo sus actividades maliciosas, manipulando psicológicamente a las personas para que cometan errores de seguridad o entreguen información sensible. La información filtrada en este caso es sensible y una mala noticia para la comunidad de Robinhood. Los ciberdelincuentes pueden utilizar la información filtrada para llevar a cabo más ataques contra las víctimas, como emails de phishing dirigidos, ya que los nombres y las fechas de nacimiento pueden utilizarse a menudo para verificar la identidad de una persona”, alerta Ivonne Pedraza, Gerente de Territorio CCA de Check Point Software. “Recomendamos a los usuarios de Robinhood que cambien sus contraseñas inmediatamente, que activen la autenticación de dos factores y que estén atentos a cualquier correo electrónico sospechoso en sus bandejas de entrada. Según nuestra investigación, el 58% de los archivos maliciosos en los Estados Unidos fueron enviados por email este año”, advierte Ivonne Pedraza.
Qué pueden hacer los usuarios para estar protegidos

• Cambiar las contraseñas inmediatamente
• Activar la autenticación de dos factores
• Estar atento a los correos electrónicos sospechosos

Los investigadores de Check Point Research localizan las principales áreas geográficas de actuación en España, Brasil, Chile, México y Perú, donde instan a extremar las precauciones.Se cree que la cepa de malware Mekotio es obra de grupos de ciberdelincuentes brasileños que alquilan el acceso a sus herramientas.

Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, alerta de que después de que la Guardia Civil española haya detenido a 16 sospechosos acusados de blanqueo de capitales, el troyano bancario utilizado en esos delitos vuelve a aparecer. Con el nombre de Mekotio, este malware se dirige a las víctimas de España y América Latina con nuevas capacidades y técnicas de evasión. En las últimas semanas, se han detectado y bloqueado más de 100 ciberataques dirigidos a países latinoamericanos que aprovechan una forma evolucionada de un troyano bancario llamado Mekotio.
Mekotio, un troyano bancario modular que tenía como objetivo los países de América Latina procedente de Brasil, ha vuelto a aparecer recientemente con un nuevo flujo de infección. La nueva campaña comenzó justo después de que la Guardia Civil española anunciara la detención de 16 personas implicadas en la distribución de Mekotio en julio de 2021. Parece que la banda detrás del malware fue capaz de reducir la brecha rápidamente y cambiar de táctica para evitar la detección.
Se cree que la cepa de malware Mekotio es obra de grupos de ciberdelincuentes brasileños que se encargan de alquilar el acceso a sus herramientas a otras bandas responsables de distribuir el troyano y blanquear fondos. Desarrollado para atacar equipos Windows, Mekotio es conocido por utilizar correos electrónicos falsos que imitan a empresas legítimas. Una vez infectada la víctima, el troyano bancario permanece oculto, esperando a que los usuarios se conecten a las cuentas bancarias electrónicas, recogiendo silenciosamente sus credenciales.
Check Point Research supone que los principales grupos de ciberdelincuentes operan desde Brasil y que han estado colaborando con las bandas españolas para distribuir malware. La detención frenó la actividad de las bandas españolas, pero no la de los principales grupos de ciberdelincuentes.
Las recientes observaciones de Check Point Research revelan que estos ciberdelincuentes siguen activos, distribuyendo una nueva versión de este troyano con nuevas y mejoradas capacidades de ocultación y técnicas de evasión. España, Brasil, Chile, México y Perú han sido históricamente los objetivos de Mekotio, incluyendo los recientes ciberdelincuentes captados por los investigadores.
Cómo funciona la nueva versión de Mekotio
La infección comienza y se distribuye con un correo electrónico de phishing, escrito en español, que contiene un enlace a un archivo zip o un archivo comprimido como adjunto. El mensaje atrae a la víctima para que descargue y extraiga este contenido. Los emails captados por los investigadores reclaman a la víctima objetivo un "recibo fiscal digital pendiente de presentación". Cuando las víctimas hacen clic en el enlace, se descarga un archivo zip fraudulento desde un sitio web malicioso. El nuevo vector de infección de Mekotio contiene estos elementos inéditos:
• Un archivo batch más sigiloso con al menos dos capas de ofuscación.
• Un nuevo script PowerShell sin archivos que se ejecuta directamente en la memoria.
• Uso de Themida v3 para empaquetar la carga útil DLL final.
En los últimos 3 meses, se han visto aproximadamente 100 ataques que utilizan nuevas y sencillas técnicas de ofuscación, con la ayuda de un cifrado de sustitución, para ocultar el primer módulo del ataque. Esta sencilla técnica de ocultación que permite que no sea detectado por la mayoría de los softwares de protección.
Correo electrónico de phishing
El email de phishing, redactado en español, afirma que hay un recibo fiscal digital pendiente de presentación. Cuando las víctimas hacen clic en el enlace del correo electrónico, se descarga un archivo zip malicioso desde un website malicioso.
Nuevas habilidades de camuflaje y técnicas de evasión
Una de las características clave de Mekotio es su diseño modular, que da a los ciberdelincuentes la posibilidad de cambiar sólo una pequeña parte del conjunto para evitar su detección. Además, Mekotio utiliza un antiguo método llamado "cifrado de sustitución" para ocultar el contenido de los archivos y el primer módulo de ataque. Esta sencilla técnica de evitar ser detectado por la mayoría de los productos antivirus. Además, estos ciberdelincuentes utilizan una nueva versión de una herramienta comercial llamada "Themida", que incorpora a la descarga útil un sofisticado sistema de cifrado, antidepuración y antimonitorización.
Aunque la Guardia Civil española anunció la detención de 16 personas implicadas en la distribución de Mekotio en julio de 2021, parece que la banda detrás del malware sigue activa. Tenemos claro que han desarrollado y distribuido una nueva versión que tiene capacidades de ocultación y técnicas de evasión mucho más eficaces. Existe un peligro muy real de que robe nombres de usuario y contraseñas, con el fin de entrar en las instituciones financieras. De ahí que las detenciones hayan frenado la actividad de las bandas españolas, pero no la de los principales grupos de ciberdelincuentes que están detrás. Sabemos algunas cosas sobre los ciberdelincuentes que están detrás de Mekotio, que operan desde Brasil y colaboran con bandas europeas para distribuir el malware:
• Les gusta utilizar una infraestructura de entrega en varias etapas para evitar la detección.
• Utilizan principalmente correos electrónicos de phishing como primer vector de infección.
• Usan entornos de nube de Microsoft y Amazon para alojar los archivos maliciosos.
“Instamos a los usuarios de las regiones objetivo conocidas de Mekotio a que utilicen la autenticación de dos factores siempre que esté disponible y a que tengan cuidado con los dominios parecidos, los errores ortográficos en los emails o las páginas web y los remitentes de correo electrónico desconocidos", alerta Ivonne Pedraza, Gerente de territorio CCA de Check Point Software para Colombia.

Cómo mantenerse protegido
1. Tener cuidado con los dominios parecidos, con los errores ortográficos en los correos electrónicos o en las páginas web y con los remitentes de emails desconocidos.
2. Es preciso ser precavido con los archivos recibidos por correo electrónico de personas extrañas, sobre todo si solicitan una acción determinada que no se suele realizar.
3. Asegurarse de que los pedidos se realizan a una fuente auténtica. Una forma de hacerlo es no hacer clic en los enlaces promocionales de los mensajes y, en su lugar, buscar en Google la tienda deseada y hacer clic en el enlace de la página de resultados.
4. Hay que tener cuidado con las ofertas "especiales" que no parecen ser oportunidades de compra fiables o de confianza.
5. Garantizar que no se reutilizan las contraseñas entre diferentes aplicaciones y cuentas.

