Check Point Research, la división de Inteligencia de Amenazas Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, ha publicado su Índice Global de Amenazas de diciembre de 2023. Vuelve Qbot cuatro meses después de que las fuerzas del orden de EE. UU. desmantelaran la infraestructura en la Operación Duck Hunt en agosto de 2023. Entretanto, el descargador de JavaScript FakeUpdates se ha situado en primer puesto y el sector de la educación continúa siendo el más afectado a nivel mundial.

El mes pasado, el malware Qbot fue utilizado por ciberdelincuentes como parte de un ataque de phishing a pequeña escala dirigido a empresas del sector de la hostelería. En la campaña, los investigadores han descubierto que los ciberdelincuentes se hacían pasar por IRS y enviaban correos electrónicos maliciosos que contenían archivos PDF con enlaces URL que conducían a un instalador de Microsoft. Una vez activado, desencadenaba una versión invisible de Qbot que aprovechaba una biblioteca de vínculos dinámicos (DLL). Antes de su desmantelamiento en agosto, Qbot dominaba el índice de amenazas, posicionado como uno de los tres malwares más predominantes durante diez meses consecutivos. Aunque no ha vuelto a la lista, los próximos meses determinarán si recuperará la notoriedad que tenía previamente.

Mientras tanto, FakeUpdates sigue creciendo después de reaparecer a finales de 2023, situándose en primer lugar con un impacto global del 2%. Nanocore se mantiene entre los cinco primeros durante seis meses consecutivos, tomando el tercer puesto en diciembre, y ha habido nuevas entradas de Ramnit y Glupteba.

“Ver a Qbot circulando de nuevo en menos de cuatro meses después de haber desmantelado su infraestructura de distribución es un recordatorio de que, aunque podemos interrumpir las campañas de malware, los agentes detrás de ellas se adaptarán con nuevas tecnologías”, afirma Maya Horowitz, VP de investigación en Check Point Software.

“Por esto se anima a las empresas a adoptar un enfoque preventivo para la seguridad del endpoint, además de llevar a cabo la diligencia debida sobre el origen y la intención de un email, afirma Manuel Rodríguez, Gerente de Ingeniería de Seguridad para NOLA de Check Point Software”.

CPR también ha revelado que “Apache Log4j Remote Code Execution (CVE-2021-44228)” y “Web Servers Malicious URL Directory Traversal” fueron las vulnerabilidades más explotadas, afectando a un 46% de las empresas a nivel mundial. “Zyxel ZyWALL Command Injection (CVE-2023-28771)” le siguió de cerca con un impacto global del 43%.

Los tres malware más buscados en Colombia en diciembre
*Las flechas indican el cambio en el ranking en comparación con el mes pasado.

1. ↑ Remcos – Remcos es un RAT que apareció primero en estado salvaje en 2016. Este malware se distribuye a través de documentos de Microsoft Office maliciosos que están adjuntos en emails de SPAM, y está diseñado para eludir la seguridad del UAC (Control de Cuentas de Usuario) de Microsoft y ejecutar malware con altos privilegios. Este RAT impactó en diciembre en un 7,38% a las empresas en Colombia y en 1.28% a las empresas en el mundo.

2. ↓Asyncrat – AsyncRat es un troyano dirigido a la plataforma Windows. Este malware envía información del sistema sobre el sistema objetivo a un servidor remoto. Recibe comandos del servidor para descargar y ejecutar complementos, finalizar procesos, desinstalarse/actualizarse y capturar capturas de pantalla del sistema infectado. Su impacto en Colombia en diciembre fue de 4.92% y globalmente del 1.07%.
3. ↑ Fakeupdates – Downloader escrito en JavaScript. Escribe las payloads en el disco antes de lanzarlas. Fakeupdates ha llevado a muchos otros programas maliciosos, como GootLoader, Dridex, NetSupport, DoppelPaymer y AZORult. Este downloader ha impactado en el 4,62% de las empresas en Colombia en diciembre y en el campo global en un 2.32%.

Las tres industrias más atacadas en diciembre
El mes pasado, Salud se situó como la industria más atacada, seguida de Comunicaciones y Finanzas/banca.

1. Salud
2. Comunicaciones
3. Finanzas/banca

Las tres vulnerabilidades más explotadas en diciembre

Por otra parte, Check Point Software señala que el mes pasado las vulnerabilidades más explotadas fueron “Apache Log4j Remote Code Execution (CVE-2021-44228)” y “Web Servers Malicious URL Directory Traversal”, impactando en un 42% de las empresas en todo el mundo, seguido de “Zyxel ZyWALL Command Injection (CVE-2023-28771)” con un impacto global del 43%.

1. ↑ Apache Log4j Remote Code Execution (CVE-2021-44228) – La explotación de esta vulnerabilidad puede permitir que un atacante remoto ejecute un código arbitrario en el dispositivo afectado.
2. ↔ Web Servers Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530, CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) – Existe una vulnerabilidad de travesía de directorios en diferentes servidores. Esta vulnerabilidad se debe a un error de validación de la entrada en servidores web que no ha desinfectado adecuadamente la URL. Una explotación exitosa permite a los atacantes remotos sin autentificar revelar o acceder a cualquier archivo del servidor atacado.
3. ↔ Zyxel ZyWALL Command Injection (CVE-2023-28771 – Existe una vulnerabilidad de inyección de comandos en Zyxel ZyWALL. La explotación de esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios de forma remota en el sistema operativo en el dispositivo afectado.

Los tres malware móviles más usados en diciembre

El mes pasado Anubis se mantuvo en el primer lugar como el malware móvil más usado, seguido de AhMyth y Hiddad.

1. Anubis – Malware troyano bancario diseñado para teléfonos móviles Android. Desde que se detectó ha ido sumando funciones adicionales como capacidades de troyano de acceso remoto (RAT), keylogger, grabación de audio y varias características de ransomware. Se ha detectado en cientos de aplicaciones diferentes disponibles en Google Store.

2. AhMyth – Troyano de acceso remoto (RAT) descubierto en 2017. Se distribuye a través de aplicaciones de Android que se pueden encontrar en tiendas de aplicaciones y varios sitios web. Cuando un usuario instala una de estas aplicaciones infectadas, el malware puede recopilar información confidencial del dispositivo y realizar acciones como el registro de teclas, capturas de pantalla, el envío de mensajes SMS y la activación de la cámara, lo que se suele usar para robar información sensible.

3. Hiddad – Hiddad es un malware para Android que re empaqueta aplicaciones legítimas y las coloca en la tienda de un tercero. Su función principal es mostrar anuncios, pero también puede obtener acceso a detalles de seguridad clave integrados en el sistema operativo.

El Índice Global de Impacto de Amenazas de Check Point Software y su mapa ThreatCloud están impulsados por la inteligencia ThreatCloud de Check Point Software. ThreatCloud proporciona inteligencia de amenazas en tiempo real derivada de cientos de millones de sensores en todo el mundo, sobre redes, endpoints y móviles. La inteligencia se enriquece con motores basados en IA y datos de investigación exclusivos de Check Point Research, la rama de inteligencia e investigación de Check Point Software Technologies.