Cyber Crooks Store 10 familias de malware en servidores web de EE. UU.
En abril de este año, mientras hacía una revisión de los datos de amenazas disponibles, una compañía de ciberseguridad notó que un grupo de familias de malware se alojaba en diez servidores web de EE. UU. Los actores que poseían estas amenazas también usaron los servidores para lanzar ataques de phishing que explotaron técnicas de ingeniería social para infectar computadoras con malware a través de documentos maliciosos de Microsoft Word. Los archivos adjuntos de correo electrónico corruptos contenían macros maliciosas de aplicaciones de Visual Basic (VBA) que cargaban la carga peligrosa en la máquina de destino.
Las familias de amenazas en cuestión consistían en cinco familias de malware bancario: Gootkit , Nymaim , IcedID , Trickbot y Dridex ; tres grupos de ladrones de datos: Neutrino , Fareit y AZORult ; y dos cepas de ransomware: Hermes y GandCrab . A menudo, una familia de malware sirve como cuentagotas para otra.
Los investigadores se encontraron con uno de los servidores que alojaban Dridex en marzo de 2019. De estudios anteriores, la compañía sabe que desde 2016 los delincuentes cibernéticos detrás de Dridex están utilizando la botnet Necurs para la distribución del malware, mientras que algunas similitudes entre las campañas de Dridex y el También se observaron campañas que impulsaron algunas de las otras amenazas de malware. Ante estos hechos, los investigadores formularon la hipótesis de que el cibergang detrás de Necurs está utilizando los servidores web como parte de su red para la distribución de malware. Esa hipótesis también aparece en relación con ciertos cambios que los operadores de la botnet Necurs introdujeron a lo largo de los años. Por ejemplo, en junio de 2018, se agregaron nuevas capacidades a la botnet, como Necurs se habilitó repentinamente para entregar XMRig crypto miner, así como scripts maliciosos de inserción que podrían extraer direcciones de correo electrónico. Unos meses más tarde, los investigadores descubrieron que Necurs distribuyó el troyano de acceso remoto Flawed Ammyy utilizando archivos PUB.
Mientras tanto, también han surgido nuevos datos sobre los operadores de Dridex. Aparentemente, los mismos atacantes crearon una cepa de ransomware llamada FriedEx en enero de 2018. Luego, un año después, los investigadores descubrieron que Dridex, BitPaymer, Emotet y Ursnif están relacionados con un cargador similar.
Los eventos educativos regulares para los empleados sobre cómo reconocer los correos electrónicos de phishing pueden ayudar a las organizaciones a defender sus sistemas contra las amenazas de malware distribuidas a través de campañas de spam. Otro medio de protección es una herramienta de apalancamiento como un editor de VBA que puede extraer y analizar códigos de macro incluidos en documentos adjuntos de Microsoft Office que podrían contener cargas maliciosas.