¡El futuro de Confianza Cero y SASE es ahora! Ver a la carta

cerrar
cerrar
  • Por qué Netskope chevron

    Cambiar la forma en que las redes y la seguridad trabajan juntas.

  • Nuestros clientes chevron

    Netskope atiende a más de 3.000 clientes en todo el mundo, entre ellos más de 25 de las 100 empresas de Fortune

  • Nuestros Partners chevron

    Nos asociamos con líderes en seguridad para ayudarlo a asegurar su viaje a la nube.

La más Alta en Ejecución. Más Avanzada en Visión.

Netskope ha sido reconocido como Líder en el Gartner® Magic Quadrant™ de 2023 en SSE.

Obtenga el informe
Netskope ha sido reconocido como Líder en el Gartner® Magic Quadrant™ de 2023 en SSE.
Ayudamos a nuestros clientes a estar preparados para cualquier situación

See our customers
Woman smiling with glasses looking out window
La estrategia de venta centrada en el partner de Netskope permite a nuestros canales maximizar su expansión y rentabilidad y, al mismo tiempo, transformar la seguridad de su empresa.

Más información sobre los socios de Netskope
Group of diverse young professionals smiling
Tu red del mañana

Planifique su camino hacia una red más rápida, más segura y más resistente diseñada para las aplicaciones y los usuarios a los que da soporte.

Obtenga el whitepaper
Tu red del mañana
Introducing the Netskope One Platform

Netskope One is a cloud-native platform that offers converged security and networking services to enable your SASE and zero trust transformation.

Learn about Netskope One
Abstract with blue lighting
Adopte una arquitectura de borde de servicio de acceso seguro (SASE)

Netskope NewEdge es la nube privada de seguridad más grande y de mayor rendimiento del mundo y ofrece a los clientes una cobertura de servicio, un rendimiento y una resiliencia incomparables.

Más información sobre NewEdge
NewEdge
Netskope Cloud Exchange

Cloud Exchange (CE) de Netskope ofrece a sus clientes herramientas de integración eficaces para que saquen partido a su inversión en estrategias de seguridad.

Más información sobre Cloud Exchange
Vídeo de Netskope
  • Servicio de seguridad Productos Edge chevron

    Protéjase contra las amenazas avanzadas y en la nube y salvaguarde los datos en todos los vectores.

  • Borderless SD-WAN chevron

    Proporcione con confianza un acceso seguro y de alto rendimiento a cada usuario remoto, dispositivo, sitio y nube.

  • Secure Access Service Edge chevron

    Netskope SASE proporciona una solución SASE nativa en la nube, totalmente convergente y de un único proveedor.

La plataforma del futuro es Netskope

Intelligent Security Service Edge (SSE), Cloud Access Security Broker (CASB), Cloud Firewall, Next Generation Secure Web Gateway (SWG) y Private Access for ZTNA integrados de forma nativa en una única solución para ayudar a todas las empresas en su camino hacia el Servicio de acceso seguro Arquitectura perimetral (SASE).

Todos los productos
Vídeo de Netskope
Next Gen SASE Branch es híbrida: conectada, segura y automatizada

Netskope Next Gen SASE Branch converge Context-Aware SASE Fabric, Zero-Trust Hybrid Security y SkopeAI-Powered Cloud Orchestrator en una oferta de nube unificada, marcando el comienzo de una experiencia de sucursal completamente modernizada para la empresa sin fronteras.

Obtenga más información sobre Next Gen SASE Branch
Personas en la oficina de espacios abiertos.
Diseño de una arquitectura SASE para Dummies

Obtenga un ejemplar gratuito del único manual que necesitará sobre diseño de una arquitectura SASE.

Obtenga el eBook
Cambie a los servicios de seguridad en la nube líderes del mercado con una latencia mínima y una alta fiabilidad.

Más información sobre NewEdge
Lighted highway through mountainside switchbacks
Habilite de forma segura el uso de aplicaciones de IA generativa con control de acceso a aplicaciones, capacitación de usuarios en tiempo real y la mejor protección de datos de su clase.

