blog

Novedades

Reunimos en una misma página todas las noticias más importantes de NextVision, incluyendo el contenido de los comunicados de prensa, artículos de Ciberseguridad, investigaciones, novedades de nuestro equipo NV y mucho más!

Ciberataque Ransomware en despachos profesionales: pautas para protegernos

NextVision

0

En la sociedad hiperconectada en la que vivimos, se producen ciberataques todos los días. Varios de ellos son graves y pueden acabar con la infraestructura digital de una empresa. Es el caso del ataque de Ransomware que sufrieron multitud de despachos profesionales hace dos semanas en Lleida, España.

 

En dicho ciberataque se encriptaron valiosos datos de gestorías, asesorías y otras empresas. Es decir, se secuestraron miles de archivos de dichos negocios gracias a un ciberataque a Esofitec, distribuidora leridana de servidores cloud.

 

¿Qué significa esto? Que el ataque fue perpetrado a un proveedor de servidores, y trajo como consecuencia la afectación de cientos de clientes que hacen uso de ellos para el almacenamiento de información crítica. Hoy en día, son cada vez más crecientes los ciberataques que sufren las organizaciones a través de brechas de seguridad de sus terceras partes.

 

A pesar de que la empresa ya se ha puesto manos a la obra para recuperar los datos, los hackers responsables de este ciberataque han pedido una cuantiosa recompensa por devolverlos. Las empresas afectadas se han empezado a organizar para comenzar el proceso legal por los perjuicios sufridos.

 

¿En qué consiste un ciberataque Ransomware?

Un ransomware es un ciberataque cuyo objetivo es el de “secuestrar” un dispositivo. Es decir, el ciberdelincuente bloquea el acceso al dispositivo a su legítimo dueño, y pide un rescate por reestablecer dicho acceso.

 

Este tipo de ciberataques no son una novedad. De hecho, hace unos meses hablábamos del ransomware Sodinokibi, que tuvo un impacto global, aunque no afectó a servicios críticos. Y, como expertos, hemos desarrollado una guía ransomware que puedes descargarte para profundizar más en esta materia.

 

Lo que ha llamado mucho la atención del caso de Esofitec es que ha sido un ciberataque dentro de la nube. Ha sido un ataque enfocado en pymes y solo posible a través de una brecha en una tercera parte, en este caso el proveedor de servidores. Este tipo de incidentes ponen de relieve la necesidad de realizar un análisis de riesgos sobre el impacto que puede provocar también un tercero.

 

Desde hace años se utilizan los servidores cloud en multitud de empresas precisamente como una forma de evitar ataques a dispositivos físicos. Sin embargo, a principios del año pasado ya empezaban a salir a la luz investigaciones que mostraban una mayor sofisticación de este malware. Y también un nuevo objetivo: la nube. Atacar la nube significa una oportunidad de llegar a más víctimas.

 

¿Cómo protegernos de un ransomware?

El caso de leida ha dado mucho que hablar por las graves consecuencias que ha tenido. No obstante, noticias así nos hacen revisar y replantear la seguridad de nuestros archivos.

Hay algunas acciones que podemos llevar a cabo para estar preparados ante un ataque ransomware, incluso si se produce en la nube.

1.   Concienciación respecto a correos sospechosos

El principal medio por el que se producen este tipo de ataques es el correo electrónico. Lo primero es que todo el mundo tenga esta información para que se puedan prevenir los ataques. Monitorizar correos sospechosos y no ejecutar archivos contenidos en esos correos son acciones básicas que todo usuario ha de considerar.

2.   Copias de seguridad

Tener varios backups de datos siempre es una buena manera de estar prevenidos. Estas copias han de ser ubicadas en servidores distintos (incluyendo servidores locales para no depender enteramente de la nube), tener incorporadas distintos métodos de autenticación y en distintas localizaciones. Si el ataque se produce en uno de los servidores, podemos seguir accediendo a  los datos en las copias de seguridad.

3.   Autenticación en dos pasos

En cuanto a los métodos de autenticación, es más seguro usar aquellos que necesitan de dos pasos. Es decir, que no solo dependan de una contraseña para poder acceder a los datos. Mensajes SMS, métodos biométricos, aplicaciones específicas, etc.

4.   Protocolo de respuesta

La concienciación sobre este tipo de ataques no solo pasa por un conocimiento general. Las empresas que dependan de una infraestructura digital necesitan tener un protocolo específico para este tipo de situaciones. Un protocolo dedicado a detectar, paliar y compensar de alguna manera el ataque, si es que este no se puede evitar finalmente.

 

Hay una sofisticación de los ciberataques según evolucionan también los procesos de seguridad informática. Es importante que las empresas se mantengan al día con este tipo de noticias para poder actualizar sus protocolos de respuesta; y también que gestionen los riesgos a partir de una definición y priorización de proyectos. Incluyendo en estas consideraciones la monitorización de proveedores, pues, como hemos visto, pueden ser una fuente de brechas de seguridad.

