Un informe de HP Wolf Security muestra que la combinación de archivos comprimidos y el contrabando de HTML (HTML smuggling) está ayudando a los ciberdelincuentes a burlar las herramientas de detección
HP ha publicado su informe HP Wolf Security Threat Insights del tercer trimestre del año, en el que se constata que los archivos ZIP y RAR son el tipo de archivo más común para la distribución de malware, superando a los archivos de Office por primera vez en tres años. Este informe proporciona un análisis de los ciberataques del mundo real, ayudando a las organizaciones a mantenerse al día de las últimas técnicas que los ciberdelincuentes utilizan para evadir la detección y vulnerar la seguridad de los usuarios.
Basándose en los datos de millones de dispositivos que ejecutan HP Wolf Security, la investigación descubrió que el 44% del malware se distribuyó dentro de archivos comprimidos -un 11% más que en el trimestre anterior-, en comparación con el 32% que se distribuyó a través de archivos de Office como Microsoft Word, Excel y PowerPoint.
El informe identificó varias campañas que combinaban el uso de archivos comprimidos con nuevas técnicas de contrabando de HTML (HTML smuggling)-en las que los ciberdelincuentes incrustan archivos comprimidos maliciosos en archivos HTML para eludir las soluciones de seguridad de correo electrónico y tras esto, lanzar el ataque.
Por ejemplo, las recientes campañas de QakBot y IceID utilizaban archivos HTML para dirigir a los usuarios a falsos visores de documentos online que se hacían pasar por Adobe. A continuación, se pedía a los usuarios que abrieran un archivo ZIP e introdujeran una contraseña para descomprimir los archivos, que luego desplegaban el malware en sus equipos.
Como el malware dentro del archivo HTML original está codificado y encriptado, la detección por parte de las soluciones de seguridad enfocadas en el correo electrónico u otras herramientas de seguridad es muy difícil. En su lugar, el atacante se basa en la ingeniería social, creando una página web convincente y bien diseñada para engañar a los usuarios y que inicien así el ataque abriendo el archivo ZIP malicioso. En octubre, también se descubrió que los mismos atacantes utilizaban páginas falsas de Google Drive en un esfuerzo continuo por engañar a los usuarios para que abrieran archivos ZIP maliciosos.
“Los archivos son fáciles de cifrar, lo que ayuda a los ciberdelincuentes a ocultar el malware y a evadir soluciones tipo proxy, sandbox o soluciones de seguridad de correo electrónico basadas en la detección. Esto hace que los ataques sean difíciles de detectar, especialmente cuando se combinan con técnicas de contrabando de HTML. Lo interesante de las campañas de QakBot y IceID fue el esfuerzo realizado para crear las páginas falsas: estas campañas eran más convincentes que las que habíamos visto antes, lo que dificulta que la gente sepa en qué archivos puede confiar y en cuáles no”, explica Alex Holland, analista principal de malware del equipo de investigación de amenazas de HP Wolf Security.
HP también identificó una campaña compleja que utiliza una cadena de infección modular, lo que podría permitir a los atacantes cambiar dinámicamente el método de ataque -como el spyware, el ransomware o el keylogger– en mitad del ataque o introducir nuevas características, como el geo-fencing., una tecnología que funciona con la ubicación proporcionada por el GPS y el uso de los datos de un dispositivo móvil. Esto podría permitir a los ciberdelincuentes cambiar de táctica en función del objetivo que haya vulnerado. Al no incluir el malware directamente en el archivo adjunto enviado al objetivo, también es más difícil que las puertas de enlace del correo electrónico detecten este tipo de ataque.
“Como se ha visto, los atacantes cambian constantemente de técnicas, lo que hace muy difícil que las herramientas de detección se percaten de los ataques”, afirma Ian Pratt, Jefe Global de Seguridad para Sistemas Personales de HP. “Siguiendo el principio de Zero Trust de aislamiento de precisión, las organizaciones pueden utilizar la microvirtualización para asegurarse de que las tareas potencialmente maliciosas, como hacer clic en enlaces o abrir archivos adjuntos maliciosos, se ejecuten en una máquina virtual desechable separada de los sistemas subyacentes. Este proceso es completamente invisible para el usuario, y atrapa cualquier malware oculto en su interior, asegurando que los atacantes no tengan acceso a los datos sensibles e impidiéndoles acceder y moverse lateralmente”.
HP Wolf Security ejecuta las tareas de riesgo, como la apertura de archivos adjuntos de correo electrónico, la descarga de archivos y el clic en enlaces, en máquinas microvirtuales (micro-VM) aisladas para proteger a los usuarios, capturando rastros detallados de los intentos de ataque. La tecnología de aislamiento de aplicaciones de HP mitiga las amenazas que pueden pasar desapercibidas para otras herramientas de seguridad y proporciona una visión única de las nuevas técnicas de intrusión y del comportamiento de los actores de las amenazas. Al aislar las amenazas en los ordenadores que han eludido las herramientas de detección, HP Wolf Security tiene una visión específica de las últimas técnicas utilizadas por los ciberdelincuentes. Hasta la fecha, los clientes de HP han hecho clic en más de 18.000 millones de archivos adjuntos de correo electrónico, páginas web y archivos descargados sin que se hayan registrado infracciones.