Descubra cómo aseguramos el uso generativo de IA
Habilite de forma segura ChatGPT y IA generativa
Soluciones de confianza cero para implementaciones de SSE y SASE

Más información sobre Confianza Cero
Boat driving through open sea
Netskope logra la alta autorización FedRAMP

Elija Netskope GovCloud para acelerar la transformación de su agencia.

Más información sobre Netskope GovCloud
Netskope GovCloud
  • Recursos chevron

    Obtenga más información sobre cómo Netskope puede ayudarle a proteger su viaje hacia la nube.

  • Blog chevron

    Learn how Netskope enables security and networking transformation through security service edge (SSE)

  • Events and Workshops chevron

    Manténgase a la vanguardia de las últimas tendencias de seguridad y conéctese con sus pares.

  • Seguridad definida chevron

    Todo lo que necesitas saber en nuestra enciclopedia de ciberseguridad.

Podcast Security Visionaries

Elecciones, desinformación y seguridad
Este episodio analiza los aspectos de la seguridad electoral en torno al registro de votantes y los controles físicos en los lugares de votación.

Reproducir el pódcast
Blog: Elecciones, desinformación y seguridad
Últimos blogs

Read how Netskope can enable the Zero Trust and SASE journey through security service edge (SSE) capabilities.

Lea el blog
Sunrise and cloudy sky
SASE Week 2023: ¡Su viaje SASE comienza ahora!

Sesiones de repetición de la cuarta SASE Week.

Explorar sesiones
SASE Week 2023
¿Qué es Security Service Edge (SSE)?

Explore el lado de la seguridad de SASE, el futuro de la red y la protección en la nube.

Más información sobre el servicio de seguridad perimetral
Four-way roundabout
  • Empresa chevron

    Le ayudamos a mantenerse a la vanguardia de los desafíos de seguridad de la nube, los datos y la red.

  • Liderazgo chevron

    Nuestro equipo de liderazgo está firmemente comprometido a hacer todo lo necesario para que nuestros clientes tengan éxito.

  • Soluciones para clientes chevron

    Le apoyamos en cada paso del camino, garantizando su éxito con Netskope.

  • Formación y certificación chevron

    La formación de Netskope le ayudará a convertirse en un experto en seguridad en la nube.

Apoyar la sostenibilidad a través de la seguridad de los datos

Netskope se enorgullece de participar en Vision 2045: una iniciativa destinada a crear conciencia sobre el papel de la industria privada en la sostenibilidad.

Descubra más
Apoyando la sustentabilidad a través de la seguridad de los datos
Pensadores, constructores, soñadores, innovadores. Juntos, ofrecemos soluciones de seguridad en la nube de vanguardia para ayudar a nuestros clientes a proteger sus datos y usuarios.

Conozca a nuestro equipo
Group of hikers scaling a snowy mountain
El talentoso y experimentado equipo de servicios profesionales de Netskope proporciona un enfoque prescriptivo para su exitosa implementación.

Más información sobre servicios profesionales
Servicios profesionales de Netskope
Asegure su viaje de transformación digital y aproveche al máximo sus aplicaciones en la nube, web y privadas con la capacitación de Netskope.

Infórmese sobre Capacitaciones y Certificaciones
Group of young professionals working

Documentos Office y aplicaciones en la nube: Perfectos para la distribución de malware

23 de marzo de 2022

Microsoft Word, Excel, PowerPoint y otros formatos de documentos Office son populares entre los atacantes, que abusan de ellos para infectar a sus víctimas con ransomware, infostealers, backdoors y otro malware. 

  • El atacante envía un enlace para descargar un documento de Office a la víctima por correo electrónico, redes sociales, SMS, aplicaciones de almacenamiento en la nube o aplicaciones de mensajería.
  • El atacante utiliza la ingeniería social para convencer a la víctima de que descargue el archivo, lo abra con Microsoft Office y habilite el contenido.
  • Si la víctima habilita el contenido, el código malicioso del documento de Office infecta su ordenador

En este artículo, analizamos la anatomía de un ataque reciente desde un documento Office desde la perspectiva de la víctima, destacamos los tipos más comunes de ataques a documentos Office que se ven hoy en día y sugerimos estrategias para reducir el riesgo de convertirse en la última víctima.