 

Para alinear estas prioridades con las inversiones y con los objetivos estratégicos de las empresas, en NextVision ofrecemos un servicio de consultoría de Plan Director diseñado para cubrir estas necesidades. Por otra parte, ya que multitud de empresas no cuentan con un CISO (Chief Information Security Officer) dentro de su estructura, también contamos con el servicio de CISO as a service. Y por supuesto que es importante contar con una buena gestión del ciberriesgo de terceras partes. En este sentido, podemos colaborar con nuestro servicio NV Vendor Risk Management.

 

Contáctanos para saber más sobre estos servicios a medida y sobre cómo podemos ayudarte en la seguridad digital de tu empresa.

Los 10 Proyectos Principales de Seguridad de Gartner para 2021

NextVision

0

Según Gartner, la prioridad de los proyectos para este nuevo año debe estar definida por dos indicadores clave: el valor comercial que otorgarán y cómo ayudarán a reducir el ciberriesgo de la organización.

Los 10 principales proyectos de seguridad de este año, basados ​​en los pronósticos de Gartner y ajustados por el impacto de COVID-19, incluyen ocho nuevos proyectos, centrados principalmente en la gestión de riesgos y la comprensión de las fallas de procesos. Estos proyectos, que no se enumeran en orden de importancia, se pueden ejecutar de forma independiente.

Número 1: Asegurar su fuerza laboral remota
Concéntrese en los requisitos comerciales y comprenda cómo los usuarios y los grupos acceden a los datos y las aplicaciones. Ahora que han pasado unos meses desde el envío remoto inicial, es hora de realizar una evaluación de las necesidades y una revisión de lo que ha cambiado para determinar si los niveles de acceso son correctos y si alguna medida de seguridad realmente está impidiendo el trabajo.

Desde NV, elaboramos un Ebook para proteger el teletrabajo.

Número 2: Gestión de vulnerabilidades basada en riesgos
No intente arreglarlo todo; centrarse en las vulnerabilidades que son realmente explotables. Vaya más allá de una evaluación masiva de amenazas y utilice la inteligencia de amenazas, la actividad del atacante y la criticidad de los activos internos para proporcionar una mejor visión del riesgo organizacional real.

Podés conocer más acerca de Gestión de Vulnerabilidades, aquí.

Número 3: Detección y respuesta extendidas (XDR)
XDR es una plataforma unificada de seguridad y respuesta a incidentes que recopila y correlaciona datos de múltiples componentes patentados. La integración a nivel de plataforma se produce en el punto de implementación en lugar de agregarse más tarde. Esto consolida varios productos de seguridad en uno y puede ayudar a proporcionar mejores resultados generales de seguridad. Las organizaciones deben considerar el uso de esta tecnología para simplificar y optimizar la seguridad.

Número 4: Gestión de la postura de seguridad en la nube
Las organizaciones deben garantizar controles comunes en IaaS y PaaS, así como también admitir evaluaciones y remediaciones automatizadas. Las aplicaciones en la nube son extremadamente dinámicas y necesitan un estilo de seguridad DevSecOps automatizado. Puede resultar complicado proteger la nube pública sin un medio para garantizar la uniformidad de las políticas en todos los enfoques de seguridad de la nube.

Conocé más sobre Seguridad en la Nube.

Número 5: Simplifique los controles de acceso a la nube
Los controles de acceso a la nube generalmente se realizan a través de un CASB. Ofrecen cumplimiento en tiempo real a través de un proxy en línea que puede proporcionar cumplimiento de políticas y bloqueo activo. Los CASB también ofrecen flexibilidad, por ejemplo, comenzando en modo de monitoreo para garantizar mejor la fidelidad del tráfico y comprender el acceso de seguridad.

Conocé más sobre Seguridad en la Nube.

Número 6: DMARC
Las organizaciones utilizan el correo electrónico como la única fuente de verificación y los usuarios luchan por determinar los mensajes reales de las falsificaciones. DMARC, o autenticación, informes y conformidad de mensajes basados ​​en dominio, es una política de autenticación de correo electrónico. DMARC no es una solución total para la seguridad del correo electrónico y debería ser una pieza de un enfoque de seguridad integral. Sin embargo, puede ofrecer una capa adicional de confianza y verificación con el dominio del remitente. DMARC puede ayudar con la suplantación de dominio, pero no abordará todos los problemas de seguridad del correo electrónico.

Número 7: Autenticación sin contraseña
Si bien es posible que los empleados no lo piensen dos veces antes de usar la misma contraseña para su computadora de trabajo que para el correo electrónico personal, puede causar grandes problemas de seguridad. La autenticación sin contraseña, que puede funcionar funcionalmente de diferentes formas, ofrece una mejor solución para la seguridad. El objetivo debe ser aumentar la confianza y mejorar la experiencia del usuario.

También es importante concientizar a los empleados de la organización. Conoce como podes hacerlo aquí.

¿Quieres saber todo acerca de SPD? Haz clic acá

Número 8: Clasificación y protección de datos
No todos los datos son iguales. Un enfoque de seguridad único para todos creará áreas de demasiada seguridad y otras de muy poca, aumentando el riesgo para la organización. Comience con políticas y definiciones para hacer el proceso correcto antes de comenzar a incorporar las tecnologías de seguridad.

