El regreso de Lokibot y el liderazgo de Emotet

Check Point Research, la división de Inteligencia de Amenazas Check Point Software Technologies Ltd., un proveedor mundial especializado en ciberseguridad a nivel mundial, ha publicado su Índice Global de Amenazas del mes de enero.  Los investigadores señalan que Emotet ha desbancado a Trickbot del primer puesto tras una larga temporada en la cima, y es el malware más extendido de este mes, afectando al 6% de las empresas de todo el mundo. Log4j también sigue siendo un gran problema, ya que afecta al 47,4% de las organizaciones a escala mundial, y el sector más atacado sigue siendo el de la educación/investigación.

Después de sólo dos meses y medio desde su regreso, Emotet ha alcanzado la primera posición. Esta famosa red de bots se propaga sobre todo a través de correos electrónicos de phishing que contienen archivos adjuntos o enlaces maliciosos. Su creciente uso se ha visto favorecido por la prevalencia de Trickbot, que actúa como catalizador, extendiendo este malware aún más. Mientras tanto, Dridex ha desaparecido de la lista de los diez primeros, por Lokibot, un InfoStealer que se utiliza para obtener datos como credenciales de correo electrónico, contraseñas de carteras de criptomonedas y servidores FTP.

Eusebio Nieva, director Técnico de Check Point Software para España y Portugal, explica: ‘No es de extrañar que Emotet haya vuelto con fuerza. Se trata de un malware evasivo, lo que dificulta su detección, mientras que el hecho de que utilice múltiples métodos para infectar las redes no hace más que contribuir al continuo aumento de esta amenaza’.

Agrega: ‘Difícilmente será un problema de corta duración. Este mes también hemos visto desaparecer a Dridex de nuestra lista de los diez principales y resurgir a Lokibot, que se aprovecha de las víctimas en sus momentos de mayor actividad, distribuyéndose a través de emails de phishing bien disfrazados. Estas amenazas, junto con la batalla en curso contra la vulnerabilidad Log4j, enfatizan la importancia de tener la mejor seguridad a través de las redes, la nube, los móviles y los endpoints de los usuarios’.

Check Point Research ha revelado este mes que el sector de la educación/investigación continúa siendo el más atacado a nivel mundial, seguido por el gubernamental/militar y el de ISP/MSP. Asimismo, «Apache Log4j Remote Code Execution» sigue siendo la vulnerabilidad más explotada y común – que ha afectado al 47,4% de las empresas de todo el mundo-, seguida de “La revelación de información del servidor web Git” que impactó a más del 45%. «La ejecución de código remoto en encabezados HTTP» se sitúa en tercer lugar, afectando al 42% de los negocios en el mundo.

Los 3 malware más buscados en Argentina en enero:

1. Formbook: Detectado por primera vez en 2016, FormBook es un InfoStealer que apunta al sistema operativo Windows. Se comercializa como MaaS en los foros de hacking underground por sus fuertes técnicas de evasión y su precio relativamente bajo. FormBook cosecha credenciales de varios navegadores web, recoge capturas de pantalla, monitoriza y registra las secuencias de teclas, pudiendo descargar y ejecutar archivos según las órdenes de su C&C. Este InfoStealer tuvo un impacto del 10.46% en nuestro país.
2. Emotet:Troyano avanzado, auto propagable y modular. Emotet funcionaba como un troyano bancario, pero ha evolucionado para emplearse como distribuidor de otros programas o campañas maliciosas. Además, se destaca por utilizar múltiples métodos y técnicas de evasión para evitar ser detectado. Puede difundirse a través de campañas de spam en archivos adjuntos o enlaces maliciosos en correos electrónicos. Este malware tuvo un impacto del 5.88% en nuestro país.
3. Lokibot: Identificado por primera vez en febrero de 2016, LokiBot roba información de productos básicos con versiones para los sistemas operativos Windows y Android. Recopila credenciales de una variedad de aplicaciones, navegadores web, correos electrónicos, herramientas de administración de TI como PuTTY y más. LokiBot se vende en foros de hackers y se cree que su código fuente se filtró, lo que permitió que aparecieran numerosas variantes. Desde finales de 2017, algunas versiones de Android de LokiBot incluyen funcionalidad de ransomware además de sus capacidades de robo de información. Su impacto en el país fue del 5.88%.

Los sectores más atacados a nivel mundial:

Este mes, la educación/investigación es la industria más atacada a nivel mundial, seguida de las comunicaciones y el gobierno/militar.

1. Educación/investigación
2. Gobierno/Militar
3. ISP/MSP

Top 3 vulnerabilidades más explotadas en enero:

1. ↑ Apache Log4j Remote Code Execution (CVE-2021- 44228): Existe una vulnerabilidad de ejecución remota de código en Apache Log4j. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante remoto ejecutar código arbitrario en el sistema afectado.
2. ↔ Revelación de información del servidor web Git: La explotación exitosa de la vulnerabilidad de divulgación de información en el Repositorio Git permite compartir de forma involuntaria información de la cuenta.
3. ↔ Ejecución remota de código en encabezados HTTP: Las cabeceras HTTP permiten que el cliente y el servidor pasen información adicional con una petición HTTP. Un ciberdelincuente remoto puede usar un encabezado HTTP vulnerable para ejecutar código arbitrario en el equipo infectado.

Top 3 del malware móvil mundial en enero:

1. xHelper – aplicación Android maliciosa que fue descubierta por primera vez en marzo de 2019. Se utiliza para descargar otras aplicaciones maliciosas y mostrar anuncios. Es capaz de esquivar los antivirus móviles, así como reinstalarse por sí misma en caso de que el usuario la elimine.
2. AlienBot – esta familia es un Malware-as-a-Service (MaaS) para dispositivos Android que permite a un atacante remoto, como primer paso, inyectar código malicioso en aplicaciones financieras legítimas. El ciberdelincuente obtiene acceso a las cuentas de las víctimas, y finalmente controla completamente su dispositivo.
3. FluBot – FluBot es un malware botnet para Android que se distribuye a través de SMS de phishing, la mayoría de las veces haciéndose pasar por marcas de reparto de logística. Una vez que el usuario hace clic en el enlace dentro del mensaje, FluBot se instala y obtiene acceso a toda la información sensible del teléfono.

El Índice Global de Impacto de Amenazas de Check Point Software y su Mapa ThreatCloud están impulsados por la inteligencia ThreatCloud de Check Point Software. ThreatCloud proporciona inteligencia de amenazas en tiempo real derivada de cientos de millones de sensores en todo el mundo, sobre redes, endpoints y móviles. La inteligencia se enriquece con motores basados en IA y datos de investigación exclusivos de Check Point Research, la rama de inteligencia e investigación de Check Point Software Technologies.

La lista completa de las 10 familias principales de malware en enero está disponible en el blog de Check Point Software.