El malware mediante ficheros Excel, objetivo de las bandas de ransomware

HP ha publicado su último informe global, HP Wolf Security Threat Insights, que proporciona un análisis de los ataques de ciberseguridad que se llevan a cabo actualmente en el mundo. HP Wolf Security tiene una visión específica de las últimas técnicas utilizadas por los ciberdelincuentes al aislar las amenazas que han evadido las herramientas de detección y han llegado a los endpoints de los usuarios.

El equipo de investigación de amenazas de HP Wolf Security identificó una ola de ataques que utilizan la función de complementos de Excel para propagar malware, ayudando a los delincuentes a obtener acceso a los objetivos y exponiendo a las empresas y a los usuarios a robos de datos y a destructivos ataques de ransomware. En comparación con el trimestre anterior, se ha multiplicado por seis (+588%) el número de atacantes que utiliza la función de complementos de Microsoft Excel (.xll) para infectar los sistemas, una técnica especialmente peligrosa, ya que basta un solo clic para ejecutar el malware. El equipo también encontró anuncios de kits de creación de malware basado en complementos de Excel (extensión .xll) y herramientas para su envío (conocidos como droppers) en mercados clandestinos, que facilitan a los hackers sin experiencia el lanzamiento de los ataques.

Se ha multiplicado por seis el número de atacantes que utiliza la función de complementos de Microsoft Excel para infectar los sistemas

Además, una reciente campaña de spam de QakBot utilizó archivos de Excel para engañar a los usuarios. La campaña consistía en utilizar cuentas de correo electrónico comprometidas para realizar ataques de tipo hijack (técnica que permite suplantar la identidad creando nuevos correos) utilizando un archivo de Excel (.xlsb) malicioso adjunto. Después de ser enviado por el sistema, QakBot se inyectaba en procesos legítimos de Windows para evitar su detección. Archivos maliciosos de Excel (.xls) también fueron utilizados para propagar el troyano bancario Ursnif en empresas y organizaciones del sector público italiano a través de una campaña de spam malicioso, en la que los atacantes se hicieron pasar por el servicio de mensajería italiano BRT. Las nuevas campañas que propagan el malware Emotet, utilizan ahora también ficheros Excel en lugar de archivos JavaScript o Word.

Amenazas destacadas aisladas

• ¿El regreso de TA505? HP identificó una campaña de phishing por correo electrónico de MirrorBlast que compartía muchas tácticas, técnicas y procedimientos (TTP) con TA505, un grupo de ciberdelincuentes motivados con un claro objetivo financiero y conocido por sus campañas masivas de malware y por monetizar mediante malware el acceso a los sistemas infectados . El ataque se dirigía a las organizaciones con el troyano de acceso remoto (RAT) FlawedGrace.
• Una falsa plataforma de juegos infecta a las víctimas con RedLine: se ha descubierto un sitio servidor falso de la plataforma Discord, que engaña a los usuarios para que descarguen el infostealer (método de intrusión que basa su comportamiento en un caballo de troya que roba información del sistema) RedLine y roba sus credenciales.
• El cambio de tipos de archivos poco comunes sigue eludiendo la detección: el grupo de amenazas Aggah atacó a organizaciones de habla coreana con archivos maliciosos de complementos de PowerPoint (.ppa) encubiertos como órdenes de compra, infectando los sistemas con troyanos que ganaban acceso remoto. El malware de PowerPoint es inusual, ya que representa el 1% del malware.

“Basándonos en el aumento de apariciones de archivos .xll maliciosos que estamos observando, recomendaría a los administradores de la red que configuren las puertas de enlace del correo electrónico para bloquear los archivos adjuntos .xll entrantes, que solo permitan los complementos firmados por socios de confianza o que deshabiliten por completo los complementos de Excel“, explica Alex Holland, analista principal de malware del equipo de investigación de amenazas de HP Wolf Security, HP Inc.

“Los atacantes han invertido en técnicas como el hijacking en correo electrónico, haciendo más difícil que nunca que los usuarios distingan a los amigos de los enemigos“, continúa señalando Holland.

Los resultados se basan en los datos de los muchos millones de endpoints que ejecutan HP Wolf Security. HP Wolf Security rastrea el malware abriendo las tareas con más riesgo en micromáquinas virtuales (micro-VM) aisladas para comprender y capturar toda la cadena de infección, lo que ayuda a mitigar las amenazas que se han escapado de otras herramientas de seguridad.