¿Quieres saber más sobre clasificación y protección de datos?

Número 9: Evaluación de competencias de la fuerza laboral
Instale a las personas adecuadas con las habilidades adecuadas en los roles adecuados. Es fundamental, pero desafiante, combinar habilidades técnicas sólidas con una experiencia de liderazgo más suave. No hay candidatos perfectos, pero puede identificar cinco o seis competencias imprescindibles para cada proyecto. Evalúe las competencias de diversas formas, incluidas las ciberesimulaciones y ciberesimulaciones y evaluaciones de habilidades más suaves.

Conoce más sobre simulaciones aquí.

Número 10: Automatización de evaluaciones de riesgos de seguridad
Esta es una forma de ayudar a los equipos de seguridad a comprender los riesgos relacionados con las operaciones de seguridad, los nuevos proyectos o el riesgo a nivel de programa. La evaluación de riesgos tiende a omitirse por completo o se hace de forma limitada. Estas evaluaciones permitirán una automatización limitada del riesgo y una visibilidad de dónde existen brechas de riesgo.

Conoce sobre gestión de riesgos aquí. También conoce como te puede afectar el riesgo de terceras partes aquí.

Fuente: https://www.gartner.com/smarterwithgartner/gartner-top-security-projects-for-2020-2021/

#Egregor ataca: Alerta de Seguridad

NextVision

0

¿Qué ocurrió?

Importante grupo de empresas de Retail habría sido afectado por una variante del Ransomware Egregor. Los sistemas de algunas tiendas del conglomerado del retail en la región de Valparaíso (Chile) y según se indica en redes sociales, también en el resto del país e incluso en Argentina fueron afectados. Al parecer las notas de rescate se imprimieron en varios supermercados de la cadena alrededor de las 20 hs del día viernes.

Resumen

Egregor, una escisión del Ransom Sekhmet, ha estado activo desde mediados de septiembre de este año, y en este tiempo, ha estado vinculado a presuntos ataques contra organizaciones como GEFCO, Barnes & Noble y a las empresas de videojuegos Crytek y Ubisoft.

Egregor también se ha asociado con el modelo Ransomware-as-a-Service (RaaS), en el que los clientes pueden suscribirse para acceder al malware. Egregor mantiene al menos un dominio .onion y dos dominios web tradicionales,  este utiliza una variedad de técnicas anti-ofuscación y empaquetamiento del payload para evitar su análisis. Se considera que la funcionalidad del ransomware es similar a la de Sekhmet. «En una de las etapas de ejecución, la carga útil de Egregor solo se puede descifrar si se proporciona la clave correcta a través de la línea de comando, lo que significa que el archivo no se puede analizar, ya sea manualmente o usando una sandbox».

El ransomware Egregor suele ser distribuido por los delincuentes después de una violación de la red corporativa. La muestra de malware es un archivo DLL que debe iniciarse con la contraseña correcta proporcionada como argumento de línea de comando. La DLL generalmente se descarga de Internet. En ocasiones, los dominios utilizados para difundirlo explotan nombres o palabras utilizadas en la industria de la víctima.

Egregor es probablemente la familia de ransomware más agresiva en términos de negociación con las víctimas. Solo da 72 hs para contactar al actor de la amenaza. De lo contrario, los datos de la víctima se procesan para su publicación. El pago del ransomware se negocia y acuerda a través de un chat especial asignado a cada víctima y el pago se recibe en BTC.

Impacto

 Según muestras de notas de rescate, una vez que una víctima ha sido infectada y sus archivos cifrados, los operadores exigen que establezcan contacto a través de Tor o un sitio web dedicado para organizar el pago. Además, la nota amenaza con que si no se paga un rescate en tres días, los datos robados se harán públicos.  

Soluciones

Por ahora se está recomendando bloquear las siguientes IP relacionadas al ataque a la empresa de retail:

C&C

  • 185.82.126.8

IPs

  • 185.238.0[.]233
  • 45.153.242[.]129
  • 91.199. 212[.]52
  • 217.8.117[.]147

Dominios principales

www.egregor[eliminado].*

egregor[eliminado]*.onion

*egregor.top

sekhmet*.*

Otros dominios

  • ozcsgqmpjwromp[.]com
  • wsjlbbqemr23[.]com
  • xjkwkzdyfcabhr[.]com
  • fvkmmwlzvsqdod[.]com
  • dmvbdfblevxvx[.]com
  • tczzzlwpss[.]com
  • txvzmlfzlklhtf[.]com
  • xtngmptkcqk[.]biz
  • ihvxmjmdvbn[.]biz
  • qukqkdcjriz[.]ws
  • mtafdrvjmif[.]com
  • kcijbcqvdfv[.]org
  • tnlttlmxuhc[.]com
  • txmxffytum[.]biz
  • vjzwvzjmoc[.]com
  • ktmjqztagkm[.]org
  • saalzvhzgkk[.]cc
  • bvhtxgzwob[.]cc
  • vrfgwwcesy[.]org
  • uozwtmgpogg[.]info
  • qammsjskgkm[.]cc
  • jfbmnpxgpi[.]ws
  • hvwvrxpinnv[.]cn
  • mshrgnslzmqobm[.]com
  • twcdkhmttfeipv[.]com

Soporte

Contá con NextVIsion !

