Identifican Nuevos Malware Sin Archivo

Informe de Mcafee Labs Identifica Nuevos Desarrollos de Malware de Banca Móvil, de Macros, y Desarrollo de Malware sin Archivo. Por: Vincent Weafer, Vicepresidente de McAfee Labs de Intel Security

LIMA, PERÚ, 22 de ENERO del 2016.— El escenario de ciberamenazas frecuentemente combina algo viejo, algo nuevo, alguna equivocación, y algo referente a “usted“. El tercer trimestre proporciona ejemplos de viejas amenazas que emplean ingeniería social, nuevo malware sin archivo que reemplaza a los rootkits, errores de codificación en aplicaciones móviles, y la explotación del eslabón más débil en cualquier ecosistema: usted, el usuario.

El documento Informe de Amenazas de McAfee Labs: Noviembre de 2015 dado a conocer hoy por Intel Security, complementa nuestra habitual evaluación trimestral de ciberamenazas con nuevos desarrollos que combinan cada uno de estos elementos:

• Los investigadores de McAfee Labs ilustran cómo las malas prácticas de codificación de aplicaciones móviles, incluyendo el no seguir la orientación de los proveedores de servicios de back-end, pueden provocar la exposición de datos del usuario en la nube. Este análisis también demuestra cómo los clientes de la banca móvil se han puesto en riesgo debido a este escenario.
• El informe investiga el malware de macros que emplea ingeniería social para ganar ventaja dentro de las empresas – un desarrollo que alimenta el resurgimiento del malware de macros, que disminuyó durante varios años y que acaba de llegar a su máximo en seis años durante los últimos meses. El malware de macros aumentó de menos de 10.000 nuevos ataques en el tercer trimestre de 2015, a casi 45.000 durante el pasado trimestre, mostrando un nivel que no habíamos observado desde 2009.
• Por último, el informe detalla cómo las nuevas capacidades de plataforma y la innovación de desarrollo de amenazas han creado una nueva clase de malware sin archivo, que triunfa sobre la detección de amenazas tradicional. Estos ataques sin archivo parecen estar tomando el lugar de los ataques de rootkit.

Por lo menos, el tercer trimestre de 2015 nos recordó que, si bien siempre debemos innovar para mantenernos por delante de la curva de la tecnología de las amenazas, nunca debemos descuidar las soluciones de sentido común, tales como las mejores prácticas para obtener codificación de aplicaciones seguras, y la capacitación de los usuarios para contrarrestar las tácticas siempre presentes como el phishing dirigido.

Prácticas de codificación de aplicaciones móviles de back-end

Un análisis de dos meses de casi 300.000 aplicaciones móviles realizado por McAfee Labs condujo al descubrimiento de dos troyanos de banca móvil responsables de aprovecharse de miles de cuentas de banca móvil a lo largo de Europa oriental. Conocidos en la industria como “Android/OpFake” y “Android/Marry“, las dos cepas de malware fueron diseñadas para aprovechar las ventajas de la mala codificación de aplicaciones móviles conectadas a las de los a proveedores de servicios de back-end, que gestionan datos de aplicaciones.

Las aplicaciones móviles, a menudo dependen de los servicios back-end para el almacenamiento seguro de datos y las comunicaciones. Dicho esto, los desarrolladores de éstas, son responsables de la implementación y la configuración de la integración de sus aplicaciones móviles con los servicios de back-end. Los datos del usuario podrían estar expuestos si los desarrolladores de aplicaciones no siguen las guías de seguridad de los proveedores de back end —derivado de la creciente cantidad de negocios personales y profesionales realizados en la nube móvil.

McAfee Labs encontró evidencia que gracias a ambos troyanos, los ciberdelincuentes explotaron la codificación de back-end, abusaron de los privilegios de raíz para instalar sigilosamente código malicioso y habilitaron un esquema de mensajes SMS para robar números de tarjetas de crédito y ejecutar transacciones fraudulentas. Los dos troyanos de banca móvil interceptaron y expusieron 171.256 mensajes SMS de 13.842 clientes de banca, y ejecutaron remotamente comandos en 1.645 dispositivos móviles afectados.

Intel Security afirma que los desarrolladores deben prestar mayor atención a las mejores prácticas de codificación de back-end y a la guía de programación segura suministrada por sus proveedores de servicios. También recomendamos a los usuarios descargar sólo aplicaciones móviles de fuentes conocidas, y seguir las mejores prácticas de rooting para sus dispositivos.

El malware de macros lleva al phishing dirigido a su máximo en 6 años

McAfee Labs también registró un aumento de cuatro veces en la detección de macros durante el último año, llegando a la mayor tasa de crecimiento de la categoría desde 2009. Su retorno a un lugar destacado ha sido provocado por campañas de phishing dirigido, destinadas a engañar a los usuarios de las empresas para que abran documentos adjuntos de correo electrónico que contienen malware. Estos nuevos macros también exhiben una capacidad de permanecer ocultos, incluso después de haber descargado sus cargas maliciosas.

Las macros maliciosas eran la pesadilla de los usuarios en los 90s, pero disminuyeron después de que los proveedores de plataformas como Microsoft tomaron medidas para reprogramar las configuraciones predeterminadas, parando la ejecución automática de éstas.

Mientras que anteriormente las campañas de los macros se enfocaban en todos los usuarios, la nueva actividad de malware se enfoca principalmente en las grandes organizaciones acostumbradas a utilizarlas como programas fáciles de construir para satisfacer las necesidades repetitivas. Hoy, los correos electrónicos están diseñados socialmente para parecer legítimos bajo el contexto de los negocios de la organización, de modo que los usuarios de manera automática, sin pensar, habiliten la ejecución del macro.