Los días 28 de octubre, 19 de noviembre y 3 de diciembre, son los designados por un decreto de gobierno como fechas sin IVA o sin impuesto a las ventas. En estas fechas seleccionadas, la medida busca estimular la actividad comercial tanto en los comercios electrónicos como presenciales. Los consumidores colombianos tendrán la oportunidad de adquirir una gran variedad de productos sin el impuesto al valor agregado “IVA”, lo cual hace muy atractivo el precio.

Los artículos en las categorías de computadores, electrodomésticos, equipos de comunicaciones, vestuario y complementarios, elementos deportivos, juguetería, útiles escolares y bienes e insumos agropecuarios, son los cubiertos con la medida. Es importante conocer que cada segmento mencionado tiene topes máximos asignados de compra por persona.

Desde el gobierno central y autoridades locales, han pedido a los colombianos que en la medida de sus posibilidades reserven con anticipación los artículos que desean adquirir. Por su parte, a los comercios se les solicitó que los tiempos de entrega e instalación de los productos no excedan los 15 días y especificar en la información previa de venta, si estas operaciones están incluidas en el precio de compra. A los comercios electrónicos también se les pidió manejar turnos, los cuales deben informar los tiempos de espera.

Los comercios con mucho entusiasmo se preparan para este momento, pero al mismo tiempo también lo hacen los ciberdelincuentes. Ante este riesgo, Check Point Software comparte una serie de recomendaciones para que los compradores se informen y eviten ser víctimas de fraudes y robo de información.

Diez recomendaciones de ciberseguridad de Check Point Software para comprar en los días sin IVA:

1- Mantener los dispositivos como PC, tabletas y smartphones actualizados, tanto el sistema operativo como los programas. Se recomienda tener instalado un antivirus.
2- Hacer siempre la conexión a Internet desde una red segura. Nunca desde un WI-FI público.
3- Comprar en comercios electrónicos reconocidos.
4- Revisar que la dirección de Internet o URL a la que se ingresa sea segura. Esto se identifica si al inicio de la misma tiene https. La “s” significa que cumple con el protocolo de seguridad. También puede aparecer un candado.
5- Revisar antes de hacer click que la URL esté bien escrita. En muchos casos aprovechando estas fechas especiales, los delincuentes cibernéticos imitan las plataformas de los comercios más populares y en su apariencia se ven casi iguales a las verdaderas. En la dirección (URL) alteran alguna letra conduciendo al comprador a ingresar en una página falsa muy similar en su apariencia a la original.
6- Antes de comprar se deben revisar las opiniones de los clientes sobre el almacén y el producto que se va a adquirir.
7- Revisar la política de compra, devolución y entrega que tienen los establecimientos.
8- Utilizar métodos de pago seguros, para que se pueda ir paso a paso comprobando y ejecutando el proceso.
9- Pagar preferiblemente con tarjetas de crédito o en plataformas o servicios de pago seguros.
10- Desconfiar de precios muy bajos o descuentos y promociones demasiado atractivos.

De cara a estos días sin IVA, los delincuentes pueden estar muy activos, preparando páginas web falsas, pop-ups, aplicaciones y banners fraudulentos, que ofrecen grandes descuentos en marcas y productos muy populares. “Ante la oportunidad de obtener los productos deseados con mejores precios, el comprador puede bajar la guardia. Al comprar por internet es importante estar alerta e identificar muy bien la plataforma o comercio electrónico en el cual se van a adquirir los artículos, evitando acceder a páginas fraudulentas o hacer click en enlaces o en avisos promocionales muy atractivos. El comprador debe estar alerta para no ser víctima de los ciberdelincuentes que están al acecho”, dijo Ivonne Pedraza, Gerente de Territorio CCA de Check Point Software Technologies.

En los pasados días sin IVA, ocurridos en 2020, las compras online alcanzaron un crecimiento exponencial. Con alta expectativa se esperan estos nuevos días sin impuestos a las ventas de 2021, que marcarán una pauta en la evolución y crecimiento del comercio electrónico en Colombia, al igual que en el comercio presencial. Este último deberá cumplir con protocolos de bioseguridad.