Si tenés contrato de soporte activo , envianos un mail a:

soporte@nextvision.com

Caso contrario podes contactar a nuestro equipo comercial a info@nextvision.com

Alerta de Seguridad | Vulnerabilidad descubierta en Fortinet

NextVision

0

Alerta 2 de octubre de 2020

¿De qué se trata la vulnerabilidad?

Algunas versiones de FortiOS son potencialmente vulnerables a un desbordamiento del buffer overflow.

Resumen

Una vulnerabilidad de desbordamiento de búfer basada en un alto número de procesamiento de mensajes del Protocolo de control de enlace en FortiOS puede permitir que un atacante remoto con credenciales VPN SSL válidas bloquee el demonio VPN SSL enviando un paquete LCP grande, cuando el modo túnel está habilitado. La ejecución de código arbitrario puede ser teóricamente posible, aunque prácticamente muy difícil de lograr en este contexto.

Impacto

Negación de servicio

Productos afectados

Versiones de FortiOS 5.6.12 y anteriores.

Versiones de FortiOS 6.0.10 y anteriores.

Versiones de FortiOS 6.2.4 y anteriores.

Versiones de FortiOS 6.4.1 y anteriores.

¿Cómo solucionamos el problema?

 Para versiones 6.0: Actualice a la versión 6.0.11 o superior de FortiOS.

 Para versiones 6.2: Actualice a la versión 6.2.5 o superior de FortiOS.

 Para versiones 6.4: Actualice a la versión 6.4.2 o superior de FortiOS.

 Workaround: Desactive el modo de túnel.

Soporte

Contá con nosotros!

Comunicate con nuestro equipo para ayudarte en la actualización del sistema operativo o si necesitás actualizar tus equipos Fortinet.  

Si tenés contrato de soporte, envianos un mail a soporte@nextvision.com.

Caso contrario podes contactar a nuestro equipo comercial a info@nextvision.com 

DE VPN A SDP

NextVision

0

Dado el contexto que estamos transitando, tanto los empleados como las empresas se vieron envueltos en un proceso de adaptación y en algunas ocasiones tuvieron que aprender nuevas terminologías que nos exige el teletrabajo: videollamada, nube, FTP, etc. pero la más importante y que nos permite en la mayoría de los casos llevar adelante el negocio es la tradicional VPN (Virtual Private Network).

Si bien la VPN es una tecnología utilizada a gran escala a nivel global, las amenazas aumentan y se hacen más complejas. Cada vez más, hay organizaciones que demandan nuevas tecnologías que brinden la conectividad necesaria, incluyendo el concepto de confianza cero o redes zero trust.

Este enfoque se caracteriza por el control del tráfico tanto externo como interno, ya que es posible esconder los medios de manera que un usuario, un equipo o un aplicativo tengan no sólo acceso sino también visibilidad de los recursos para los que fueron autorizados.

Aquí es donde evolucionamos a SDP (Software Defined Perimeter)

  • Esta tecnología nos permite personalizar los accesos mediante un conjunto de políticas y condiciones que validan el dispositivo, el usuario y el recurso al que se quiere acceder. 
  • A nivel operativo, los usuarios no son sometidos a todas las reglas establecidas en el perímetro para ver cuál es la que les corresponde, lo que nos da un gran rendimiento y automatización ya que se crea un pequeño túnel personalizado para cada usuario.SPD es realmente flexible pudiendo realizar más de una validación antes de otorgar el acceso, tanto a nivel usuario como dispositivo (Si el antivirus está instalado, si el SO tiene determinado parche instalado, etc.).Otro punto importante es la segmentación, tanto de usuarios como de redes, pudiendo ofrecer accesos totalmente dinámicos y con distintos niveles de validación sin dependencia alguna (Local, LDAP, MFA). 

Las acciones a definir dentro de la red interna también nos permiten evitar el acceso indebido y mantener al usuario en un ambiente controlado impidiendo la entrada a información prohibida, lo que nos evita las amenazas internas, el eslabón más débil de la seguridad informática. Por ejemplo, aunque el equipo de un usuario sea vulnerado, el atacante no podrá realizar movimientos laterales.

Para hacer una gestión eficiente de los ciberriesgos, necesitamos repensar el proceso. NextVision incluye en sus servicios AppGate SDP: Seguridad Adaptable y Centrada en la Identidad para IT Híbrida

AppGate SDP protege las redes mediante un Perímetro Definido por Software. 

Una poderosa plataforma de seguridad de redes que ofrece un Perímetro de seguridad Definido por Software (SDP, por sus siglas en inglés), que sostiene un modelo de seguridad enfocado en el usuario, y que es capaz de asegurar cualquier aplicación, plataforma y ubicación. 