Además de mejorar el conocimiento del usuario de phishing dirigido, Intel Security recomienda a las organizaciones ajustar las configuraciones de seguridad de macros en nivel “alto“, y configurar los gateways de correo electrónico para filtrar específicamente archivos adjuntos que contengan macros.

Innovaciones de malware sin archivo

McAfee Labs registró 74.471 muestras de ataques sin archivo durante los tres primeros trimestres de 2015. Los tres tipos más comunes de malware sin archivo cargan su infección directamente en el espacio de memoria legítima de una función de plataforma, escondiéndose detrás de un API a nivel de kernel, o se esconden dentro del registro del sistema operativo.

La mayoría de las infecciones maliciosas dejan algún tipo de archivo en un sistema, que puede ser detectado, analizado y resguardado. Los ataques más recientes, como Kovter, Powelike y XswKit, han sido diseñados para aprovechar los servicios de plataforma de sistema operativo para entrar en la memoria sin dejar rastros en el disco.

Intel Security recomienda navegación y prácticas de correo electrónico seguras, junto con protección web y de correo electrónico para bloquear los vectores de ataque.

Estadísticas de Amenazas del Tercer Trimestre de 2015

Actividad general de amenazas

La red Global Threat Intelligence (GTI) de McAfee Labs detectó un promedio de 327 nuevas amenazas cada minuto, o más de 5 cada segundo. La red también detectó lo siguiente:

En cada hora, las redes¹ estuvieron expuestas a más de 3,5 millones de archivos infectados, además se detectaron más de 7,4 millones intentos de conexión a URL peligrosas (a través del correo electrónico, búsquedas en el navegador, etc.)

• Malware móvil. El número total de muestras de malware móvil creció un 16% del segundo trimestre al tercer trimestre y un 81% en relación al año pasado. El nuevo malware móvil ha ido a la alza durante cinco trimestres consecutivos, pero las infecciones no han mantenido el ritmo, probablemente debido a mejoras en las defensas de los sistemas operativos.
• Malware de MacOS. Los autores de malware han enfocado cada vez más su atención a la plataforma Mac. Se registró cuatro veces más malware de Mac OS en el tercer trimestre que en el segundo . La mayoría del aumento provino de una única amenaza.
• El número de muestras de ransomware creció un 18% del segundo trimestre al tercero . El número total de muestras de ransomware en el “zoológico” de malware de McAfee Labs creció un 155% con relación al año pasado.
• Disminución de rootkits. El nuevo malware rootkit disminuyó un 65%, el índice más bajo de la categoría desde 2008. Con la versión de 64 bits de Windows, Microsoft ejecuta la firma de controladores e incluye Patch Guard, que hace que el anzuelo de kernel sea mucho más difícil para los atacantes.
• Archivos binarios firmados maliciosos. Los nuevos archivos binarios firmados maliciosos han ido a la baja durante 3 trimestres.
• Actividad botnet. El botnet Kelihos recuperó el primer lugar de botnets que envían spam en el tercer trimestre. Las campañas de alimentación de botnet para falsificación de bienes de consumo y productos farmacéuticos falsos, habían estado algo latentes durante los dos trimestres anteriores.

Para obtener más información sobre estos temas y más estadísticas del panorama de las amenazas descubiertas para el tercer trimestre del año 2015, visite y obtenga el informe completo.

¹ Pruebas aplicadas por terceros en redes de clientes de McAfee.

Acerca de McAfee Labs

McAfee Labs es la división de investigación de amenazas de Intel Security y una de las principales fuentes del mundo para investigación de amenazas, inteligencia de amenazas y liderazgo de opinión con respecto a la ciberseguridad. El equipo de McAfee Labs de más de 400 investigadores recolecta datos de amenazas de millones de sensores a lo largo de vectores claves de amenazas —archivos, web, mensajes y redes. Posteriormente realiza análisis inter-vectoriales de correlación de amenazas y entrega inteligencia de amenazas en tiempo real al punto final estrechamente integrado de McAfee, así como contenido, y productos de seguridad de red a través de sus servicios basados en nube McAfee Global Threat Intelligence. McAfee Labs también desarrolla tecnologías centrales de detección de amenazas —como elaboración de perfiles de aplicaciones, y gestión de graylist— que se incorporan en el más amplio portafolio de productos de seguridad de la industria.

Acerca de Intel Security

McAfee Labs ahora forma parte de Intel Security. Con su estrategia de Security Connected, abordaje innovador hacia la seguridad del hardware mejorada, y su McAfee Global Threat Intelligence único, Intel Security se enfoca intensamente en desarrollar soluciones y servicios de seguridad proactivos y comprobados que protegen sistemas, redes, y dispositivos móviles de uso de negocios y personal en todo el mundo. Intel Security combina la experiencia y pericias de McAfee con la innovación y desempeño comprobado de Intel para hacer de la seguridad un ingrediente esencial en cada arquitectura y en cada plataforma de cómputo. La misión de Intel Security es la de brindar a todos la confianza a vivir y trabajar con seguridad en el mundo digital. www.intelsecurity.com.

Ningún sistema de cómputo puede ser absolutamente seguro. 

Nota: Intel, Intel Security, el logotipo de Intel, McAfee y el logotipo de McAfee son marcas registradas de Intel Corporation en los Estados Unidos y en otros países.

*Otros nombres y marcas pueden ser reclamados como propiedad de otros.