Tag:

network security

Tecnología

Barracuda lanza protección de correo con IA para Microsoft 365

by Editor de Tecnologia
written by Editor de Tecnologia

Barracuda Networks lanzó una solución de protección de correo electrónico impulsada por inteligencia artificial para Microsoft 365. Según reportes de SecurityBrief Australia y citybiz, esta herramienta busca fortalecer la resiliencia cibernética frente a ataques generados por IA, permitiendo que los proveedores de servicios gestionados (MSP) respondan con mayor rapidez ante amenazas evolucionadas.

¿Por qué la seguridad tradicional ya no es suficiente?

Los métodos de defensa convencionales han quedado obsoletos frente a la velocidad de los ataques modernos. De acuerdo con el blog de Barracuda Networks, la seguridad de correo electrónico tradicional ya no es suficiente para detener las amenazas actuales, que utilizan inteligencia artificial para evadir los filtros de seguridad estándar.

¿Cómo protege Barracuda los sistemas de correo electrónico?

La compañía implementó una protección integrada diseñada para elevar la resiliencia cibernética de las organizaciones. Según Security Boulevard, Barracuda ha reclutado la inteligencia artificial para blindar los sistemas de correo, enfocándose específicamente en neutralizar amenazas que emplean IA para su propagación, según detalla citybiz.

¿Cómo protege Barracuda los sistemas de correo electrónico?

¿Qué implica este lanzamiento para los MSP?

El despliegue de esta tecnología presiona a los proveedores de servicios gestionados a acelerar la adopción de herramientas de defensa avanzadas. MSSP Alert señala que, debido a que los ataques de correo electrónico basados en IA se desplazan con rapidez, Barracuda insta a los MSP a moverse con la misma velocidad para mitigar los riesgos de sus clientes.

Barracuda CEO Rohit Ghai unveils Integrated Email Protection | Barracuda
0 comments
0 FacebookTwitterPinterestLinkedinEmail
Tecnología

Google advierte sobre el aumento de ciberataques con IA

by Editor de Tecnologia
written by Editor de Tecnologia

Google ha alertado que los ciberataques potenciados por inteligencia artificial ya son una realidad, subrayando la urgencia de reforzar las medidas de seguridad digital ante estas nuevas amenazas.

En una acción reciente, la compañía logró neutralizar a un grupo de hackers que utilizaban herramientas de IA para intentar aprovechar una vulnerabilidad desconocida en las defensas digitales de una empresa, según detalla BreakingNews.ie.

Este incidente confirma la advertencia de Google sobre la llegada de ataques cibernéticos impulsados por IA, un punto ya destacado por SecurityBrief Asia.

0 comments
0 FacebookTwitterPinterestLinkedinEmail
Tecnología

Análisis de Microsoft sobre seguridad de correo ICES

by Editor de Tecnologia
written by Editor de Tecnologia

El equipo de seguridad de Microsoft llevó a cabo una evaluación sobre el benchmarking de la seguridad de correo electrónico en capas, detallada en una publicación de blog de diciembre de 2025. El análisis se centró específicamente en el funcionamiento del Integrated Cloud Email Security (ICES).

El ecosistema ICES permite que Microsoft Defender for Office 365 se integre con proveedores de seguridad de correo electrónico externos y confiables, impulsando una estrategia de defensa multicapa. Esta integración permite a los usuarios aprovechar capacidades especializadas de socios externos mientras mantienen una experiencia unificada dentro del portal de Microsoft Defender.

Beneficios del ecosistema ICES

La implementación de este sistema ofrece diversas ventajas operativas y de seguridad:

  • Cuarentena unificada: Permite visualizar y gestionar los correos electrónicos en cuarentena, tanto los de Defender for Office 365 como los de proveedores no pertenecientes a Microsoft, desde una única interfaz.
  • Tableros consolidados: Proporciona acceso a métricas de efectividad transversales a todas las soluciones integradas para comprender mejor los resultados y la cobertura de detección.
  • Defensa en profundidad: Refuerza la protección al combinar capacidades de terceros con las defensas nativas de Defender for Office 365.
  • Operaciones optimizadas: Facilita una integración fluida con proveedores de seguridad de correo electrónico habilitados para API y nativos de la nube, consolidando los flujos de trabajo y la obtención de información dentro del portal de Defender.