Este modelo de seguridad dinámicamente crea conexiones «uno a uno» entre usuarios y los recursos que necesitan. Todo lo demás permanece oculto, incluso el mismo sistema.

AppGate SDP permite controlar el acceso de forma dinámica a lo largo de la red híbrida de las compañías mediante políticas centradas en la identidad, en vez de listas de acceso estáticas basadas en IP.

Es una solución híbrida diseñada para la nube, y como la nube, que trabaja en cualquier infraestructura sin importar hacia dónde se está migrando. 

Además, su arquitectura es resistente, masivamente escalable y se encuentra completamente distribuida, permitiendo que las empresas implementen un sistema global de acceso seguro con mayor control.

¡Contá con nosotros!

Comunicate con nuestro equipo de expertos para asesorarte acerca de esta solución y otras problemáticas de ciberseguridad.

Conocé nuestra oferta completa de soluciones y servicios

Escribinos a info@nextvision.com.

Fuente: Departamento de Tecnología de NextVision

CÓMO PROTEGERSE EN LA NUBE DE LAS AMENAZAS POR CORREO ELECTRÓNICO

NextVision

0

El correo electrónico sigue siendo la herramienta de comunicación más importante para las empresas. Desafortunadamente, eso también hace que el correo electrónico sea el principal vector de amenazas, con el volumen y la sofisticación de los ataques en constante aumento. ¿Qué sucede al mismo tiempo? las empresas se están trasladando cada vez más a proveedores de correo electrónico en la nube, como Microsoft 365 o Google G-Suite, y luchan por proteger su tráfico de correo electrónico. Las herramientas de seguridad nativas integradas disponibles en estas plataformas son por sí mismas insuficientes para protegerse contra ataques, cuidar datos valiosos y garantizar que se cumplan los objetivos de cumplimiento.

Los usuarios se enfrentan a una gran variedad de amenazas basadas en el correo electrónico entrante, que incluyen spam, ransomware, exploits avanzados y ataques día cero, además de amenazas salientes derivadas de fugas de datos y violaciones de cumplimiento.

Si bien las soluciones de proveedores en la nube cumplen con algunos filtros de antispam que incluyen en su suscripción, no cumplen con todo lo que requiere el escenario actual.

Por ejemplo, recientemente se descubrió una vulnerabilidad importante de Gmail que permite que ingresen correos electrónicos de suplantación de identidad:

Microsoft Office 365 Advanced Threat Protection (ATP) también tiene varias vulnerabilidades. Constantemente los phishers están encontrando formas de evitar la función de ATP de Office 365:

Un punto importante sobre estas soluciones es que ambos no han podido identificar y mitigar un tipo muy específico de suplantación de identidad de correo electrónico conocido como compromiso de correo electrónico empresarial (BEC), ataques de ingeniería social que se diseñan meticulosamente sin una carga útil maliciosa, como un archivo adjunto o un enlace, lo que hace que no sea posible identificar por soluciones de antispam. 

Los esquemas BEC comunes involucran facturas falsas de proveedores confiables, fraude de CEO, solicitudes de RR.HH. para información personal sobre empleados, solicitudes para completar formularios de impuestos y apelaciones para completar para transferencias electrónicas urgentes.

Hace unos días salió una noticia sobre una nueva estrategia para saltarse las medidas de seguridad usando phishing con texto invisible. Esta es una técnica se basa en un ataque conocido como «text direction deception». Los ataques están constantemente en evolución por lo que es necesario complementarlo con soluciones de Secure Email Gateway (SEG) que mejoren el nivel de protección.

Las soluciones de Secure email Gateway proporcionan una amplia gama de capacidades para proteger y asegurar todo el tráfico de correo electrónico entrante y saliente, esto sigue siendo importante incluso cuando las organizaciones pasan de servidores de correo electrónico locales a proveedores en la nube, como Microsoft 365 (M365) o G-Suite.

Lo importante de estas tecnologías es que proporcionan una línea base de análisis de contenido, capacidades anti-spam y anti-malware, boletines de marketing y clasificaciones de correo, así como controles personalizados para la gestión de mensajes del usuario final.

Las características avanzadas disponibles en muchos SEG incluyen capacidades para un análisis más profundo utilizando tecnología de espacio aislado o desarmado de contenido, y reconstrucción de archivos adjuntos de destino. Para abordar las amenazas basadas en URL, algunos SEG también ofrecen reescritura de URL y análisis de tiempo de clic o tecnología complementaria de aislamiento de navegador remoto. También es común que los SEG ofrezcan capacidades para abordar los intentos de suplantación de identidad y suplantación de correo electrónico.

CONTACTANOS PARA BRINDARTE EL MEJOR ASESORAMIENTO SOBRE SOLUCIONES SECURE MAIL GATEWAY EN LA NUBE.

Alerta : Ransomware Sodinokibi

NextVision

0

Informe y Recomendaciones

Ciberataque a telco argentina Ransomware Sodinokibi 

Resumen del Incidente

El día sábado 18 de Julio una telco argentina fue afectada por un ciberataque de impacto global, el cual  afortunadamente no afectó a servicios críticos de la empresa ni tampoco a sus clientes ni a la base de datos de estos. 

