En una operación global, el FBI logró desarticular el peligroso Qbot

Check Point® Software Technologies Ltd. (NASDAQ: CHKP), especialista en soluciones de ciberseguridad, reveló su Índice Global de Amenazas del mes de agosto. Los investigadores informan sobre una nueva variante del malware ChromeLoader, que ha estado dirigido a usuarios del navegador Chrome con anuncios falsos con extensiones maliciosas.

Por otra parte, el sector de las comunicaciones es la segunda industria más afectada a nivel mundial, desplazando a la sanidad de la lista por primera vez este año.

También durante este mes, el FBI anunció una victoria significativa en su operación global contra el Qbot (también conocido como Qakbot).

---

En la «Operación Duck Hunt», el FBI tomó el control de la botnet, eliminó el malware de los dispositivos infectados e identificó un número sustancial de dispositivos afectados.

Qbot se convirtió en un servicio de distribución de malware utilizado para diversas actividades ciberdelincuentes, incluidos ataques de ransomware. Aunque se mantuvo como el malware más prevalente en agosto, Check Point Software ha observado una disminución significativa en su impacto después de la operación.

Los 3 más buscados en Colombia.

*Las flechas se refieren al cambio de rango en comparación con el mes anterior.

1. ↔ Qbot –

AKA Qakbot es un troyano bancario que apareció por primera vez en 2008. Fue diseñado para robar las credenciales bancarias y las pulsaciones de teclas.

A menudo distribuido a través del correo electrónico no deseado, Qbot emplea varias técnicas anti-VM, anti-depuración y anti-sandbox para dificultar el análisis y evadir la detección.

Este troyano ha aumentado su incidencia en las empresas colombianas hasta el 7.16% y en el campo global en 5.34%.

2. ↑Fakeupdates– 

Fakeupdates (AKA SocGholish) es un downloader escrito en JavaScript. Escribe las cargas útiles en el disco antes de lanzarlas.

Fakeupdates condujo a un mayor compromiso a través de muchos programas maliciosos adicionales, incluyendo GootLoader, Dridex, NetSupport, DoppelPaymer, y AZORult.

El downloader impactó en 10.95% en las empresas de Colombia y en el campo mundial en 2.92%

3. ↔ NJRat– 

Es un troyano de acceso remoto, dirigido principalmente a agencias gubernamentales y organizaciones en el Medio Oriente.

El troyano apareció por primera vez en 2012 y tiene múltiples capacidades: capturar pulsaciones de teclas, acceder a la cámara de la víctima, robar credenciales almacenadas en los navegadores, cargar y descargar archivos, realizar manipulaciones de procesos y archivos y ver el escritorio de la víctima.

NJRat infecta a las víctimas a través de ataques de phishing y descargas ocultas, y se propaga a través de llaves USB o unidades en red infectadas, con el soporte del software de servidor Command & Control.

Su impacto en Colombia en agosto fue de 5.07% y en el campo global de 1.90%.

Las 3 industrias más atacadas a nivel mundial.

1. Educación/investigación
2. Comunicaciones
3. Gobierno/militar

Las 3 vulnerabilidades más explotadas.

Check Point Research señala que la «Ejecución Remota de Código a través de Encabezados HTTP», fue la vulnerabilidad más explotada y afectó al 40% de las empresas en todo el mundo.

Le sigue la «Inyección de Comandos a través de HTTP», con un 38%. La tercera vulnerabilidad más utilizada fue la «Ejecución Remota de Código en MVPower CCTV DVR», con un impacto global del 35%.

1. ↑ Ejecución Remota de Código a través de Encabezados HTTP – 

Los encabezados HTTP permiten que el cliente y el servidor transmitan información adicional con una solicitud HTTP. Un atacante remoto puede usar un encabezado HTTP vulnerable para ejecutar código arbitrario en el equipo de la víctima.

2. ↑ Inyección de Comandos a través de HTTP (CVE-2021-44228) – 

Se ha informado de una vulnerabilidad de inyección de comandos a través de HTTP. Un atacante remoto puede explotar este problema enviando una solicitud especialmente diseñada a la víctima. La explotación exitosa permite a un atacante ejecutar código arbitrario en el dispositivo objetivo.

3. ↑ Ejecución Remota de Código en MVPower CCTV DVR (CVE-2020-10826,CVE-2020-10827,CVE-2020-10828,CVE-2020-13756)–

Existe una vulnerabilidad de ejecución remota de código en MVPower CCTV DVR. La explotación exitosa de esta vulnerabilidad permite ejecutar código arbitrario en el sistema atacado.

Los 3 malwares móviles más usados.

1. Anubis–

Malware troyano bancario diseñado para teléfonos móviles Android. Desde que se detectó inicialmente ha ganado funciones adicionales que incluyen capacidades de troyano de acceso remoto (RAT), keylogger, grabación de audio y varias características de ransomware. Se ha detectado en cientos de aplicaciones diferentes disponibles en Google Store.

2. AhMyth–

Troyano de acceso remoto (RAT) descubierto en 2017. Se distribuye a través de aplicaciones de Android que se pueden encontrar en tiendas de aplicaciones y varios sitios web.

Cuando un usuario instala una de estas aplicaciones infectadas, el malware puede recopilar información confidencial del dispositivo y realizar acciones como el registro de teclas, capturas de pantalla, el envío de mensajes SMS y la activación de la cámara.

3. SpinOk–

Es un módulo de software para Android que funciona como spyware. Recopila información sobre los archivos almacenados en los dispositivos y es capaz de transferirla a los ciberdelincuentes.

El módulo malicioso se ha encontrado presente en más de 100 aplicaciones Android y se ha descargado más de 421.000.000 veces a fecha de mayo de 2023.

---