Recientemente se descubrió un nuevo tipo de malware que logró pasar por encima de 56 productos antivirus separados antes de ser finalmente atrapado.
Unit 42, un equipo de inteligencia de amenazas de Palo Alto, acaba de publicar un informe sobre una pieza de malware que logró evitar la detección de 56 productos antivirus masivos. Según el equipo, la forma en que se construyó, empaquetó e implementó el malware es muy similar a varias técnicas utilizadas por el grupo de amenazas APT29, también conocido bajo los nombres de Iron Ritual y Cozy Bear. Este grupo ha sido atribuido al Servicio de Inteligencia Exterior de Rusia (SVR), lo que indica que el malware en cuestión podría ser un asunto de estado-nación.
Según la Unidad 42, el malware se detectó por primera vez en mayo de 2022, y se encontró oculto dentro de un tipo de archivo bastante extraño: ISO, que es un archivo de imagen de disco utilizado para transportar todo el contenido de un disco óptico. El archivo viene con una carga maliciosa que la Unidad 42 cree que fue creada utilizando una herramienta llamada Brute Ratel (BRC4). BRC4 se enorgullece de ser difícil de detectar, citando el hecho de que los autores de la herramienta realizaron ingeniería inversa del software antivirus para hacer que la herramienta sea aún más sigilosa. Brute Ratel es particularmente popular con APT29, agregando más peso a la afirmación de que este malware podría estar vinculado al grupo Cozy Bear con sede en Rusia.
El archivo ISO pretende ser el currículum vitae (currículum) de alguien llamado Roshan Bandara. Al llegar al buzón de correo electrónico del destinatario, no hace nada, pero cuando se hace clic, se monta como una unidad de Windows y muestra un archivo llamado “Roshan-Bandara_CV_Dialog”. En ese punto, es fácil dejarse engañar: el archivo parece ser un archivo típico de Microsoft Word, pero si hace clic en él, ejecuta cmd.exe y procede a instalar BRC4.
Una vez hecho esto, cualquier cantidad de cosas podrían sucederle a su PC, todo depende de las intenciones del atacante.
La Unidad 42 señala que encontrar este malware es preocupante por varias razones. Por un lado, existe una alta probabilidad de que esté vinculado a APT29. Aparte de las razones enumeradas anteriormente, el archivo ISO se creó el mismo día en que se hizo pública una nueva versión de BRC4. Esto sugiere que los actores de ataques cibernéticos respaldados por el estado podrían estar programando sus ataques para desplegarlos en los momentos más oportunos. APT29 también ha utilizado ISO maliciosos en el pasado, por lo que todo parece estar en línea.
La casi indetectabilidad es preocupante en sí misma. Para que el malware sea tan sigiloso se necesita mucho trabajo, y sugiere que tales ataques podrían representar una amenaza real cuando son utilizados por el equipo equivocado de personas.
¿Cómo puedes mantenerte a salvo?
En medio de los frecuentes informes de que los ataques cibernéticos han aumentado masivamente en los últimos años, uno puede esperar que muchos usuarios ahora sean más conscientes de los peligros de confiar demasiado en personas aleatorias y sus archivos. Sin embargo, a veces estos ataques provienen de fuentes inesperadas y en diversas formas. Los enormes ataques distribuidos de denegación de servicio (DDoS) ocurren todo el tiempo, pero estos son más un problema para los usuarios empresariales. A veces, el software que conocemos y en el que confiamos puede usarse como señuelo para engañarnos y hacernos confiar en la descarga. ¿Cómo mantenerse a salvo cuando el peligro parece estar al acecho en cada esquina?
En primer lugar, es importante darse cuenta de que muchos de estos ciberataques a gran escala se realizan para atacar a las organizaciones: es poco probable que las personas sean atacadas. Sin embargo, en este caso particular en el que el malware está oculto dentro de un archivo ISO que se hace pasar por un currículum, podría ser abierto plausiblemente por personas en varios entornos de recursos humanos, incluidos los de organizaciones más pequeñas. Las empresas más grandes a menudo tienen departamentos de TI más robustos que no permitirían la apertura de un archivo ISO inesperado, pero nunca se sabe cuándo algo podría pasar desapercibido.
Con lo anterior en mente, nunca es una mala idea seguir una regla muy simple que muchos de nosotros todavía olvidamos a veces: nunca abrir archivos adjuntos de destinatarios desconocidos. Esto puede ser difícil para un departamento de recursos humanos que está recopilando activamente currículums, pero usted, como individuo, puede implementar esa regla en su vida diaria y no perderse nada. Tampoco es una mala idea elegir una de las mejores opciones de software antivirus disponibles. Sin embargo, la mayor seguridad se puede obtener simplemente navegando conscientemente y no visitando sitios web que pueden no parecer demasiado legítimos, así como siendo cauteloso con sus correos electrónicos.
