El antimalware insuficiente
Las soluciones antimalware tradicionales pasan por alto casi el 75 por ciento de las amenazas.
WatchGuard Technologies, líder mundial en seguridad e inteligencia de red, autenticación multifactor (MFA), protección avanzada de endpoints y Wi-Fi seguro, ha publicado su Informe de Seguridad en Internet correspondiente al primer trimestre de 2021. Entre las conclusiones más destacadas se encuentra que el 74% de las amenazas detectadas el pasado trimestre eran malware de día cero, es decir, aquellas que una solución antivirus basada en firmas no detectó en el momento del lanzamiento del malware, capaz de eludir las soluciones antivirus convencionales. El informe también incluye nueva información sobre amenazas en relación con el aumento de los índices de ataques de red, cómo los ciberdelincuentes intentan disfrazar y reutilizar antiguos exploits, o los principales ataques de malware del trimestre, entre otra mucha información.
"El pasado trimestre se registró el nivel más alto de detecciones de malware de día cero de la historia. Los índices de malware evasivo han eclipsado a los de las amenazas tradicionales, lo que es una señal más de que las organizaciones necesitan evolucionar sus defensas para adelantarse a los actores de amenazas cada vez más sofisticadas", declara Corey Nachreiner, director de seguridad de WatchGuard. "Las soluciones antimalware tradicionales por sí solas son simplemente insuficientes para el entorno de amenazas actual. Todas las organizaciones necesitan una estrategia de seguridad proactiva en capas que incluya el aprendizaje automático y el análisis del comportamiento para detectar y bloquear las amenazas nuevas y avanzadas”.
Otros resultados clave del Informe de Seguridad en Internet del primer trimestre de 2021 de WatchGuard son:
• La variante de malware sin archivos se hace más popular – XML.JSLoader es una carga útil maliciosa que apareció por primera vez en las listas de detecciones de malware más importantes de WatchGuard por volumen y más generalizadas. También fue la variante que WatchGuard detectó con más frecuencia a través de la inspección HTTPS en el primer trimestre. La muestra identificada por WatchGuard utiliza un ataque de entidad externa XML (XXE) para abrir un shell y ejecutar comandos para eludir la política de ejecución local de PowerShell y se ejecuta de forma no interactiva, oculta al usuario real o a la víctima. Este es otro ejemplo de la creciente prevalencia del malware sin archivos y de la necesidad de contar con capacidades avanzadas de detección y respuesta en los endpoints.
• Un simple truco de nombre de archivo ayuda a los hackers a hacer pasar el cargador del ransomware por archivos adjuntos legítimos en PDF – El cargador de ransomware Zmutzy apareció como la segunda variante de malware cifrado por volumen en el primer trimestre. Asociado específicamente con el ransomware Nibiru, las víctimas encuentran esta amenaza como un archivo comprimido adjunto a un correo electrónico o una descarga desde un sitio web malicioso. Al ejecutar el archivo comprimido se descarga un ejecutable que, para la víctima, parece ser un PDF legítimo. Los atacantes utilizan una coma en lugar de un punto en el nombre del archivo y un icono ajustado manualmente para hacer pasar el archivo zip malicioso por un PDF. Este tipo de ataque pone de manifiesto la importancia de la educación y la formación en materia de phishing, así como de la implementación de soluciones de copia de seguridad en caso de que una variante como esta desencadene una infección de ransomware.
• Los actores de amenazas siguen atacando los dispositivos IoT – Aunque no se encuentra en la lista de los 10 principales programas maliciosos de WatchGuard del primer trimestre, la variante Linux.Ngioweb.B ha sido utilizada recientemente por los adversarios para atacar dispositivos IoT. La primera versión de esta muestra se dirigía a servidores Linux que ejecutaban WordPress, llegando inicialmente como un archivo de formato extendido (EFL). Otra versión de este malware convierte los dispositivos IoT en una botnet con servidores de comando y control rotativos.
• Los ataques de red aumentan más del 20%. – Los dispositivos de WatchGuard detectaron más de 4 millones de ataques de red, un aumento del 21% en comparación con el trimestre anterior y el mayor volumen desde principios de 2018. Los servidores corporativos y los activos in situ siguen siendo objetivos de alto valor para los atacantes a pesar del cambio hacia el trabajo remoto e híbrido, por lo que las organizaciones deben mantener la seguridad del perímetro junto con las protecciones centradas en el usuario.
• Reaparece una antigua técnica de ataque trasversal de directorios – WatchGuard detectó una nueva firma de amenaza en el primer trimestre que implica un ataque trasversal de directorios a través de archivos cabinet (CAB), un formato de archivo diseñado por Microsoft para la compresión de datos sin pérdidas y certificados digitales incrustados. Este exploit, que se suma a la lista de los 10 principales ataques de red de WatchGuard, engaña a los usuarios para que abran un archivo CAB malicioso utilizando técnicas convencionales, o suplantando una impresora conectada a la red para engañar a los usuarios y hacer que instalen un controlador de impresora a través de un archivo CAB comprometido.
• Los zero-days de HAFNIUM proporcionan conocimientos sobre las tácticas de amenazas y mejores prácticas de respuesta – El pasado trimestre, Microsoft informó de que los delincuentes utilizaban las cuatro vulnerabilidades HAFNIUM en varias versiones de Exchange Server para conseguir la ejecución remota de código completo y no autenticado del sistema, así como el acceso arbitrario a la escritura de archivos en cualquier servidor no parcheado expuesto a Internet, como la mayoría de los servidores de correo electrónico. El análisis de incidentes de WatchGuard profundiza en las vulnerabilidades y destaca la importancia de la inspección HTTPS, la aplicación oportuna de parches y la sustitución de los sistemas heredados.
• Los atacantes combinan dominios legítimos en campañas de criptominería – En el primer trimestre, el servicio DNSWatch de WatchGuard bloqueó varios dominios comprometidos y directamente maliciosos asociados a amenazas de criptominería. El malware cryptominer se ha vuelto cada vez más popular debido a los recientes picos de precios en el mercado de las criptomonedas y la facilidad con la que los actores de amenazas pueden desviar recursos de víctimas desprevenidas.