Esta funcionalidad está disponible para los usuarios de Microsoft Defender for Office 365 Plan 2 y Microsoft Defender XDR.

0 comments
0 FacebookTwitterPinterestLinkedinEmail
Tecnología

F1 y Ciberseguridad: Resiliencia y Ventaja Competitiva

by Editor de Tecnologia
written by Editor de Tecnologia

La Fórmula 1 es reconocida mundialmente por su precisión en la ingeniería y por las carreras que se ganan o se pierden por milésimas de segundo. Si bien siempre ha sido una disciplina impulsada por los datos, la atención a la seguridad y la resiliencia se está profundizando. Para profundizar en estos temas, tuve el placer de unirme a colegas de la industria y al equipo Atlassian Williams F1 en una visita ‘entre bastidores’ a la carrera inaugural de la temporada en Albert Park, Melbourne.

El riesgo de terceros determina la resiliencia en el día de la carrera

El automovilismo depende de una combinación diversificada de socios proveedores para ofrecer un alto rendimiento. Piense en los dispositivos, los clústeres y el software involucrados antes de la carrera y en la pista. Esa red conlleva riesgos de terceros. Sin embargo, no todas las conexiones son iguales: una conexión WiFi de invitados segregada de la pista tiene menos riesgo que los sistemas que capturan y procesan la telemetría durante la carrera. Gestionar el riesgo de terceros en el garaje es similar a gestionarlo en una empresa compleja: el riesgo de su proveedor es su riesgo. James Kent, director de tecnología del equipo en la pista, dijo: «Nos asociamos con proveedores que se alinean con nuestra propia estrategia». Al seleccionar socios proveedores que consideran la seguridad como un imperativo empresarial, el equipo está obteniendo resiliencia, no solo suministros. También está adoptando un enfoque de seguridad por capas, basado en la sensibilidad de los datos. «Tenemos múltiples enlaces de datos», dijo Kent. «Estos se agregan o bloquean según los requisitos de latencia y seguridad».

Los nuevos tipos de identidades también plantean nuevos riesgos de terceros. Las organizaciones ahora gestionan muchas identidades de máquina no humanas de sus proveedores. Atrás quedaron los días en que las organizaciones podían rotar al personal temporal utilizando un inicio de sesión genérico de un proyecto a otro. Se requieren identidades específicas del rol con autenticación con conocimiento de la ubicación y enfoques de confianza cero para mantener la organización segura. Esto es particularmente cierto a medida que el software aplica cada vez más políticas, detecta conexiones riesgosas, rota credenciales y protege entornos multi-nube.

Equilibrar la sensibilidad de los datos y el riesgo para generar una ventaja competitiva

La Fórmula 1 vive y respira datos. Estos datos abarcan toda la telemetría habitual: desde los datos de aceleración y frenado, hasta la velocidad en las curvas, el cambio de marchas, las condiciones de la pista y mucho más. Pero es la forma en que se combinan esos datos lo que marca la diferencia. «Cuando regreso al garaje, mi compañero de equipo y yo constantemente nos superamos gracias al análisis de datos», dijo Carlos Sainz Jr. «Pero hay un punto óptimo. Eres más lento si no utilizas los datos correctamente, pero puede quitarte demasiada concentración si te apoyas demasiado en ellos».

Encontrar el equilibrio adecuado no se trata solo de construir esa resiliencia personal. También se trata de correlacionar las perspectivas correctas. La primera es la experiencia en la pista del piloto, basada en su historial de carreras anterior. La segunda proviene de simulaciones en la pista que combinan datos actuales e históricos de carreras de clústeres en la pista y la nube, respectivamente. Y la tercera es un modelo óptimo que predice la mejor ruta sin considerar las entradas humanas. Al combinar estas 3 perspectivas, con el nivel de fidelidad y el período de tiempo adecuados, el equipo puede descubrir una comprensión más profunda de las tendencias de la carrera para generar una ventaja competitiva.

