La vulnerabilidad BlueKeep, potencial amenaza mundial

La vulnerabilidad BlueKeep, potencial amenaza mundial. Los investigadores de Check Point confirman múltiples intentos a nivel global para localizar sistemas vulnerables a BlueKeep RDP, probablemente como ataques de reconocimiento.

Check Point , proveedor líder especializado en ciberseguridad a nivel mundial, ha publicado su último Índice Global de Amenazas de mayo de 2019. En esta nueva edición, el equipo de investigación de la compañía alerta a las empresas de la necesidad de comprobar y parchear cualquier sistema vulnerable a la falla “BlueKeep” Microsoft RDP (CVE-2019-0708) en ordenadores que cuentan con el sistema operativo Windows 7 y Windows Server 2008, con el objetivo de evitar ser víctima de ataques por ransomware y criptojacking.

BlueKeep ha afectado a casi 1 millón de ordenadores con acceso a internet, siendo los equipos corporativos los más afectados. Esta vulnerabilidad ha sido catalogada como crítica debido a que no requiere la interacción del usuario para ser explotada. Por otra parte, RDP es un vector de ataque frecuente que se ha utilizado para instalar ransomware como SamSam y Dharma. El equipo de investigación de Check Point ha detectado recientemente muchos intentos de ataque sobre este fallo, originados en varios países en todo el mundo, lo que podría ser la fase inicial de reconocimiento para un ataque a mayor escala. Además de poder contar con los parches de Microsoft, Check Point proporciona protección tanto de red como en puestos de trabajo gracias a CloudGuard.

«La mayor amenaza que hemos visto en el último mes es BlueKeep. Aunque todavía no se han visto ataques que lo exploten, se han desarrollado varias pruebas de concepto públicas. Estamos de acuerdo con Microsoft y otros observadores de la industria de la ciberseguridad en que BlueKeep podría utilizarse para lanzar ciberataques a escala de campañas masivas como WannaCry y NotPetya de 2017”, señala Maya Horowitz, directora del Grupo de Inteligencia de Amenazas de Check Point. “Un solo ordenador con este defecto puede utilizarse para descargar una carga útil maliciosa capaz de infectar a toda una red. Por tanto, todos los ordenadores con acceso a internet que se hayan visto comprometidos podrían infectar a otros dispositivos en todo el mundo, permitiendo así que el ataque se propague exponencialmente a un ritmo imparable. En este sentido, es fundamental que las empresas apuesten por la protección, mientras que los usuarios deben parchear el defecto lo antes posible antes de que sea demasiado tarde”, añade Horowitz.

Por otra parte, otra de las noticias más destacadas relativas al malware hace referencia al hecho de que los desarrolladores del programa de afiliados GandCrab Ransomware as a Service anunciaron a finales de mes que cesaban su operación, al mismo tiempo que pedían a sus afiliados que dejasen de distribuir este código malicioso en un plazo máximo de 20 días. GandCrab, que ha estado activo desde enero de 2018, infectó a más de 50.000 víctimas en tan sólo 2 meses, generando a sus desarrolladores y afiliados ganancias de miles de millones de dólares. GandCrab, que se encontraba regularmente entre los 10 malware más buscados, destacaba por actualizarse frecuentemente para eludir las herramientas de detección.

En España, se ha producido un cambio en las tres primeras posiciones de los malware más buscados. Darkgate ocupa la primera posición en detrimento de Emotet, que desaparece de las tres primeras posiciones. Asimismo, dos criptojackers como XMRig y JSEcoin, ocupan la segunda y tercera posición respectivamente, lo que pone de manifiesto la necesidad de fomentar la protección frente a amenazas basadas en software de criptominería.

Los 3 malware más buscados en España en abril:

*Las flechas muestran el cambio de posición en el ranking en comparación con el mes anterior.

1. ↑ Darkgate – Es una amenaza compleja que se instala de manera sigilosa. Este troyano, que ha afectado al 11,49% de las empresas españolas, provoca problemas operativos e incapacidad para ejecutar ciertos servicios o aplicaciones.
2. ↑ XMRig – Cryptojacker utilizado para minar ilegalmente la criptomoneda Monero. Este malware fue descubierto por primera vez en mayo de 2017. Ha atacado a un 11,19% de las empresas en España.
3.     ↑ JSEcoin – Criptojacker de JavaScript que se puede incrustar en sitios web. JSEcoin, permite ejecutar el minero directamente en su navegador a cambio de una experiencia sin anuncios, moneda en el juego y otros incentivos. Ha afectado a un 10,16% de las organizaciones españolas.

Top 3 del malware móvil mundial en mayo:

1. ↑ Lotoor – Herramienta de hacking que explota vulnerabilidades en el sistema operativo Android para obtener privilegios de root.

2. ↑ Hiddad – Malware para Android, su función principal es mostrar anuncios. Sin embargo, también puede obtener acceso a los detalles de seguridad clave incorporados en el sistema operativo, lo que permite a un ciberdelincuente obtener datos confidenciales del usuario.

3. ↓ Triada – Backdoor modular para Android. Este malware confiere privilegios de superusuario a otros elementos de malware descargados, al mismo tiempo que les ayuda a integrarse en los procesos del sistema. Asimismo, Triada también tiene la capacidad de falsificar URLs cargadas en el navegador.

Top 3 vulnerabilidades más explotadas en abril:

1. ↑Inyección SQL (varias técnicas) – Insertar una inyección de consulta SQL en la entrada del cliente a la aplicación, mientras se explota una vulnerabilidad de seguridad en el software de una aplicación.

2.    ↑ Revelación de información del servidor web Git – Se ha informado acerca de una vulnerabilidad de divulgación de información en el Repositorio Git. La explotación exitosa de esta vulnerabilidad podría permitir una divulgación involuntaria de la información de la cuenta.

3. ↓ Revelación de información a través de Heartbeat en OpenSSL TLS DTLS (CVE-2014-0160; CVE-2014-0346) – Existe un fallo en la divulgación de información en OpenSSL. La vulnerabilidad se debe a un error al manejar paquetes TLS/DTLS Heartbeat. Un ciberdelincuente puede aprovechar este error para robar contenidos de la memoria o del servidor de un cliente conectado.

El Índice de Impacto Global de Amenazas de Check Point y su Mapa de ThreatCloud se basan en la inteligencia ThreatCloud de Check Point, la red de colaboración más grande para combatir la ciberdelincuencia que ofrece datos de amenazas y tendencias de ataque desde una red global de sensores de amenazas. La base de datos ThreatCloud contiene más de 250 millones de direcciones analizadas para descubrir bots, más de 11 millones de firmas de malware y más de 5.5 millones de sitios web infectados, e identifica millones de tipos de malware diariamente.

La lista completa de las 10 familias principales de malware en marzo está disponible en el blog de Check Point https://blog.checkpoint.com/2019/06/13/may-2019-most-wanted-malware-bluekeep-microsoft-rdp-cryptocurrency-malware/