BLOG SEOXAN
Mantente al dia sobre las últimas tendencias en marketing digital y seguridad informática
Categorias
Últimas entradas en el blog
PEACHPIT: Botnet de Fraude Publicitario Afecta a Millones de Dispositivos Android e iOS en Operación Global
Fecha: 2023-10-09 18:33:36Autor: Alex Rubio
Un botnet de fraude publicitario llamado PEACHPIT utilizó cientos de miles de dispositivos Android e iOS para generar ganancias ilícitas para los actores de amenazas detrás del esquema. Este botnet es parte de una operación más grande con base en China denominada BADBOX, que también incluye la venta de dispositivos móviles y televisores conectados de marcas no reconocidas en tiendas en línea populares, los cuales vienen con un malware de Android llamado Triada.
El botnet PEACHPIT y sus aplicaciones asociadas se encontraron en 227 países y territorios, con un pico estimado de 121,000 dispositivos al día en Android y 159,000 dispositivos al día en iOS. Las infecciones se realizaron a través de 39 aplicaciones que se instalaron más de 15 millones de veces. Los dispositivos con el malware permitieron a los operadores robar datos sensibles, crear puntos de salida de proxy residenciales y cometer fraudes publicitarios a través de las aplicaciones falsas.
No está claro cómo se comprometen los dispositivos Android con un backdoor de firmware, pero hay evidencia que apunta a un ataque en la cadena de suministro de hardware. Los actores de amenazas también pueden usar los dispositivos comprometidos para crear cuentas de WhatsApp y Gmail, evadiendo la detección típica de bots.
Trend Micro documentó por primera vez detalles sobre esta empresa criminal en mayo de 2023, atribuyéndola a un adversario que rastrea como Lemon Group. Se identificaron al menos 200 tipos distintos de dispositivos Android infectados con BADBOX, lo que sugiere una operación generalizada.
Un aspecto notable del fraude publicitario es el uso de aplicaciones falsas en Android e iOS disponibles en tiendas de aplicaciones principales. Estas aplicaciones contienen un módulo responsable de crear WebViews ocultos que se utilizan para solicitar, renderizar y hacer clic en anuncios, simulando que las solicitudes de anuncios provienen de aplicaciones legítimas.
La firma de prevención de fraudes trabajó con Apple y Google para interrumpir la operación. Se descubrió que una actualización lanzada anteriormente este año eliminó los módulos que alimentaban PEACHPIT en dispositivos infectados con BADBOX. Sin embargo, se sospecha que los atacantes están ajustando sus tácticas para eludir las defensas.
HUMAN, una entidad involucrada en el análisis, mencionó que el nivel de ofuscación que los operadores utilizaron para pasar desapercibidos es una señal de su creciente sofisticación. Cualquier persona podría comprar accidentalmente un dispositivo BADBOX en línea sin saber que era falso, conectándolo y abriendo sin saberlo este malware de backdoor.
Lazarus Group lavando mas de 900 Millones en cryptos
Fecha: 2023-10-08 18:33:04Autor: Alex Rubio
El Grupo Lazarus, vinculado a Corea del Norte, ha sido asociado con el lavado de aproximadamente $900 millones en criptomonedas entre julio de 2022 y julio de 2023. Se estima que hasta $7 mil millones en criptomonedas han sido ilícitamente lavados a través de crímenes entre cadenas. La firma de análisis de blockchain, Elliptic, publicó un informe esta semana destacando que el desplazamiento del crimen criptográfico hacia tipologías de salto de cadena o de activo está en aumento debido a la supervisión y sanciones a entidades tradicionales como los mezcladores.
El crimen entre cadenas se refiere a la conversión de activos criptográficos de un token o blockchain a otro, a menudo rápidamente, para ocultar su origen. Según datos de Elliptic, el uso por parte del Grupo Lazarus de puentes entre cadenas contribuyó en gran medida al aumento del 111% en la proporción de fondos enviados a través de dichos servicios.
Desde junio de 2023, se estima que el grupo de hackers norcoreano ha robado casi $240 millones en criptomonedas, tras una serie de ataques a entidades como Atomic Wallet, CoinsPaid, Alphapo, Stake.com y CoinEx.
El actor de amenazas también ha sido vinculado al uso del puente Avalanche para depositar más de 9,500 bitcoins, y al mismo tiempo emplea soluciones entre cadenas para mover algunos de los activos saqueados. Elliptic señaló que estas transacciones no tienen otro propósito legítimo que no sea ocultar su origen.