Ese equilibrio también implica recopilar y proteger los datos correctos. Debido a que los datos tienen una gravedad, en la infraestructura de soporte, la arquitectura de datos y la seguridad, recopilar los datos incorrectos plantea riesgos cibernéticos, de privacidad y de latencia. «Presto mucha atención a qué datos estamos moviendo, cómo los estamos moviendo y a dónde los estamos moviendo», dijo Kent. «Nos asociamos con organizaciones para que nos protejan porque la amenaza cibernética es constante». Escatimar en las protecciones y recopilar los datos incorrectos simplemente no vale la pena.

Asegurar un alto rendimiento con los fundamentos y las palancas correctas

Las continuas incertidumbres geopolíticas dificultan que las empresas construyan y mantengan el valor empresarial, especialmente para un deporte global como la F1. Centrarse en los fundamentos organizacionales es crucial al decidir qué palancas de cambio accionar. En términos de construir resiliencia cibernética, Darren Guccione, director ejecutivo y cofundador de Keeper Security, va más allá de la tecnología para centrarse en el fundamento humano. «El modelo de ciberseguridad es simple, pero la ejecución es compleja», dijo. «A menudo existe una relación inversa entre la ciberseguridad y la facilidad de uso. Intentamos unificar la seguridad y facilitarla porque si es compleja, los empleados encontrarán formas de evitarla. Eso pone en riesgo a la empresa».

La simplificación de la cadena de herramientas con un enfoque de plataforma es solo el comienzo. El cambio cultural también debe acelerarse. Elevar la cultura de seguridad a nivel de liderazgo y fuerza laboral puede garantizar la resiliencia contra nuevos ataques que las herramientas pueden pasar por alto. La creatividad y el ingenio son las claves para desbloquear mayores defensas.

Además de los fundamentos tecnológicos y humanos, también es importante unificar los procesos de gestión de riesgos. Piense en todo el esfuerzo que se dedica a auditar e informar sobre los requisitos reglamentarios, como la Gestión del Riesgo Operacional (CPS 230). Bajo esa regulación, los jefes de departamento son propietarios y deben comprender los riesgos inherentes a los activos tecnológicos bajo su responsabilidad. Pero cuando se trata de auditar y evaluar esos riesgos, los procesos desconectados y las soluciones puntuales aisladas dificultan la elaboración de informes. En opinión de Guccione, «Una organización podría tener 25 productos de seguridad diferentes, pero no están conectados. Esto conduce a brechas operativas y de seguridad, lo que hace imposible generar un informe de cumplimiento. Por lo tanto, hemos integrado todas esas aplicaciones de seguridad básicas en una plataforma unificada. Ese es el futuro».

Datos, seguridad y resiliencia para impulsar un alto rendimiento. Al seleccionar los socios adecuados, recopilar solo los datos esenciales y basarse en los fundamentos correctos, las organizaciones pueden crear una resiliencia personal, cibernética y operativa más profunda. Los líderes tecnológicos adoptan estos enfoques de forma proactiva para construir y mantener la resiliencia en un entorno cada vez más incierto.

0 comments
0 FacebookTwitterPinterestLinkedinEmail
Negocio

Orange y Cisco: Redes Seguras Post-Cuánticas para Empresas

by Editora de Negocio
written by Editora de Negocio

Resumen para el lector

  • Orange Business y Cisco han lanzado servicios de red protegidos con criptografía post-cuántica (CPQ) en la infraestructura global de Orange para proteger los datos de empresas y del sector público frente a futuras amenazas cuánticas.
  • Orange Business es el primer proveedor de servicios europeo en ofrecer servicios globales de WAN protegidos con CPQ utilizando los routers seguros de la serie Cisco 8000, con la disponibilidad comercial de los servicios Cisco SD-WAN gestionados con CPQ prevista para el tercer trimestre de 2026.
  • La colaboración se centra en arquitecturas SD-WAN gestionadas de forma centralizada y con capacidad de adaptación criptográfica, diseñadas para mitigar los riesgos de “recopilar ahora, descifrar más tarde” a medida que avanza la computación cuántica.

