En la evaluación de agosto de 2024, el software espía para Android Joker encabezó la lista de malware para móviles. El malware CloudEye fue responsable del 18 por ciento de todas las infecciones. Y el grupo de ransomware RansomHub fue el más peligroso. Estos son los resultados del Índice de Amenaza Global.
Check Point Software Technologies Ltd. ha publicado su Índice de Amenaza Global para agosto de 2024. El índice muestra que el ransomware sigue siendo una fuerza dominante, RansomHub mantiene su posición como grupo líder en ransomware. Esta operación de ransomware como servicio (RaaS) se ha extendido rápidamente desde que pasó a llamarse Knight ransomware y ha atacado a más de 210 víctimas en todo el mundo. Además, ha surgido una nueva amenaza: Meow Ransomware, que anteriormente se centraba en cifrar datos y ahora está cambiando su actividad a vender datos robados en mercados de filtraciones.
RansomHub y Meow encabezan la lista
RansomHub consolidó su posición como la principal amenaza de ransomware en agosto, como se describe en una declaración conjunta del FBI de EE. UU., CISA, MS-ISAC y HHS. Esta operación RaaS se dirige agresivamente a sistemas en entornos Windows, macOS, Linux y especialmente VMware ESXi utilizando técnicas de cifrado sofisticadas.
En agosto también se hizo conocido el ransomware Meow, que ocupó el segundo lugar entre los ransomware más extendidos. Meow, originalmente una variante del ransomware Conti filtrado, ha cambiado su enfoque del cifrado a la extracción de datos, convirtiendo su sitio de extorsión en un mercado de fuga de datos. En este modelo, los datos robados se venden al mejor postor, una desviación de las tácticas tradicionales de extorsión con ransomware.
Suscríbete al boletín ahora
Lea las mejores noticias de SEGURIDAD CIBERNÉTICA B2B una vez al mesPrincipales programas maliciosos en Alemania en agosto de 2024
↔ CloudEye (17,9%): CloudEye es un programa de descarga dirigido a sistemas Windows y se utiliza para descargar e instalar programas maliciosos en las computadoras de las víctimas.
↔ Androxgh0st (4,36%) – Androxgh0st es una botnet dirigida a plataformas Windows, Mac y Linux. Para la infiltración, Androxgh0st aprovecha varias vulnerabilidades de seguridad, particularmente en PHPUnit, Laravel Framework y Apache Web Server. El malware roba información confidencial, como información de la cuenta de Twilio, credenciales SMTP, claves de AWS y similares. Utiliza archivos Laravel para recopilar la información requerida. Existen diferentes variantes que buscan diferente información.
↑ FakeUpdates (3,9%) – Fakeupdates (también conocido como SocGholish) es un programa de descarga escrito en JavaScript. Escribe los datos del usuario en el disco duro antes de iniciarlo. Las FakeUpdates provocaron un mayor compromiso del sistema por parte de muchos programas maliciosos adicionales, incluidos GootLoader, Dridex, NetSupport, DoppelPaymer y AZORult.
Industrias y sectores más atacados en Alemania
1. ↔ Educación/Investigación
2. ↔ Comunicación
3. ↔ Atención sanitaria
Principal malware móvil
Este mes, Joker vuelve a ser el malware móvil más extendido, seguido de Anubis e Hydra.
↔ Joker: un software espía de Android en Google Play que puede robar mensajes SMS, listas de contactos e información del dispositivo. El malware también registra silenciosamente a la víctima en servicios premium en sitios web publicitarios.
↔ Anubis: Anubis es un malware troyano bancario diseñado para teléfonos móviles con Android. Desde su descubrimiento inicial, ha adquirido características adicionales que incluyen troyano de acceso remoto (RAT), registrador de pulsaciones de teclas, capacidades de grabación de audio y varias capacidades de ransomware. Se ha descubierto en cientos de aplicaciones diferentes en Google Store.
↑ Hydra: Hydra es un troyano bancario diseñado para robar datos bancarios pidiendo a las víctimas que habiliten permisos y derechos de acceso peligrosos cuando acceden a una aplicación bancaria.
Grupos de ransomware más activos
Los datos se basan en hallazgos de “sitios vergonzosos” de ransomware, que son administrados por grupos de ransomware de doble extorsión y publican información sobre las víctimas. RansomHub es el grupo de ransomware más activo del mundo este mes, responsable del 15 por ciento de los ataques publicados, seguido de Meow con el 9 por ciento y Lockbit3 con el 8 por ciento.
RansomHub: RansomHub es una operación de Ransomware como servicio (RaaS) que surgió como una versión renombrada del anteriormente conocido Ransomware Knight. RansomHub apareció en foros clandestinos sobre cibercrimen a principios de 2024 y rápidamente ganó notoriedad por sus agresivas campañas dirigidas a varios sistemas como Windows, macOS, Linux y, especialmente, entornos VMware ESXi, utilizando métodos de cifrado sofisticados.
Meow: Meow Ransomware es una variante basada en el ransomware Conti que es conocido por cifrar una gran cantidad de archivos en sistemas comprometidos y agregarles la extensión “.MEOW”. Deja una nota de rescate llamada "readme.txt" que indica a las víctimas que se comuniquen con los atacantes por correo electrónico o Telegram para negociar el pago del rescate. Meow Ransomware se propaga a través de varios vectores, incluidas configuraciones RDP desprotegidas, correo no deseado y descargas maliciosas, y utiliza el algoritmo de cifrado ChaCha20 para bloquear archivos, excluyendo ".exe" y archivos de texto.
Lockbit3: LockBit es un ransomware que opera en un modelo RaaS y se informó por primera vez en septiembre de 2019. LockBit se dirige a grandes empresas y entidades gubernamentales en varios países, pero no a individuos en Rusia o la Comunidad de Estados Independientes.
Vulnerabilidades más explotadas
↔ Inyección de comandos a través de HTTP (CVE-2021-43936,CVE-2022-24086): se ha informado de una vulnerabilidad de inyección de comandos a través de HTTP. Un atacante remoto puede aprovechar este problema enviando una solicitud especialmente diseñada a la víctima. Una explotación exitosa permitiría a un atacante ejecutar código arbitrario en la computadora de destino.
↔ Inyección de comandos Zyxel ZyWALL (CVE-2023-28771): existe una vulnerabilidad de inyección de comandos en Zyxel ZyWALL. Si se explota con éxito, esta vulnerabilidad podría permitir a atacantes remotos ejecutar comandos arbitrarios del sistema operativo en el sistema afectado.
↔ Ejecución remota de código del encabezado HTTP (CVE-2020-10826,CVE-2020-10827,CVE-2020-10828,CVE-2020-1375): los encabezados HTTP permiten al cliente y al servidor enviar información adicional con un HTTP para enviar la solicitud. Un atacante remoto puede utilizar un encabezado HTTP vulnerable para ejecutar código arbitrario en la máquina de la víctima.
Más en CheckPoint.com
Sobre el punto de control Check Point Software Technologies GmbH (www.checkpoint.com/de) es un proveedor líder de soluciones de ciberseguridad para administraciones públicas y empresas de todo el mundo. Las soluciones protegen a los clientes de los ataques cibernéticos con una tasa de detección de malware, ransomware y otros tipos de ataques líder en la industria. Check Point ofrece una arquitectura de seguridad de varias capas que protege la información corporativa en la nube, la red y los dispositivos móviles, y el sistema de administración de seguridad de "un punto de control" más completo e intuitivo. Check Point protege a más de 100.000 XNUMX empresas de todos los tamaños.