Una imagen del logo de Windows en GitHub está robando datos de los gobiernos

Se ha descubierto una nueva modalidad de difusión de malware escondida en una imagen del logo de Windows alojada en un servicio en la nube y con el que un grupo de hackers busca atacar inicialmente a los Gobiernos.

Symantec es la empresa que ha descubierto este virus informático, que empezó a implantarse en febrero de este año y aún sigue afectando a Medio Oriente, Asía y una bolsa de valores en África.

Según los primeros informes el grupo que estaría detrás de este ataque se llama Witchetty, los cuales estarían aliados con APT10, una de las organizaciones de ciberdelincuentes más peligrosas, y que ya habrían atacado otros servidores americanos.

Para esta ocasión utilizaron una modalidad llamada esteganografía, que consiste en ocultar información dentro de un contenido público, lo que ayuda a evitar la detección. De hecho, es un método que usan muchos delincuentes para difundir pornografía infantil.

Este archivo estaba alojado en un servicio en la nube llamado GitHub, lo que permitía estar lejos de un servidor de control y de esa forma saltar los protocolos de alerta para hacer efectiva la infección al descargar el archivo.

“Ocultar la carga útil de esta manera permitió a los atacantes alojarla en un servicio gratuito y confiable. Es mucho menos probable que las descargas desde hosts confiables como GitHub generen señales de alerta que las descargas desde un servidor de comando y control (C&C) controlado por un atacante”, explicó Symantec en su informe.

Al bajarse el contenido, los hackers tienen acceso a un sinfín de movimientos para continuar el ataque como: tomar archivos y directorios, iniciar y eliminar procesos, modificar el registro de Windows, descargar más malware que necesiten, entre otros. Todo esto de forma remota.

“Witchtery ha demostrado la capacidad de refinar y actualizar continuamente su conjunto de herramientas para comprometer objetivos de interés”, afirmaron los investigadores del virus.

Symantec explica que los delincuentes se basan en la mala administración de los servidores que están expuestos públicamente, por lo que la amenaza no ha sido controlada y los gobiernos y organizaciones sociales deben estar alerta porque pueden caer en este hackeo.

De acuerdo con Kaspersky, si un email pide realizar una acción como ir a un enlace o descargar un archivo adjunto, afirmando ser importante con una “petición personal del CEO” o algo que “debe pagarse en las próximas horas”, lo más seguro es que sea una trampa.

No se deben abrir enlaces del correo electrónico que dirijan a sitios externos que solicite información personal; tampoco descargar o abrir archivos que sean ejecutables (como .exe), ni realizar acciones relacionadas a transferencias de dinero.

También se puede revisar desde el encabezado de la nota si es un correo malicioso, pues debe de coincidir la dirección con el remitente, por ejemplo, si dice que es un correo urgente de Google, entonces el email debería ser “@google.com” y no “@donitas.com” o cualquier otro.

Otra de las alertas es recibir un correo que no se estaba esperando. Por ejemplo, hace unos meses se registró que piratas cibernéticos estaban suplantando la identidad de Wetransfer y estaba enviando correos a sus víctimas señalando que tenían archivos pendientes para descarga. Cuando las personas daban clic al enlace este los llevaba a un sitio malicioso.

SEGUIR LEYENDO