Screenshot of PowerPoint Security Notice

Anatomía de un ataque a documentos de Office

A principios de 2022, Netskope observó una serie de ataques a documentos Office que utilizaban archivos de PowerPoint maliciosos para distribuir los troyanos de acceso remoto AveMaria/Warzone y AgentTesla. Las víctimas recibían un correo electrónico con un mensaje genérico en el que se les pedía que revisaran un pedido. Los atacantes suelen utilizar facturas falsas, formularios de pedido, listas de inventario, notificaciones de envío y presupuestos de venta para incitar a las víctimas a descargar documentos Office maliciosos. Cuando la víctima descarga y abre el archivo adjunto utilizando Microsoft PowerPoint, se le presenta un cuadro de diálogo que le pregunta si desea activar las macros.

Este es un momento crucial para la víctima. Si hace clic en "Desactivar macros", no ocurrirá nada. Verán una página en blanco. ¿Quizás este vacío les inspire a intentarlo de nuevo y hacer clic en "Activar macros"? i hacen clic en "Activar macros", el código malicioso embebido en el documento se ejecutará automáticamente y su ordenador se infectará con un troyano de acceso remoto en cuestión de segundos, lo que significa que el atacante podrá acceder al ordenador de la víctima.

Otro ataque similar utiliza Excel en lugar de PowerPoint, pero con un flujo idéntico. A continuación, se muestra otro ejemplo de enero de un ataque a un documento Office con Emotet. El atacante utiliza el cuerpo del propio documento para hacer algo de ingeniería social, diciéndole al usuario que debe abrir el documento en su ordenador y debe hacer clic en "Habilitar contenido". Si no lo hacen, no podrán abrir el documento. Ambos son pasos necesarios para que el atacante infecte el ordenador de la víctima, y por eso insiste tanto.

Screenshot of Excel prompt to "Enable Macros" from an Emotet Office document attack

En respuesta a la prevalencia de los atacantes que utilizan esta táctica para propagar el malware, Microsoft decidió bloquear las macros VBA por defecto para los archivos descargados de Internet.

Tipos de archivos maliciosos

En los ejemplos anteriores, destacamos un ataque con un documento Office que utilizaba un archivo malicioso de PowerPoint para infectar a las víctimas con troyanos de acceso remoto. En general, casi una cuarta parte de todos los documentos Office maliciosos observados hasta ahora en 2022 eran archivos de PowerPoint. Los archivos de Excel son comparativamente más populares entre los atacantes, representando más de la mitad de todos los documentos Office maliciosos observados. Los ejemplos anteriores dan alguna pista de por qué: El formato de archivo Excel permite a los atacantes mostrar cierto contenido con fines de ingeniería social, para convencer a la víctima de que "habilite el contenido." Además, Excel admite características adicionales de las que suelen abusar los atacantes, como las macros de Excel 4.0.

Pie Chart showing malicious Office document types

Características de los documentos de Office maliciosos

La mayoría de los ataques con documentos Office tienen como objetivo infectar el ordenador de la víctima con malware o engañarla para que visite un sitio web malicioso. A pesar de haber sido escritos por diferentes atacantes, la mayoría de los documentos Office maliciosos que se ven hoy en día comparten un conjunto de características comunes.

  • Ejecuta automáticamente una macro: Las macros son pequeños programas destinados a automatizar tareas repetitivas en Microsoft Office y los atacantes suelen abusar de ellas para infectar los ordenadores de las víctimas. La ejecución automática de macros significa que la macro se ejecuta en cuanto el usuario hace clic en "Habilitar contenido" o "Habilitar macros."
  • Ejecuta EXEs y/o DLLs del sistema: Para instalar el malware, las macros maliciosas suelen utilizar funciones integradas del sistema Windows. Esta técnica se conoce como "living-off-the-land."
  • Escribe archivos en el disco: Los atacantes escriben los archivos de malware en el disco para que puedan persistir incluso si se reinicia el ordenador.
  • Contiene URLs maliciosas: Algunos atacantes embeben URLs maliciosas directamente en los archivos, ya sea para atraer a la víctima a hacer clic en ellos o para descargar el malware automáticamente.
  • El código de la macro está protegido por contraseña: Algunos atacantes protegen con contraseña la macro maliciosa para ocultarse de las herramientas de seguridad o de los investigadores que podrían intentar analizar el código y descubrir su función.
  • El código de la macro se modifica a sí mismo: Algunos atacantes escriben macros que se modifican a sí mismas para ocultar su verdadero propósito a las herramientas de seguridad o a los investigadores que podrían intentar analizar el código.
  • Utiliza macros de Excel 4.0: Las macros de Excel 4.0 son una antigua característica de Office que ganó popularidad entre los atacantes y que ahora están desactivadas por defecto. Sólo se utilizan en un pequeño porcentaje de los ataques a documentos de Office.