Sodinokibi es un ransomware para sistemas Windows cuya propagación sigue el modelo Ransomware as a Service, es decir, código malicioso que se comercializa de forma personalizada, ajustándose a las necesidades de cada uno de los suscriptores.

Algunas fuentes asocian su autoría al mismo equipo que desarrolló el malware GandCrab, siendo una evolución de este último. Esta afirmación se sustenta en la similitud del código fuente, tanto en estructura como en funcionamiento, además de presentar el mismo modelo de actualización y versionado, así como unos vectores de propagación muy similares.

Para infectar los sistemas, recurre a diferentes técnicas de ofuscación, principalmente basadas en criptografía, para dificultar su análisis e identificación de sus firmas por parte de otros programas de seguridad, como antivirus o sistemas de detección de intrusión (IDS), esta característica lo hace extremadamente peligroso ya que pasa desapercibido ante controles de este tipo. 

Medios de propagación:

La propagación de este ransomware se ha producido a nivel mundial, siendo Asia la región más afectada. Los principales vectores son:

  • El envío de correos maliciosos, mediante campañas de spam.
  • La publicidad maliciosa o malvertising, es decir código malicioso presente en los anuncios que aparecen durante la navegación web, tanto para ser ejecutado directamente en el equipo, como para redirigir a servidores donde se descargan otros ejecutables.
  • Ataques de fuerza bruta sobre el protocolo  (RDP).
  • Explotación de vulnerabilidad CVE-2019-2725 que afecta a sistemas Oracle. 

Impacto 

El ataque fue específicamente al sector interno: ningún usuario de la telco, Personal o Fibertel se vio afectado.

Los usuarios corporativos lamentablemente no han recibido ninguna notificación oficial de la empresa, pero no se conocen casos de afectados, ya que el ataque y daño fue en la red interna de Telecom.
 

Análisis – Causa Raíz
 
El archivo ejecutable se empaqueta de forma personalizada, empaquetando todas las cadenas de texto, nombres de librerías y archivos DLL mediante el algoritmo criptográfico RC4, empleando una clave aleatoria diferente y de longitud variable para cada uno de los elementos cifrados. De esta forma, las cadenas de texto, las tablas API y las referencias a librerías en las que se basa habitualmente el software antivirus para detectar código malicioso resultan ineficaces en su identificación.

La información para su carga se descifra en tiempo de ejecución, utilizando el hash de la cadena en lugar de la propia cadena, lo cual incrementa aún más la dificultad de detección. Además, en su estructura de datos tampoco es posible reconocer el tamaño de las claves ni los datos, lo que hace muy difícil su descifrado por medios automatizados mediante herramientas y métodos convencionales.

Una vez que el código malicioso se ejecuta en el sistema de la víctima, gracias a alguno de los diferentes vectores de ataque vistos anteriormente, su primera acción es generar un identificador o mutex, para evitar que entre más de un proceso a la vez en la sección crítica. De esta forma, previene fallos de funcionamiento y dificulta su detección.

El siguiente paso es descifrar la configuración incrustada en su código en formato JSON, que dictará las operaciones que llevará a cabo en función de los parámetros que haya seleccionado el suscriptor del servicio malicioso, por lo que podrán variar de unos a otros.

Acciones Correctivas

 Por parte del equipo de seguridad y protección de la red corporativa se recomienda en su capa perimetral poseer un equipo con funcionalidad UTM (Firewall de Perímetro) específicamente con Antivirus que bloquee estos tipos de ataques ATP; adicionalmente dentro de la Red LAN proteger los Endpoint bloqueando en su solución de Antivirus los datos siguientes.

·  Bloqueo de indicadores de compromiso (Iocs)

·  Bloqueo de las IP relacionadas al ransomware

·  Bloqueo de los dominios relacionados al ransomware

·  Bloqueo de los hashes (SHA 256) relacionados al ransomware

·  Bloqueo de los sender relacionados al ransomware

·  Bloqueo de las URL relacionadas al ransomware
 

Ya varias soluciones de Endpoint tienen bloqueada esta vulnerabilidad: F-Secure, Sophos AV, Kaspersky, Symantec y Fortinet UTM AV. 

Recomendaciones:

  • Contar con una capa de seguridad perimetral licenciada (UTM) para prevenir ataques de ATP específicamente con un antivirus que tenga protección en tiempo real.
  • Mantener el software antivirus siempre en ejecución y actualizado.
  • Hacer copias de seguridad frecuentemente y mantenerlas en soportes desconectados.
  • Mantener actualizados los sistemas operativos y las aplicaciones.
  • Realizar un análisis de los enlaces de Internet y servicios publicados, en los segmentos de IP públicas, mediante herramientas dedicadas tales como Vendor Risk Management.
  • Instalar aplicaciones específicas de seguridad en la red interna (Acceso seguro la red y sus recursos, cifrado de archivos, Discos, Email).
  • Segregar y segmentar la red en subredes y zonas DMZ.
  • Construir una cultura cibersegura: generar campañas de concienciación a usuarios y programas de Awareness que ayuden a los colaboradores a identificar potenciales correos maliciosos.

