Septiembre, un mes fácil para el cibercrimen

Septiembre ha sido un mes duro para muchos usuarios, no sólo por haber vuelto a la rutina laboral o escolar, sino también por los varios incidentes de seguridad que han afectado a la privacidad de millones de cuentas registradas en varios servicios online, y por las numerosas infecciones de malware que hemos analizado durante las últimas semanas. Durante septiembre vimos varios ejemplos de campañas de propagación de malware que tenían a España como objetivo principal. Las más representativas de las analizadas en el laboratorio de ESET fueron las de los troyanos Bayrob y Bebloh; ambas utilizaban ficheros adjuntos maliciosos y correos en español para intentar engañar a los usuarios.

Por otro lado, los delincuentes también usaron de forma fraudulenta el nombre de la empresa de telecomunicaciones Vodafone para propagar un correo electrónico malicioso. Cuando el usuario abría lo que supuestamente era una factura electrónica de la compañía, se encontraba un ejecutable que contenía el troyano Bebloh. Este troyano recopila información confidencial cada vez que se ejecutan programas tales como clientes de correo, navegadores de Internet o clientes FTP, además de otra información confidencial como credenciales de acceso a varios servicios online.

Si hay un malware que ha estado presente en prácticamente todos los resúmenes de amenazas de los últimos meses, éste es sin duda el ransomware. Las amenazas que cifran los ficheros o directamente el disco entero y luego piden un rescate se han multiplicado hasta alcanzar cifras muy elevadas y copar los primeros puestos de los rankings de amenazas. A principios de septiembre se observó un pico en las detecciones de Nemucod, un malware asociado con la descarga de numerosas variantes de ransomware. Este pico de detecciones venía asociado a una campaña de propagación de emails que utilizaban de nuevo la plantilla de Correos de España para engañar a los usuarios y que descargaba el troyano Torrentlocker.

Otro método ingenioso ideado por los delincuentes para infectar con ransomware, y observado durante las últimas semanas, es el utilizado por Fantom. Esta variante intenta camuflarse como una actualización de Windows e incluso llega a mostrar una pantalla similar a la que aparece en el sistema operativo cuando está instalando actualizaciones. El ransomware realiza el cifrado de los ficheros en el disco, y aunque el usuario consiga salir de la supuesta pantalla de actualizaciones, el proceso sigue realizándose, puesto que se trata de dos procesos diferentes.

El portal Rambler.ru, también conocido como el Yahoo! ruso, fue otro de los atacados durante el mes de septiembre, afectando a casi 100 millones de sus usuarios. El robo de datos también se produjo en 2012: nombres de usuario, direcciones de correo electrónico, números de ICQ, detalles de cuentas en redes sociales, contraseñas sin cifrar y datos internos del servicio fueron algunos de los datos sustraídos.

A lo largo de este mes pasado también se confirmó la filtración de Yahoo! Al menos 500 millones de cuentas se vieron afectadas por este robo y hay quien apunta a que este número podría ser incluso el doble. Se corroboró, además, que el robo de la información se produjo a finales de 2014 y que los atacantes obtuvieron datos como los nombres de usuario, sus direcciones de correo electrónico, el número de teléfono, la fecha de nacimiento, los hashes de contraseñas con bcrypt y preguntas de seguridad tanto cifradas como sin cifrar.

Un investigador indio descubrió durante el mes pasado una vulnerabilidad en Facebook; el sitio con cientos de millones de usuarios registrados actuó rápidamente para solucionarlo. El agujero de seguridad permitiría a quien lo explotase tomar el control de cualquier página de Facebook, sin importar que se tratase de una empresa o personaje público. Tras comunicar su descubrimiento a la compañía, ésta procedió a solucionar la vulnerabilidad rápidamente y a premiar al investigador con 16.000 dólares en agradecimiento por su colaboración.