Netskope Threat Labs publica un resumen trimestral de las principales amenazas que rastreamos en la plataforma Netskope . Esta publicación tiene como objetivo proporcionar inteligencia estratégica y procesable sobre las amenazas activas contra los usuarios empresariales en todo el mundo.

Resumen

• OneDrive y SharePoint estaban en la parte superior de la lista de las principales aplicaciones en la nube utilizadas para las descargas de malware. GitHub ocupa el tercer lugar, ya que se utiliza con bastante frecuencia para descargar herramientas posteriores a la explotación.
• Las principales familias de malware activas en el último trimestre incluyen Infostealer, AgentTesla y Trojan ZLoader.

Entrega de malware en la nube

Los atacantes intentan pasar desapercibidos mediante la entrega de contenido malicioso a través de aplicaciones populares en la nube. Abusar de las aplicaciones en la nube para la entrega de malware permite a los atacantes evadir los controles de seguridad que se basan principalmente en listas de bloqueo de dominios y filtrado de URL o no inspeccionan el tráfico en la nube.

Los atacantes logran el mayor éxito en llegar a los usuarios empresariales cuando abusan de las aplicaciones en la nube que ya son populares en la empresa. Microsoft OneDrive, la aplicación empresarial en la nube más popular, ha vuelto a ocupar el primer puesto en descargas de Malware, que ha mantenido durante más de seis meses. 

Las tres aplicaciones principales se han mantenido prácticamente sin cambios en comparación con las aplicaciones utilizadas en el último trimestre. Al comparar el uso de aplicaciones de este trimestre con nuestro último informe, notamos un ligero aumento en el uso de SharePoint y GitHub. En el caso concreto de GitHub, el equipo de Threat Labs ha observado que se utiliza para descargar herramientas de post-explotación como Mimikatz y Sharphound. Estas herramientas son un buen indicador para saber que un actor de amenazas podría estar ya en el entorno y que es necesario realizar alguna acción en la red.

La lista de los 10 principales a continuación refleja las tácticas de los atacantes, el comportamiento de los usuarios y la política de la empresa.

Top Malware Families

La siguiente lista contiene las principales familias de malware bloqueadas por Netskope entre el 1 de abril y el 1 de julio:

• Downloader.Guloader es un pequeño descargador conocido por entregar troyanos de acceso remoto y ladrones de información, como AgentTesla, Formbook y Remcos.
• Infostealer.AgentTesla es un . Troyano de acceso remoto basado en NET con muchas capacidades, como robar contraseñas de navegadores, capturar pulsaciones de teclas, portapapeles, etcétera.
• RATA. AsyncRAT es una herramienta de administración remota de código abierto lanzada en GitHub en 2019, diseñada para controlar computadoras de forma remota a través de una conexión cifrada.
• Trojan.ZLoader (también conocido como DELoader) es un troyano modular basado en el código fuente ZeuS filtrado. El malware es capaz de realizar tareas como capturar capturas de pantalla, robar información bancaria, proporcionar acceso VNC y más.
• Trojan.Grandoreiro es un troyano bancario de LATAM con el objetivo de robar información bancaria confidencial, comúnmente dirigido a Brasil, México, España y Perú.

Recomendaciones

Los atacantes siempre han buscado evadir la detección y evitar sospechas en la entrega de malware. Netskope Threat Labs recomienda que revise su postura de seguridad para asegurarse de que está adecuadamente protegido contra estas dos tendencias:

• Inspeccione todas las descargas HTTP y HTTPS, incluido todo el tráfico de Web y de la nube, para evitar que Malware se infiltre en su red. Netskope los clientes pueden configurar su Netskope NG-SWG con una Política de protección frente a amenazas que se aplica a las descargas de todas las categorías y se aplica a todos los tipos de archivos.
• Asegúrese de que los controles de seguridad inspeccionen de forma recursiva el contenido de los archivos de almacenamiento populares, como los archivos ZIP, en busca de contenido malintencionado. Netskope Advanced Threat Protection inspecciona recursivamente el contenido de archivos comprimidos, incluidos ISO, TAR, RAR, 7Z y ZIP.
• Asegúrese de que los tipos de archivos de alto riesgo, como los ejecutables y los archivos comprimidos, se inspeccionan mediante análisis estáticos y dinámicos antes de ser descargados. Los clientes deNetskope Advanced Threat Protection pueden utilizar una Política de Prevención de Paciente Cero para retener las descargas hasta que hayan sido completamente inspeccionadas.
• Configure policies to block downloads from apps that are not used in your organization to reduce your risk surface to only those apps and instances that are necessary for the business.
• Configure la Política para bloquear la descarga de herramientas conocidas posteriores a la explotación que no se utilizan en su organización y genere una alerta de alto riesgo si se descarga una herramienta no autorizada, ya que esta podría indicar las fases posteriores de un ataque.
• Block downloads of all risky file types from newly registered domains and newly observed domains.

Además de las recomendaciones anteriores, la tecnología Remote Browser Isolation (RBI) puede proporcionar una protección adicional cuando exista la necesidad de visitar sitios web que pertenezcan a categorías que presenten un mayor riesgo, como Dominios Recién Observados y Dominios Recién Registrados.

Acerca de este informe

Netskope proporciona protección de datos y amenazas a millones de usuarios en todo el mundo. La información presentada en este Informe se basa en datos de uso anónimos recopilados por la Plataforma Netskope Security Cloud en relación con un subconjunto de Netskope clientes con autorización previa. Este Informe contiene información sobre las detecciones generadas por Netskope'Next Generation Secure Web Gateway (SWG), sin considerar la importancia del impacto de cada amenaza. Las estadísticas de este Informe se basan en el período comprendido entre el 1 de abril de 2024 y el 1 de julio de 2024. Las estadísticas reflejan las tácticas de los atacantes, el comportamiento de los usuarios y la organización política.