COMUNICADO DE PRENSA — Orange Business y Cisco han anunciado hoy su colaboración en soluciones de Criptografía Post-Cuántica (CPQ) seguras sobre la infraestructura de red global de Orange Business. Esto proporciona a los clientes, desde empresas hasta el sector público, una protección a largo plazo contra futuros ataques cuánticos a su tráfico de red.

Orange Business es el primer proveedor de servicios europeo en anunciar servicios de red global protegidos con CPQ basados en Cisco 8000 Series Secure Routers. Estos routers están diseñados específicamente para la era cuántica, proporcionando una conectividad de red robusta y segura contra la computación cuántica.

A partir de hoy, los servicios WAN protegidos con CPQ ya están disponibles. Los servicios Orange Business gestionados con Cisco SD-WAN y protegidos con CPQ tienen como objetivo estar disponibles comercialmente en el tercer trimestre del año fiscal 2026. Los clientes pueden confiar en que los datos confidenciales que se mueven a través de las organizaciones, la nube y los centros de datos permanecen seguros, incluso ante la amenaza de la computación cuántica.

A medida que avanza la computación cuántica, muchos algoritmos criptográficos clásicos de uso común se volverán cada vez más vulnerables. Esto crea el riesgo de que los datos interceptados hoy puedan ser descifrados en el futuro, una amenaza conocida como “recopilar ahora, descifrar más tarde”. Los clientes deben actuar ahora para evitar esta exposición. La CPQ integrada en las infraestructuras Cisco SD-WAN es fácil de implementar para los clientes como una función de software, especialmente como un servicio gestionado. Ayudará a los clientes a proteger sus datos y operaciones contra las amenazas actuales y futuras.

La integración de la CPQ en SD-WAN hace que la infraestructura SD-WAN y sus planos de control y datos sean seguros para la computación cuántica, garantizando que la forma en que los sitios se conectan, se autentican y intercambian claves permanezca segura. La ventaja de integrar la CPQ en SD-WAN es que protege toda la WAN, no solo los túneles individuales. Esto proporciona a los clientes una WAN única, gestionada de forma centralizada y resistente a la computación cuántica, que puede evolucionar a medida que cambian los estándares.

El último componente del portafolio Orange Quantum Defender

La CPQ sobre Cisco SD-WAN es la última incorporación a la gama de soluciones Orange Quantum Defender, reforzando el liderazgo de Orange en redes seguras para la computación cuántica. Orange se centra en preparar a las empresas y a los clientes de infraestructuras críticas para el futuro impacto de la computación cuántica mediante la incorporación de la seguridad post-cuántica en la seguridad de la red desde el principio, en lugar de considerarla una actualización posterior.

La estrategia de redes seguras para la computación cuántica de Orange enfatiza la agilidad criptográfica, asegurando que las redes estén diseñadas para permitir la rápida alteración o actualización de algoritmos y protocolos criptográficos, minimizando así las interrupciones y manteniendo la confidencialidad a lo largo de ciclos de vida de datos prolongados.

Un enfoque paso a paso

Al adoptar un enfoque alineado con los estándares para las redes seguras para la computación cuántica con CPQ sobre SD-WAN, Orange y Cisco están ayudando a los clientes a proteger sus operaciones y a mantener la confianza de los clientes en el futuro. El objetivo es garantizar que las comunicaciones de datos y los servicios digitales sigan siendo seguros, incluso a medida que evolucionan las amenazas de seguridad cuántica, sin obligar a los clientes a realizar cambios repentinos e disruptivos.