El siguiente gráfico desglosa la popularidad de estas funciones entre los miles de documentos Office maliciosos descubiertos y analizados por Netskope en enero de 2022.

Bar chart showing the popularity of malicious Office document features in January 2022

Una oleada continua de documentos Office maliciosos

En la primavera de 2020, Emotet lanzó una campaña de spam a gran escala y muy eficaz para distribuir malware a través de documentos Office convertidos en instrumentos para hacer ataques cibernéticos. Antes de la campaña de Emotet, los documentos de Office representaban sólo el 20% de todas las descargas de malware. Durante la campaña, aumentaron hasta casi el 50% de todas las descargas de malware. Desde entonces, otros atacantes han intentado recrear el éxito de Emotet, lo que ha dado lugar a un flujo mayor que el anterior de documentos Office maliciosos dirigidos a usuarios desprevenidos. Después de que Microsoft anunciara que empezaría a bloquear por defecto las macros VBA de los archivos descargados de Internet, en febrero vimos un descenso de las descargas de documentos Office maliciosos a los niveles anteriores a Emotet. Esperamos seguir viendo este descenso en los próximos meses.

Chart showing percentage of malware detections that are Office docs

Documentos Office maliciosos al acecho en aplicaciones de almacenamiento en la nube

Una de las técnicas de ingeniería social que utilizan los atacantes para intentar atraer a las víctimas a la descarga de documentos Office maliciosos es abusar de las aplicaciones populares de almacenamiento en la nube para compartirlos. Por ejemplo, como alguien que utiliza regularmente Microsoft OneDrive y Microsoft Office, es mucho más probable que descargue y abra un documento compartido conmigo a través de OneDrive que un documento alojado en una extraña URL que nunca he visto antes. Emotet hizo un exitoso uso de Box para difundir documentos Office maliciosos en su campaña de malspam de 2020, y otros atacantes han emulado sus tácticas desde entonces. Hoy en día, el 95% de los documentos Office maliciosos se distribuyen a través de aplicaciones en la nube, y sólo el 5% se distribuye a través de sitios web tradicionales. Sólo en febrero de 2022, Netskope bloqueó las descargas de documentos Office maliciosos desde 50 aplicaciones diferentes, encabezadas por Google Drive y OneDrive.

Pie chart showing percentage of cloud storage apps used to distribute

Al mismo tiempo, los atacantes también abusan de las aplicaciones en la nube para otras etapas del ataque. En el ataque basado en PowerPoint descrito al principio de este artículo, la macro maliciosa desencadena descargas adicionales de malware en archivos alojados en MediaFire, Blogger, y GitHub.

Medidas defensivas

La mejor manera de evitar ser víctima de un ataque a un documento de Office es no descargar, abrir y habilitar nunca las macros de los documentos de Office que se comparten con usted. Entonces, ¿qué hacer cuando alguien comparte un documento con usted? La forma más segura de abrirlo es utilizar un visor basado en la web como Google Drive o Microsoft Office 365. En el segundo ejemplo que compartí, el atacante le dice explícitamente a la víctima que no lo haga, porque anula el ataque. Y si descargas un archivo, nunca habilite las macros. Si es administrador del sistema, también puede utilizar el Editor de Políticas de Grupo para restringir que todos los usuarios de su organización habiliten las macros.

author image
Ray Canzanese
Ray es el director de Netskope Threat Labs, que se especializa en la investigación de amenazas centradas en la nube. Su experiencia se centra en el software anti-sabotaje, la detección y clasificación de malware, la seguridad en la nube, la detección secuencial y el aprendizaje automático.

Stay informed!

Subscribe for the latest from the Netskope Blog