Nuevo ransomware crece 118% como los ciberdelincuentes adoptan nuevas tácticas e innovaciones de código

McAfee Labs vio un promedio de 504 nuevas amenazas por minuto en el primer trimestre de 2019, y un resurgimiento del ransomware junto con cambios en la ejecución de la campaña y el código. Más de 2.200 millones de credenciales de cuenta robadas se establecieron disponibles en el ciberdelincuente subterráneo en el transcurso del trimestre. Sesenta y ocho por ciento de los ataques dirigidos utilizaron spear-phishing para el acceso inicial, 77% se basó en las acciones del usuario para la ejecución de la campaña.

“El impacto de estas amenazas es muy real”, dijo Raj Samani, compañero de McAfee y científico jefe. “Es importante reconocer que los números, destacando los aumentos o disminuciones de ciertos tipos de ataques, solo cuentan una fracción de la historia. Cada infección es otra empresa que se enfrenta a interrupciones, o un consumidor que se enfrenta a un fraude importante. No debemos olvidar por cada ciberataque, hay un costo humano”.

Resurgimiento ransomware cuenta con nuevas tácticas de campaña

McAfee Advanced Threat Research (ATR) observó innovaciones en campañas de ransomware, con cambios en los vectores de acceso iniciales, la gestión de campañas y las innovaciones técnicas en el código.

Mientras que el phishing de lanza seguía siendo popular, los ataques ransomware cada vez más dirigidos a los puntos de acceso remotos expuestos, como el protocolo de escritorio remoto (RDP); estas credenciales pueden ser agrietadas a través de un ataque de fuerza bruta o comprado en el ciberdelincuente subterráneo. Las credenciales RDP se pueden utilizar para obtener privilegios de administrador, otorgando derechos completos para distribuir y ejecutar malware en redes corporativas.

Los investigadores de McAfee también observaron actores detrás de los ataques ransomware que utilizan servicios de correo electrónico anónimos para gestionar sus campañas frente al enfoque tradicional de configurar servidores de comando y control (C2). Las autoridades y los socios privados a menudo buscan servidores C2 para obtener claves de descifrado y crear herramientas de evasión. Por lo tanto, el uso de los servicios de correo electrónico es percibido por los actores de amenazas como un método más anónimo de llevar a cabo negocios criminales.

Las familias ransomware más activas del barrio parecía nasear (también conocido como Crysis), GandCrab y Ryuk. Otras familias ransomware notables del trimestre incluyen Anatova, que fue expuesto por McAfee Advanced Threat Research antes de que tuviera la oportunidad de propagarse ampliamente, y Escarabajo, una familia ransomware persistente y prevalente con nuevo descubierto regularmente Variantes. En general, nuevas muestras ransomware aumentó 118%.

“Después de una disminución periódica de las nuevas familias y los desarrollos a finales de 2018, el primer trimestre de 2019 volvió a aparecer para ransomware, con innovaciones de código y un nuevo enfoque mucho más específico”, dijo Christiaan Beek, científico principal de McAfee y principal principal Ingeniero. “Pagar rescates apoya a las empresas de ciberdelincuentes y perpetúa los ataques. Hay otras opciones disponibles para las víctimas de ransomware. Las herramientas de descifrado y la información de la campaña están disponibles a través de herramientas como el proyecto No More Ransom.”

Actividad de amenazas del primer trimestre de 2019

Vectores de ataque. Malware llevó a los vectores de ataque divulgados, seguido por el secuestro de cuentas y ataques dirigidos.

Cryptomining. Nuevo malware de minería de monedas aumentó 29%. McAfee ATR observó malware CookieMiner dirigido a usuarios de Apple, intentando obtener credenciales de monederos bitcoin. Como un subproducto, el malware también obtuvo acceso a contraseñas y datos de navegación. El total de muestras de malware de minería de monedas creció 414% en los últimos cuatro trimestres.

Malware sin archivos. El nuevo malware JavaScript disminuyó un 13%, mientras que el malware total creció un 62% en los últimos cuatro trimestres. El nuevo malware de PowerShell aumentó 460% debido al uso de scripts de descarga. El malware total creció 76% en los últimos cuatro trimestres.

IoT. Los ciberdelincuentes continuaron aprovechando la seguridad laxa en dispositivos IoT. Nuevas muestras de malware aumentó 10%; el malware IoT total creció 154% en los últimos cuatro trimestres.

Malware en general. Nuevas muestras de malware aumentaron en un 35%. Nuevas muestras de malware mac OS disminuyeron en un 33%.

Malware móvil. Nuevas muestras de malware móvil disminuyó 15%, el malware total creció 29% en los últimos cuatro trimestres.

Incidentes de seguridad. McAfee Labs contó con 412 incidentes de seguridad divulgados públicamente, lo que representa un aumento del 20% con cargo al cuarto trimestre. El 32% de todos los incidentes de seguridad divulgados públicamente tuvieron lugar en las Américas, seguidos por el 13% en Europa y el 13% en Asia-Pacífico.

Objetivos regionales. Los incidentes divulgados dirigidos a la región de Asia y el Pacífico aumentaron un 126%, las Américas disminuyeron casi un 3% y Europa disminuyó casi un 2%.

Actividad vertical de la industria. Los incidentes divulgados que afectaron a las personas aumentaron un 78%, el sector educativo aumentó un 50%, la atención sanitaria aumentó un 18%, el sector público disminuyó un 10% y el sector financiero aumentó un 89%.

Ataques dirigidos. McAfee identificó un gran número de campañas que minimizaban eficazmente el reconocimiento de datos necesario para ejecutar correctamente los ataques. Los actores se centraron principalmente en grandes organizaciones en el sector gobierno/administración, seguidos por los sectores de Finanzas, Química, Defensa y Educación. El acceso inicial se obtuvo mediante spearphishing en el 68% de los ataques y el 77% se basó en acciones específicas del usuario para la ejecución de ataques.

Bajo tierra. Más de 2.200 millones de credenciales de cuenta robadas se establecieron disponibles en el ciberdelincuente subterráneo en el transcurso del trimestre. El mercado oscuro más grande, Dream Market, anunció su plan de cerrar, citando un gran número de ataques DDoS. Las fuerzas del orden incautaron y cerraron con éxito las operaciones de xDedic, una de las tiendas rdp más grandes que supuestamente vendían acceso a aproximadamente 70.000 máquinas hackeadas.

Haga clic aquí para más información