Jean-Noël Michel Vice President, Communication Services Business Line at Orange Business

Jean-Noël es responsable de la cartera de productos y la ingeniería de conectividad, comunicación, colaboración, centros de contacto y servicios profesionales. Cuenta con más de 25 años de experiencia en la industria de las telecomunicaciones. Antes de unirse a Orange Business, fue responsable de la innovación de productos para los mercados B2B en todo el Grupo Orange y ha liderado roles de liderazgo en Orange en plataformas de servicios, TI, B2B, marketing y desarrollo empresarial.

Vikas Butaney SVP and General Manager, Secure Routing and Industrial IoT at Cisco

Vikas lidera la estrategia de productos, la hoja de ruta y el desarrollo de Cisco Routing y SD-WAN, Industrial Networking, Industrial Cyber Security y Multicloud Networking. A medida que la red y la seguridad se integran cada vez más, Vikas ha liderado la implementación de una oferta SD-WAN con seguridad integral incorporada. Al unir todas estas tecnologías con la visión de Cisco Networking Cloud, Vikas está ayudando a los clientes a simplificar, asegurar y escalar sus negocios.

0 comments
0 FacebookTwitterPinterestLinkedinEmail
Tecnología

Fortinet FortiGate: Ataque por cambios de configuración vía SSO

by Editor de Tecnologia
written by Editor de Tecnologia

La empresa de ciberseguridad Arctic Wolf ha advertido sobre un «nuevo grupo de actividad maliciosa automatizada» que implica cambios de configuración no autorizados en los dispositivos Fortinet FortiGate.

La actividad, según la compañía, comenzó el 15 de enero de 2026, y añade que presenta similitudes con una campaña de diciembre de 2025 en la que se registraron inicios de sesión SSO maliciosos en los dispositivos FortiGate contra la cuenta de administrador desde diferentes proveedores de alojamiento, explotando las vulnerabilidades CVE-2025-59718 y CVE-2025-59719.

Ambas vulnerabilidades permiten eludir la autenticación de inicio de sesión SSO sin autenticación a través de mensajes SAML creados, cuando la función de inicio de sesión único (SSO) de FortiCloud está habilitada en los dispositivos afectados. Estas deficiencias impactan a FortiOS, FortiWeb, FortiProxy y FortiSwitchManager.

«Esta actividad involucró la creación de cuentas genéricas destinadas a la persistencia, cambios de configuración que otorgan acceso VPN a esas cuentas, así como la exfiltración de configuraciones de firewall», declaró Arctic Wolf sobre el creciente grupo de amenazas.

Específicamente, esto implica la realización de inicios de sesión SSO maliciosos contra una cuenta maliciosa «cloud-init@mail.io» desde cuatro direcciones IP diferentes, tras lo cual los archivos de configuración del firewall se exportan a las mismas direcciones IP a través de la interfaz gráfica de usuario. La lista de direcciones IP de origen es la siguiente:

  • 104.28.244[.]115
  • 104.28.212[.]114
  • 217.119.139[.]50
  • 37.1.209[.]19

Además, se ha observado que los actores de amenazas crean cuentas secundarias, como «secadmin», «itadmin», «support», «backup», «remoteadmin» y «audit», para la persistencia.

«Todos los eventos anteriores tuvieron lugar en cuestión de segundos, lo que indica la posibilidad de actividad automatizada», añadió Arctic Wolf.

Cybersecurity

La divulgación coincide con una publicación en Reddit en la que varios usuarios informaron haber visto inicios de sesión SSO maliciosos en dispositivos FortiOS completamente parcheados, con un usuario afirmando que «el equipo de desarrollo de Fortinet ha confirmado que la vulnerabilidad persiste o no está solucionada en la versión 7.4.10».

The Hacker News se ha puesto en contacto con Fortinet para solicitar comentarios y actualizaremos la noticia si recibimos respuesta. Mientras tanto, se recomienda deshabilitar la configuración «admin-forticloud-sso-login».