Finalmente, el Servicio de Inteligencia Nacional de Corea del Sur ha advertido sobre ataques de Corea del Norte a su sector de construcción naval desde principios de año.
El "Avalanche Bridge" es una de esas soluciones que permite a los usuarios mover activos entre diferentes cadenas de bloques. En este caso, el Grupo Lazarus utilizó este puente para depositar y posiblemente ocultar el origen de los bitcoins que habían adquirido. Al usar este tipo de tecnologías, los actores maliciosos pueden intentar obfuscar sus transacciones y dificultar el rastreo de los fondos robados.
Lazarus Group se hace pasar por reclutador de Meta para atacar a una empresa aeroespacial española
Fecha: 2023-09-30 21:47:13Autor: Alex Rubio
El grupo vinculado a Corea del Norte, conocido como Lazarus Group, ha sido asociado a un ataque de ciberespionaje dirigido a una empresa aeroespacial no identificada en España. En este ataque, los empleados de la empresa fueron contactados por el actor de amenazas que se hacía pasar por un reclutador de Meta.
Los empleados de la empresa objetivo fueron contactados por un falso reclutador a través de LinkedIn y engañados para abrir un archivo ejecutable malicioso que se presentaba como un desafío de codificación o quiz. Este ataque es parte de una campaña de spear-phishing de larga duración llamada "Operation Dream Job", orquestada por el grupo de hackers con el objetivo de atraer a empleados que trabajan en objetivos prospectivos de interés estratégico, ofreciéndoles oportunidades laborales lucrativas para activar la cadena de infección.
En marzo, se detalló un ataque dirigido a usuarios de Linux que involucraba ofertas de trabajo falsas de HSBC para lanzar un backdoor llamado SimplexTea. El objetivo final de la última intrusión, diseñada para sistemas Windows, es la implementación de un implante denominado LightlessCan.
El aspecto más preocupante del ataque es el nuevo tipo de carga útil, LightlessCan, una herramienta compleja y posiblemente en evolución que muestra un alto nivel de sofisticación en su diseño y operación. Representa un avance significativo en capacidades maliciosas en comparación con su predecesor, BLINDINGCAN, un malware rico en características capaz de recolectar información sensible de los hosts infiltrados.
El ataque comenzó cuando el objetivo recibió un mensaje en LinkedIn de un falso reclutador que trabajaba para Meta Platforms. Luego, se enviaron dos desafíos de codificación como parte del supuesto proceso de contratación y se convenció a la víctima de ejecutar los archivos de prueba alojados en una plataforma de almacenamiento en la nube de terceros. Estos archivos, que contenían binarios maliciosos, se descargaron y ejecutaron en un dispositivo proporcionado por la empresa, lo que resultó en la auto-compromisión del sistema y la violación de la red corporativa.
El ataque abre el camino para un descargador HTTP(S) llamado NickelLoader, que permite a los atacantes implementar cualquier programa deseado en la memoria de la computadora de la víctima, incluido el troyano de acceso remoto LightlessCan y una variante de BLINDINGCAN llamada miniBlindingCan.
LightlessCan viene equipado con soporte para hasta 68 comandos distintos, aunque en su versión actual, solo 43 de esos comandos están implementados con alguna funcionalidad. Una característica notable de la campaña es el uso de guardias de ejecución para evitar que las cargas útiles sean descifradas y ejecutadas en cualquier otra máquina que no sea la de la víctima prevista.
El Grupo Lazarus y otros grupos de amenazas originarios de Corea del Norte han sido prolíficos en los últimos meses, habiendo realizado ataques que abarcan sectores de fabricación y bienes raíces en India, empresas de telecomunicaciones en Pakistán y Bulgaria, y contratistas gubernamentales, de investigación y defensa en Europa, Japón y EE. UU.
SimplexTea: Es un backdoor dirigido a usuarios de Linux que fue utilizado en ataques de ciberespionaje. Fue empleado en combinación con ofertas de trabajo falsas de HSBC para infiltrarse en sistemas.
NickelLoader: Es un descargador HTTP(S) utilizado en ciberataques. Permite a los atacantes implementar cualquier programa deseado en la memoria de la computadora de la víctima, facilitando la introducción de malware como LightlessCan y miniBlindingCan.