Las soluciones antimalware tradicionales pasan por alto casi el 75% de las amenazas

Recomendados:  Sophos ZTNA: securizando el acceso a organizaciones en cualquier lugar Webinar 7 consejos para proteger los datos de tu empresa y vencer al ransomware Leer Anatomía del ataque a una cuenta privilegiada Leer

El pasado trimestre se registró el nivel más alto de detecciones de malware de día cero de la historia, según los datos de WatchGuard. Supusieron el 74% de las amenazas detectadas en esos tres meses, lo que ha llevado a la firma a advertir de que “las soluciones antimalware tradicionales por sí solas son simplemente insuficientes para el entorno de amenazas actual. Todas las organizaciones necesitan una estrategia de seguridad proactiva en capas que incluya el aprendizaje automático y el análisis del comportamiento para detectar y bloquear las amenazas nuevas y avanzadas”. 

El informe también señala que la variante de malware sin archivos se está haciendo más popular. Ejemplo de ello es XML.JSLoader, una carga útil maliciosa que apareció por primera vez en las listas de detecciones de malware más importantes de WatchGuard por volumen y más generalizadas. También fue la variante que WatchGuard detectó con más frecuencia a través de la inspección HTTPS en el primer trimestre. La muestra identificada por WatchGuard utiliza un ataque de entidad externa XML (XXE) para abrir un shell y ejecutar comandos para eludir la política de ejecución local de PowerShell y se ejecuta de forma no interactiva, oculta al usuario real o a la víctima. Este es otro ejemplo de la creciente prevalencia del malware sin archivos y de la necesidad de contar con capacidades avanzadas de detección y respuesta en los endpoints.

Por otro lado, constata que los actores de amenazas siguen atacando los dispositivos IoT. Aunque no se encuentra en la lista de los 10 principales programas maliciosos de WatchGuard del primer trimestre, la variante Linux.Ngioweb.B ha sido utilizada recientemente por los adversarios para atacar dispositivos IoT. La primera versión de esta muestra se dirigía a servidores Linux que ejecutaban WordPress, llegando inicialmente como un archivo de formato extendido (EFL). Otra versión de este malware convierte los dispositivos IoT en una botnet con servidores de comando y control rotativos.

Otro resultado del análisis es que los ataques de red aumentaron más del 20%. WatchGuard detectó más de 4 millones de ataques de red, un aumento del 21% en comparación con el trimestre anterior y el mayor volumen desde principios de 2018. Los servidores corporativos y los activos in situ siguen siendo objetivos de alto valor para los atacantes a pesar del cambio hacia el trabajo remoto e híbrido, por lo que las organizaciones deben mantener la seguridad del perímetro junto con las protecciones centradas en el usuario.

El estudio también destaca los siguientes datos:

- Un simple truco de nombre de archivo ayuda a los hackers a hacer pasar el cargador del ransomware por archivos adjuntos legítimos en PDF.  El cargador de ransomware Zmutzy apareció como la segunda variante de malware cifrado por volumen en el primer trimestre. Asociado específicamente con el ransomware Nibiru, las víctimas encuentran esta amenaza como un archivo comprimido adjunto a un correo electrónico o una descarga desde un sitio web malicioso. Al ejecutar el archivo comprimido se descarga un ejecutable que, para la víctima, parece ser un PDF legítimo. Los atacantes utilizan una coma en lugar de un punto en el nombre del archivo y un icono ajustado manualmente para hacer pasar el archivo zip malicioso por un PDF. Este tipo de ataque pone de manifiesto la importancia de la educación y la formación en materia de phishing, así como de la implementación de soluciones de copia de seguridad en caso de que una variante como esta desencadene una infección de ransomware.

- Reaparece una antigua técnica de ataque trasversal de directorios. La compañía detectó una nueva firma de amenaza en el primer trimestre que implica un ataque trasversal de directorios a través de archivos cabinet (CAB), un formato de archivo diseñado por Microsoft para la compresión de datos sin pérdidas y certificados digitales incrustados. Este exploit, que se suma a la lista de los didez principales ataques de red de WatchGuard, engaña a los usuarios para que abran un archivo CAB malicioso utilizando técnicas convencionales, o suplantando una impresora conectada a la red para engañar a los usuarios y hacer que instalen un controlador de impresora a través de un archivo CAB comprometido.

- Los zero-days de HAFNIUM proporcionan conocimientos sobre las tácticas de amenazas y mejores prácticas de respuesta. El pasado trimestre, Microsoft informó de que los delincuentes utilizaban las cuatro vulnerabilidades HAFNIUM en varias versiones de Exchange Server para conseguir la ejecución remota de código completo y no autenticado del sistema, así como el acceso arbitrario a la escritura de archivos en cualquier servidor no parcheado expuesto a Internet, como la mayoría de los servidores de correo electrónico. El análisis de incidentes de WatchGuard profundiza en las vulnerabilidades y destaca la importancia de la inspección HTTPS, la aplicación oportuna de parches y la sustitución de los sistemas heredados.

- Los atacantes combinan dominios legítimos en campañas de criptominería. En el primer trimestre, el servicio DNSWatch de WatchGuard bloqueó varios dominios comprometidos y directamente maliciosos asociados a amenazas de criptominería. El malware cryptominer se ha vuelto cada vez más popular debido a los recientes picos de precios en el mercado de las criptomonedas y la facilidad con la que los actores de amenazas pueden desviar recursos de víctimas desprevenidas.