0 comments
0 FacebookTwitterPinterestLinkedinEmail
Tecnología

WhatsApp: Nueva campaña Boto Cor-de-Rosa distribuye troyano bancario Astaroth en Brasil

by Editor de Tecnologia
written by Editor de Tecnologia

Investigadores de ciberseguridad han revelado detalles de una nueva campaña que utiliza WhatsApp como vector de distribución para un troyano bancario de Windows llamado Astaroth, en ataques dirigidos a Brasil.

La campaña ha sido denominada Boto Cor-de-Rosa por la Unidad de Investigación de Amenazas de Acronis.

«El malware recupera la lista de contactos de WhatsApp de la víctima y envía automáticamente mensajes maliciosos a cada contacto para propagar aún más la infección», señaló la compañía de ciberseguridad en un informe compartido con The Hacker News.

«Si bien el núcleo del payload de Astaroth permanece escrito en Delphi y su instalador depende de un script de Visual Basic, el nuevo módulo de gusano basado en WhatsApp se implementa completamente en Python, lo que destaca el creciente uso de componentes modulares multilingües por parte de los actores de la amenaza.»

Astaroth, también conocido como Guildma, es un malware bancario que ha sido detectado en la naturaleza desde 2015, dirigido principalmente a usuarios en América Latina, particularmente en Brasil, para facilitar el robo de datos. En 2024, múltiples grupos de amenazas rastreados como PINEAPPLE y Water Makara fueron observados utilizando correos electrónicos de phishing para propagar el malware.

El uso de WhatsApp como vehículo de entrega para troyanos bancarios es una nueva táctica que ha ganado tracción entre los actores de amenazas que se dirigen a los usuarios brasileños, un movimiento impulsado por el uso generalizado de la plataforma de mensajería en el país. El mes pasado, Trend Micro detalló la dependencia de Water Saci en WhatsApp para propagar Maverick y una variante de Casbaneiro.

Sophos, en un informe publicado en noviembre de 2025, dijo que está rastreando una campaña de distribución de malware por etapas codificada como STAC3150 que se dirige a los usuarios de WhatsApp en Brasil con Astaroth. Más del 95% de los dispositivos afectados se encontraban en Brasil, y, en menor medida, en los Estados Unidos y Austria.

La actividad, activa desde al menos el 24 de septiembre de 2025, entrega archivos ZIP que contienen un script de descarga que recupera un script de PowerShell o Python para recopilar los datos de los usuarios de WhatsApp para una mayor propagación, junto con un instalador MSI que implementa el troyano. Los últimos hallazgos de Acronis son una continuación de esta tendencia, donde los archivos ZIP distribuidos a través de mensajes de WhatsApp actúan como un punto de partida para la infección por malware.

«Cuando la víctima extrae y abre el archivo, se encuentra con un script de Visual Basic disfrazado de archivo benigno», dijo la compañía de ciberseguridad. «La ejecución de este script desencadena la descarga de los componentes de la siguiente etapa y marca el comienzo del compromiso.»

Cybersecurity

Esto incluye dos módulos:

  • Un módulo de propagación basado en Python que recopila los contactos de WhatsApp de la víctima y reenvía automáticamente un archivo ZIP malicioso a cada uno de ellos, lo que conduce eficazmente a la propagación del malware de forma similar a un gusano.
  • Un módulo bancario que opera en segundo plano y monitorea continuamente la actividad de navegación web de la víctima, y se activa cuando se visitan URL relacionadas con la banca para obtener credenciales y permitir ganancias financieras.

«El autor del malware también implementó un mecanismo integrado para rastrear e informar las métricas de propagación en tiempo real», dijo Acronis. «El código registra periódicamente estadísticas como el número de mensajes entregados con éxito, el número de intentos fallidos y la velocidad de envío medida en mensajes por minuto.»

0 comments
0 FacebookTwitterPinterestLinkedinEmail
Tecnología

PHALT#BLYX: Nueva campaña con DCRat ataca al sector hotelero europeo

by Editor de Tecnologia
written by Editor de Tecnologia

Investigadores de ciberseguridad han revelado detalles de una nueva campaña, denominada PHALT#BLYX, que ha utilizado señuelos de tipo ClickFix para mostrar soluciones falsas para errores de pantalla azul de la muerte (BSoD) en ataques dirigidos al sector de la hostelería europeo.