Fuente: Equipo de Consultores de NextVision

Difusión Alerta de Seguridad Ransomware CUBA

NextVision

0

Recientemente se anunció que el Ransomware Cuba ha comprometido a varias compañías en América Latina. Uno de los métodos de distribución es el correo electrónico con archivos adjuntos que contienen macros maliciosos.

Desde NextVision hemos notado un crecimiento de este ataque en los últimos días, por eso enviamos esta alerta a todos nuestros clientes.

Es FUNDAMENTAL trabajar en una estrategia de seguridad para prevenir y recuperarse ante este tipo de Ransomware.

Servicios Afectados:

• Sistema operativo Windows

Características:

Cuba cifra los documentos de MS Office, OpenOffice, PDF, archivos de texto, bases de datos, música, vídeos, archivos de imágenes, entre otros. Al momento de cifrarlos les agrega la extensión .cuba o FIDEL.CA y crea un archivo de texto con el nombre !!!FAQ for Decryption!!.txt, el cual es una nota de rescate dejada por los atacantes. 

En la nota de rescate los atacantes dejan un correo de contacto y advertencia como:

• No cambiar de nombre a los archivos encriptados.

• No tratar de desencriptar los datos usando algún software.

Los atacantes advierten que realizar cualquiera de las dos acciones anteriores puede provocar la pérdida permanente de información comprometida por el Ransomware. Por otro lado, los operadores de esta amenaza afirman que la información de sus víctimas se descarga en sus propios servidores.

Vectores y métodos de infección/propagación:

·         Por puertos RDP expuestos y mal configurados/desactualizados

·         Malspam – correos de falsas facturaciones

·         Malversting – actualizaciones e instalación de software malicioso

·         Explotando CVE-2018-8174

Ejemplo de carta de Ransomware

Víctima Nombre: !!FAQ for Decryption!!.txt

MD5: 355cef917441d509c1432aac5ba9e23d Mensaje:

«»»

Good day. All your files are encrypted. For decryption contact us.

Write here iracomp4@protonmail.ch [ mailto:iracomp4@protonmail.ch ]

We also inform that your databases, ftp server and file server were downloaded by us to our servers.

*  Do not rename encrypted files.

*  Do not try to decrypt your data using third party software, it may cause permanent data loss.

«»»

 ¿Qué recomendaciones hacemos desde NextVision?

·         Mantener equipos y servidores con las firmas del antivirus actualizadas.

·         Segmentar redes con servidores críticos.

·         Utilizar contraseñas fuertes y políticas de expiración de ellas.

·         Utilizar el principio del menor privilegio.

·         Eliminar/Bloquear emails sospechosos.

. Se recomienda bloquear las siguientes direcciones de IP, remitentes y URLs en la soluciones perimetrales de antispam y proxy:

– SMTP Host:

– 212.24.111.24

– 194.135.88.52

– 185.5.54.34

– 195.181.242.207

– 194.135.84.68

– 195.181.244.195

– 212.24.99.29

 Sender:

– apache@2tgp.l.serverhost.name

– apache@2th0.l.serverhost.name

– apache@2tgx.l.serverhost.name

– apache@2tf8.l.serverhost.name

– apache@2sq7.l.serverhost.name

– apache@2tgw.l.serverhost.name

  URLs:

– hxxps://www.ausy.fr

– hxxps://scotiportalenlinea-cl.com

. Programas de Educación y Concientización a empleados: es fundamental que todos los miembros de tu organización conozcan qué es el Ransomware y cómo actúa mientras trabajan y navegan por Internet. Construir una cultura cibersegura es primordial para evitar este tipo de ataques. Conocé más en NV Awareness, un programa único, integral y continuo centrado en las personas, para acompañar a tu empresa con estrategias integrales que incluyan la educación y transformación de los hábitos de los empleados, promoviendo una cultura de seguridad basada en las personas.  

Si su equipo se infecta, ¿cuáles son los pasos debe seguir?:

No hay herramienta de eliminación de Ransomware. Si sus equipos se infectan y sus datos se cifran, siga estos pasos:

1.  No pague el rescate.

Si paga el rescate:

No hay garantía de que el atacante vaya a suministrar un método para desbloquear su equipo o para descifrar sus archivos.

 • El atacante usa el dinero del rescate para financiar ataques adicionales contra otros usuarios.

2. Aísle el equipo infectado antes de que el Ransomware pueda atacar las unidades de red a las cuales tiene acceso.

3. Restaure archivos dañados de una copia de seguridad de buena reputación

 4. Envíe el software malicioso a NextVision. Si puede identificar el correo electrónico o el archivo ejecutable malicioso, envíelo a nuestro equipo de soporte. Nuestra comunicación directa con los partners proveedores de productos de seguridad permiten crear nuevas firmas y mejorar las defensas contra el Ransomware.

Fuentes consultadas: 

El Ransomware hay que prevenirlo.  Te invitamos a descargar y leer nuestro e-book para evitar ser víctima de un ataque de Ransomware.

