La empresa Avast, referente mundial en seguridad digital y privacidad, ha publicado su Informe de Amenazas Q1/2022 (primer trimestre de 2022) revelando amenazas cibernéticas que giran en torno a la guerra física entre Rusia y Ucrania. Este último informe arroja luz sobre un grupo APT atribuido a Rusia que ataca a los usuarios en Ucrania, herramientas DDoS que se utilizan contra los sitios rusos y ataques de ransomware dirigidos a empresas en Ucrania. Además, los hallazgos muestran que los cibercriminales se han visto afectadas por la guerra física, lo que ha causado una ligera disminución en el ransomware y la interrupción temporal del ladrón de información, Racoon Stealer.
Índice de temas
Guerra cibernética: Ucrania y Rusia
“A menudo vemos paralelismos entre lo que ocurre en el mundo real y el panorama de las amenazas en lo que se refiere a la forma en que éstas se propagan y sus objetivos. En el primer trimestre de 2022 hemos visto un aumento significativo en los ataques de tipos particulares de malware en países involucrados en la guerra. En comparación con el cuarto trimestre de 2021, hemos visto un aumento de más del 50% en la cantidad de ataques troyanos de acceso remoto (RAT) y un aumento de más del 20% en los ataques de malware de robo de información que bloqueamos en Ucrania, Rusia y Bielorrusia, que pueden ser utilizados para la recopilación de información o espionaje”, señaló Jakub Kroustek, director de Investigación de Malware de Avast. “También hemos bloqueado un 30% más de intentos de infectar nuevos dispositivos para unirse a botnets en Rusia, y un aumento del 15% en Ucrania, con el objetivo de construir ejércitos de dispositivos que puedan llevar a cabo ataques DDoS en medios y otros sitios web e infraestructuras cruciales. Por otro lado, hemos bloqueado un 50% menos de ataques de adware en Rusia y Ucrania, lo que podría deberse a que hay menos personas conectadas, especialmente en Ucrania”.
Justo antes de que comenzara la guerra en Ucrania, Avast Threat Labs rastreó varios ataques cibernéticos, que se cree que fueron llevados a cabo por grupos rusos de APT. Gamaredon, un grupo APT conocido y activo, aumentó su actividad rápidamente al final de febrero, extendiendo su malware a un amplio grupo de objetivos, incluidos los consumidores, en busca de víctimas de interés para llevar a cabo espionaje. El ransomware llamado HermeticRansom, para el que Avast lanzó una herramienta de descifrado, se propagó presumiblemente también por un grupo APT.
Los investigadores de Avast han rastreado herramientas promovidas por comunidades hacktivistas para llevar a cabo ataques DDoS en sitios web rusos. Así, los investigadores han detectado páginas web, incluido un sitio de pronóstico del tiempo, que incorporaban el código utilizado para llevar a cabo estos ataques a través del navegador de los visitantes sin su consentimiento. Este tipo de ataques disminuyeron hacia el final del trimestre. Una botnet vendida como servicio se utilizó para una campaña DDoS en marzo en relación con el grupo de ransomware Sodinokibi (REvil). Además, los autores de malware han utilizado la guerra para propagar malware, como troyanos de acceso remoto (RAT) mediante la difusión de correos electrónicos con adjuntos maliciosos que afirmaban contener información importante sobre la guerra.
La guerra de Ucrania afecta las operaciones del cibercrimen
Los autores y operadores de malware se han visto directamente afectados por la guerra, como la supuesta muerte del desarrollador líder de Raccoon Stealer, que resultó en la interrupción temporal del malware de robo de información.
Avast Threat Labs también ha continuado observando una ligera disminución del 7% en los ataques de ransomware en todo el mundo en el primer trimestre de 2022, en comparación con el último trimestre de 2021, lo cual se cree motivado por la guerra en Ucrania, desde donde operan muchos operadores de ransomware y afiliados. Con esto, los ataques de ransomware han disminuido por segundo trimestre consecutivo. Cabe mencionar que en el último trimestre de 2021, la disminución de este tipo de ciberataques fue resultado de una cooperación de naciones, agencias gubernamentales y proveedores de seguridad que persiguen a los autores y operadores de ransomware. Otra causa de la disminución podría ser que uno de los grupos de ransomware más activos y exitosos, Maze, cerró sus operaciones en febrero, así como la tendencia continua de las bandas de ransomware que se centran más en ataques dirigidos a objetivos grandes (caza mayor) que en usuarios habituales a través de técnicas de “spray and pray”.
La guerra causó una grieta dentro de la banda de ransomware Conti, con un investigador ucraniano filtrando archivos internos de la empresa de la banda y el código fuente del ransomware Conti, después de que el grupo declarara lealtad a Rusia, prometiendo represalias de ransomware por ataques cibernéticos contra Rusia. Las filtraciones resultaron en una disminución temporal del ransomware Conti.
México, Japón e India son las excepciones, en las que las probabilidades de que un usuario se encuentre con ransomware aumentaron en un 120%, 37% y 34% respectivamente en el primer trimestre de 2022 en comparación con el cuarto trimestre de 2021.
La cuota de mercado de Emotet se duplicó, TDS difundió campañas maliciosas
Además, el informe revela que Emotet duplicó su cuota de mercado desde el último trimestre. En particular, Avast ha observado un aumento significativo en los intentos de infección de botnets de Emotet en marzo. Además, un sistema de dirección de tráfico (TDS), llamado Parrot TDS se detectó difundiendo campañas maliciosas a través de 16.5 mil sitios infectados. El informe también incluye un resumen de cómo los investigadores de Avast reunieron pistas para descubrir cómo Meris, una de las redes de botnet-as-a-service más grandes, compuesta principalmente por más de 230 mil dispositivos MikroTik vulnerables, facilitó múltiples ataques a gran escala en los últimos años.
En el lado móvil, los ladrones están cambiando de tácticas cuando se trata de difundir adware y subscripciones de SMS premium, que siguen siendo frecuentes. Si bien se ha utilizado anteriormente Google Play Store para distribuir estas amenazas, los criminales ahora están utilizando ventanas emergentes del navegador y notificaciones para difundir aplicaciones maliciosas entre los consumidores.