El objetivo final de esta campaña, que se desarrolla en varias etapas, es entregar un troyano de acceso remoto conocido como DCRat, según la empresa de ciberseguridad Securonix. La actividad fue detectada a finales de diciembre de 2025.

«Para el acceso inicial, los actores de amenazas utilizan un señuelo de cancelación de reserva falsa de Booking.com para engañar a las víctimas y que ejecuten comandos maliciosos de PowerShell, que descargan y ejecutan código remoto silenciosamente», afirmaron los investigadores Shikha Sangwan, Akshay Gaikwad y Aaron Beardslee.

El punto de partida de la cadena de ataque es un correo electrónico de phishing que suplanta a Booking.com y contiene un enlace a un sitio web falso (por ejemplo, «low-house[.]com»). Los mensajes advierten a los destinatarios sobre cancelaciones inesperadas de reservas, instándoles a hacer clic en el enlace para confirmar la cancelación.

El sitio web al que se redirige a la víctima se hace pasar por Booking.com y muestra una página de CAPTCHA falsa que los lleva a una página de BSoD falsa con «instrucciones de recuperación» para abrir el cuadro de diálogo Ejecutar de Windows, pegar un comando y presionar la tecla Enter. En realidad, esto resulta en la ejecución de un comando de PowerShell que finalmente implementa DCRat.

Específicamente, esto implica un proceso de varios pasos que comienza con el dropper de PowerShell descargando un archivo de proyecto MSBuild («v.proj») de «2fa-bns[.]com», que luego se ejecuta utilizando «MSBuild.exe» para ejecutar una carga útil integrada responsable de configurar exclusiones de Microsoft Defender Antivirus para evadir la detección, establecer la persistencia en el host en la carpeta de inicio y lanzar el malware RAT después de descargarlo desde la misma ubicación que el proyecto MSBuild.

También es capaz de desactivar el programa de seguridad por completo si se encuentra ejecutándose con privilegios de administrador. Si no tiene derechos elevados, el malware entra en un bucle que activa una solicitud de Control de cuentas de usuario de Windows (UAC) cada dos segundos durante tres veces con la esperanza de que la víctima le conceda los permisos necesarios por pura frustración.

Paralelamente, el código de PowerShell toma medidas para abrir la página de administración legítima de Booking.com en el navegador predeterminado como un mecanismo de distracción y para dar la impresión a la víctima de que la acción era legítima.

DCRat, también llamado Dark Crystal RAT, es un troyano .NET listo para usar que puede recopilar información confidencial y ampliar su funcionalidad mediante una arquitectura basada en plugins. Está equipado para conectarse a un servidor externo, perfilar el sistema infectado y esperar comandos entrantes del servidor, lo que permite a los atacantes registrar pulsaciones de teclas, ejecutar comandos arbitrarios y entregar cargas útiles adicionales, como un minero de criptomonedas.

Cybersecurity

La campaña es un ejemplo de cómo los actores de amenazas están aprovechando las técnicas de vivir de la tierra (LotL), como el abuso de binarios de sistema confiables como «MSBuild.exe», para avanzar la ataque, establecer un punto de apoyo más profundo y mantener la persistencia dentro de los hosts comprometidos.

«Los correos electrónicos de phishing destacan por incluir detalles de cargos de habitación en euros, lo que sugiere que la campaña se dirige activamente a organizaciones europeas», dijo Securonix. «El uso del idioma ruso dentro del archivo MSBuild ‘v.proj’ vincula esta actividad a actores de amenazas rusos que utilizan DCRat.»

«El uso de un archivo de proyecto MSBuild personalizado para la ejecución por proxy, junto con la manipulación agresiva de las exclusiones de Microsoft Defender, demuestra una profunda comprensión de los mecanismos modernos de protección de puntos finales.»

0 comments
0 FacebookTwitterPinterestLinkedinEmail