3 Loaders de Malware Detectados en el 80% de los Ataques

ReliaQuest identificó que tres cargadores de malware específicos, QakBot, SocGholish y Raspberry Robin, fueron responsables del 80% de los ataques detectados entre enero y julio de 2023. Estos vectores son utilizados por diversos grupos de cibercrimen para desplegar cargas adicionales y comprometer redes.

Durante el periodo comprendido entre el 1 de enero y el 31 de julio de 2023, el análisis de ReliaQuest reveló que tres cargadores de malware dominaron el panorama de amenazas. QakBot, SocGholish y Raspberry Robin fueron responsables del 80% de los incidentes observados, con participaciones del 30%, 27% y 23% respectivamente. Es importante notar que no todos estos casos resultaron en un compromiso de red, ya que muchos fueron detectados y detenidos antes de ejecutar acciones maliciosas.

Perfil de los cargadores detectados

QakBot, activo desde 2009, evolucionó de un troyano bancario a un cargador de malware capaz de robar información sensible, permitir el movimiento lateral y desplegar cargas adicionales. Este cargador se distribuye principalmente mediante correos electrónicos de phishing y ha sido asociado con el grupo de ransomware BlackBasta, integrado por antiguos miembros de la banda Conti.

SocGholish, también conocido como FakeUpdates, está activo desde al menos 2018. Este cargador se despliega mediante descargas automáticas a través de una red de sitios web comprometidos que ofrecen actualizaciones falsas. ReliaQuest vincula a SocGholish con el grupo de cibercrimen ruso Evil Corp (activo desde 2007) y con el intermediario de acceso inicial (IAB) conocido como Exotic Lily.

Otros vectores de amenaza activos

Además de la tríada principal, el informe de ReliaQuest identifica otros cargadores con alta actividad durante los primeros siete meses de 2023. Estos incluyen Gootloader, Chromeloader, Guloader y Ursnif. Estos vectores representan una variedad de métodos que los actores de amenazas utilizan para establecer una presencia inicial en las redes corporativas.

Por qué importa y qué hacer

La alta prevalencia de estos tres cargadores indica que los atacantes priorizan herramientas con capacidad de persistencia y despliegue de cargas adicionales para facilitar el movimiento lateral. La presencia de grupos como BlackBasta y Evil Corp en el ecosistema de amenazas sugiere que el objetivo principal es la exfiltración de datos y el despliegue de ransomware. Para las organizaciones, esto significa que la detección temprana en la fase de carga es la barrera principal contra un compromiso total.

• Bloquear el acceso a sitios web que ofrecen actualizaciones de software falsas.
• Implementar filtros de correo electrónico para detectar y bloquear intentos de phishing dirigidos a QakBot.
• Monitorear y alertar sobre la ejecución de procesos asociados a SocGholish y Raspberry Robin en la red.
• Actualizar las firmas de los sistemas de detección de intrusiones para identificar los cargadores Gootloader, Chromeloader, Guloader y Ursnif.

Relacionado:
Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
Extensión de Anthropic en Cursor comprometida por puerta trasera
PHP2Shell: Millones de ataques, pero sin ejecuciones exitosas confirmadas

Fuente:
https://www.securityweek.com/only-3-malware-loaders-detected-in-80-of-attacks-security-firm/

Nota elaborada por Ciberseguridad en español a partir de información publicada por Security Week. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.