BARÓMETRO ESET NOD32 MENSUAL DE SEGURIDAD

• Equipos de teletrabajo escasamente protegidos, uso masivo del móvil y profesionales y ciudadanos que no toman las debidas precauciones, caldos de cultivo para ataques masivos

La situación de crisis sanitaria en la que nos encontramos actualmente ha hecho que los ciberdelincuentes encuentren un filón en aquellas amenazas relacionadas con la temática del coronavirus. Con un tercio de la población mundial confinada en sus casas, millones de personas teletrabajando y miles de empresas teniendo que configurar a marchas forzadas accesos remotos a sus redes, el escenario es perfecto para que se lancen campañas de malware y otras amenazas como las que hemos analizado durante las últimas semanas en los laboratorios de ESET, la mayor empresa de ciberseguridad de la Unión Europea.

Coronavirus por doquier

Como si lo estuviesen planeando desde hace tiempo, los grupos criminales intensificaron todas las campañas que estaban realizando y añadieron muchas nuevas coincidiendo con el inicio del confinamiento en varios países, entre los que se encuentra España. En pocos días hemos visto cómo los correos maliciosos y muchas webs fraudulentas han pasado a ser monotemáticos en sus asuntos al hacer alusión al coronavirus, el Covid-19 o el SARS-CoV2.

Desde principios de marzo empezamos a ver cómo se multiplicaban campañas de emails que suplantaban a la Organización Mundial de la Salud y que adjuntaban archivos o enlaces maliciosos que descargaban todo tipo de malware, desde variantes de Trickbot (especializado en el robo de información) a varios tipos de ransomware y troyanos bancarios.

España ha sido uno de los objetivos preferidos de los atacantes durante estas últimas semanas, y desde los laboratorios de ESET, hemos observado cómo se han activado campañas de propagación de amenazas dirigidas hacia nuestro país y Latinoamérica. Entre unos emails con información de una supuesta vacuna para el coronavirus y otros con facturas adjuntas, hemos visto cómo el troyano bancario Casbaneiro intentaba conseguir nuevas víctimas en nuestro territorio.

Amenazas recicladas y ataques a hospitales.

La suplantación de organismos oficiales ha sido una tónica constante durante estos días en España. Hemos observado campañas de suplantación del Ministerio de Sanidad con supuestas recomendaciones sanitarias pero que terminaban ofreciendo enlaces para vender mascarillas, así como supuestas multas emitidas por la Dirección General de Tráfico cuya finalidad era robarnos nuestros datos bancarios.

Incluso hemos visto cómo amenazas muy antiguas, como las farmacias online fraudulentas, han vuelto a la actualidad ofreciendo medicamentos y tests para la detección y cura del coronavirus. Algunas amenazas que, en principio, no tendrían mucha relación con la pandemia como son los correos de sextorsión, también han añadido comentarios amenazando con infectar a nuestra familia con el virus si no cedemos a su chantaje.

Pero tal vez, las amenazas que más repulsa han provocado entre la sociedad han sido aquellas que han afectado a centros sanitarios como hospitales, más necesarios que nunca durante estos días. A la detección por parte de la Policía Nacional de una campaña de propagación del ransomware Netwalker (que no iba dirigida específicamente a hospitales pero podía haberlos afectado) se suman otras amenazas que sí han conseguido paralizar la actividad en otros centros, como un hospital universitario en la República Checa, que además es uno de los mayores laboratorios de realización de pruebas del Covid-19 que hay en ese país.

Los móviles, otro campo de batalla

Las amenazas que se aprovechan de la situación crítica que ha provocado esta pandemia también se están propagando por el ecosistema móvil. A la ingente cantidad de bulos e información fraudulenta que se está difundiendo estos días por redes sociales y servicios de mensajería instantánea como WhatsApp, se unen también las campañas ideadas por los delincuentes.

Entre las aplicaciones más buscadas por los usuarios se encuentran las que muestran mapas del coronavirus. Supuestamente estas aplicaciones sirven para conocer si hay gente infectada a nuestro alrededor, pero los delincuentes han publicado varias aplicaciones fraudulentas que dicen hacer esto mismo aunque que en realidad terminan infectando los dispositivos de sus víctimas.

Estas aplicaciones maliciosas son usadas para obtener información confidencial almacenada en el dispositivo, robar datos de tarjetas de crédito e incluso cifrar la información guardada para, seguidamente, solicitar un rescate. Tampoco han faltado aquellos mensajes que prometen regalos o ayudas por parte de supermercados con cupones, suscripciones gratuitas a Netflix o gigas de datos para que los usemos en nuestro smartphone. Al final, lo que buscan todos estos engaños no es otra cosa que robar nuestra información personal, especialmente la relacionada con los datos bancarios.

Más allá del COVID-19, también vulnerabilidades en Windows

Por si lo todo lo mencionado con anterioridad no fuese suficiente, durante el mes de marzo también conocimos la existencia de una vulnerabilidad crítica en el protocolo SMBv3 presente en las versiones más recientes de Windows 10. Aprovechando este agujero de seguridad, un atacante podría ejecutar remotamente código malicioso en un servidor o endpoint vulnerable que tuviese este protocolo activado, algo que puede desembocar en la toma de control del sistema objetivo. Para ello, el atacante debería convencer a un usuario de un equipo cliente para que se conectase a un servidor SMBv3 malicioso (mediante phishing, por ejemplo), mientras que en el caso de un ataque a un servidor, el delincuente debería enviar paquetes específicamente diseñados al sistema objetivo.

Esta vulnerabilidad se hizo pública justo cuando en todo el mundo se empezaba a lidiar con la crisis sanitaria que supone el Covid-19 y mientras se adoptaban medidas de teletrabajo a marchas forzadas y no siempre teniendo en cuenta las medidas de seguridad básicas, lo que está exponiendo a muchos sistemas corporativos a ataques remotos. Por suerte, Microsoft tenía preparados los boletines de seguridad correspondientes para solucionar esta grave vulnerabilidad, y si bien no los publicó cuando estaba previsto, lo hizo pocos días después.