Por cualquier duda o consulta sobre este u otros temas de ciberseguridad, escribinos a info@nextvision.com 

Departamento de Tecnología de NextVision

¿Usas Zoom? Lee estas recomendaciones

NextVision

0

El contexto del teletrabajo y la necesidad de realizar distintas actividades de manera remota “de un día para el otro” han despertado el interés de los cibercriminales, que pueden sacar rédito de las aplicaciones de videoconferencias que se hayan implementado sin recaudo alguno.  La adopción de estas herramientas por parte de usuarios inexpertos en empresas y entidades educativas generó algunos problemas.

El crecimiento exponencial que experimentó Zoom, que según datos de la propia compañía pasó de 10 a 200 millones de usuarios en pocos meses, ha venido acompañado por la difusión de fallos de seguridad que han sido explotados por no adoptarse las medidas de seguridad adecuadas.

Uno es el denominado Zoombombing, mediante el cual un Cibercriminal se mete en las videoconferencias grupales utilizando el ID de la reunión virtual (número identificador de reunión instantánea o programada), publicado en redes sociales u otras agendas compartidas.

También ha habido un crecimiento de dominios registrados por los cibercriminales utilizando el nombre de la herramienta Zoom con la intención de engañar vía Phishing a los usuarios, para infectarlos luego con malware, etc.

¿Qué recomendaciones hacemos desde NextVision para el uso correcto de Zoom?

Zoom es una herramienta muy poderosa y versátil de videoconferencia, pero por su facilidad de uso se recomienda utilizarla implementando estas recomendaciones:

  • Tener la aplicación siempre actualizada a la última versión. Zoom va liberando versiones que mejoran su funcionalidad y sobre todo, su seguridad. Descargar la aplicación de Zoom siempre de la página oficial, ya que existen falsas aplicaciones con códigos maliciosos.
  • No hacer uso del social login de zoom (Gmail, Facebook, SSO).  Esto evitará comprometer las credenciales de correo cuando además están asociadas a cuentas corporativas.
  • Siempre es recomendable establecer una contraseña para cada reunión y optar por utilizar ID de reuniones aleatorias, de manera de no repetirlas. Eliminar la opción de un solo clic y evitar que se incruste la contraseña en el enlace de la reunión. Esto significa que cada participante deberá ingresar la contraseña para unirse a la reunión.
  • Preferentemente no utilizar redes sociales para compartir enlaces de videoconferencias.
  • Activar la sala de espera, de esta manera el anfitrión puede aceptar a no a quién desee ingresar.
  • Configurar la pantalla compartida solo para el anfitrión si no es necesario que otros lo hagan, y así evitar que otros usuarios compartan contenido inadecuado.
  • Activar el alerta de ingreso a la sala de reunión de forma que podamos detectar la entrada de «intrusos» o, incluso, bloquear la reunión una vez que haya empezado, para evitar que alguien se una a ella.

Además, también siempre es importante tener en cuenta estas otras recomendaciones:

. Contraseñas de Cuentas y Doble Factor

Una cuenta de Zoom es conceptualmente como cualquier cuenta y al configurarla debemos adoptar los principios básicos de protección que se deben usar siempre. Usar una contraseña segura y única. Es importante también proteger la cuenta con la autenticación de dos factores, lo cual dificulta el hackeo de ésta y la protege mejor, incluso si los datos de la cuenta se ven filtrados (aunque hasta la fecha eso no ha sucedido).

Una vía posible para la autenticación de dos factores es utilizar Google Authenticator

·         Videos

Iniciar una reunión con la cámara apagada puede ayudar a evitar un momento incómodo. En este sentido, será mejor que los usuarios se vean obligados a encender la cámara durante la reunión si así lo necesitan o desean.

·         Compartir Pantalla

El anfitrión puede pasar el control de la reunión a otro participante y convertirlo en el anfitrión para que pueda hacerlo. Esta recomendación puede no ser la ideal para todos los escenarios. Por ejemplo, aquellos que utilicen la herramienta en el campo de la educación pueden no querer pasar el control de anfitrión a un estudiante. Por lo tanto, es importante considerar las consecuencias de permitir que todos los participantes puedan compartir la pantalla o si es mejor limitar esta opción solo para el anfitrión.

·         Dispositivos IOS

Evitar que se visualicen datos confidenciales en el conmutador de tareas, específicamente para los dispositivos iOS de Apple que realizan capturas de pantalla de las aplicaciones abiertas.

Fuente: Departamento de Tecnología de NextVision

NextVision en el diario La Nación

NextVision

0

Frente a la crisis de público conocimiento, todos sabemos que el aislamiento aumenta las horas frente a la computadora y multiplica las posibilidades de ser víctimas de ataques online. 

NextVision estuvo presente en la edición del Diario La Nación del sábado 11 de abril. La nota abordó esta problemática y explicó de cómo cuidarse en el mundo digital, especialmente en tiempos de cuarentena. 

De la nota participa Roberto Heker, Director de NextVision, quien opina y nos acerca las mejores recomendaciones en prácticas de ciberseguridad.

× ¿Cómo puedo ayudarte?