Por: Cisco Talos
- Desde el inicio de la guerra en Ucrania, hemos observado amenazas que usan como señuelo el correo electrónico con temas relacionadas al conflicto, incluyendo asistencia humanitaria y varios tipos de recaudación de fondos. Esta actividad se ha ido incrementando desde finales de febrero.
- Estos correos electrónicos están relacionados principalmente con estafas y también llevan una variedad de amenazas incluyendo trojanos de acceso remotos (RATs) Esto se suma a la actividad maliciosa que recientemente se encontró relacionada con ataques de crowdsource en la región
- Este patrón es consistente con lo que típicamente vemos después de eventos globales o crisis, como la pandemia de covid-19, cuando cibercriminales oportunistas intentaron explotar el alto interés público en su beneficio.
Desde la invasión de Ucrania, hemos observado una variedad de correos electrónicos utilizados como señuelos para sacar provecho de la situación y convencer a los destinatarios para que tomen alguna medida que al final beneficiará al atacante. Si bien esta actividad se ha incrementado gradualmente desde finales de febrero, aún representa una pequeña parte del programa general de spam. Cisco Talos espera que esta actividad continúe aumentando a medida que este conflicto continúe.
Algunos correos enviados incluyen mensajes de spam solicitando bitcoins o haciéndose pasar por un mercado de Bitcoin (Marketplace) y como cartera de transacciones de Bitcoin.
Asimismo, Talos ha observado distribución de campañas de malware que intentan tomar ventaja del interés público en Ucrania.
El interés global sobre la guerra en Ucrania se vuelve un evento noticioso conveniente y efectivo para ser explotado por los cibercriminales. Cisco Talos vio el mismo tipo de actividad cuando comenzó la pandemia y ahora lo está viendo en Ucrania. Los delincuentes, especialmente los cibercriminales, son oportunistas. Si un tema determinado utilizado como señuelo va a aumentar las posibilidades de que una víctima potencial caiga en su trampa, lo van a utilizar.
Esperamos que este tipo de comportamiento continue y probablemente aumente en los siguientes días y semanas. A medida que este conflicto avanza, un número creciente de cibercriminales va a tratar de explotarlo. Ya hemos visto una gran cantidad de estafas además de la entrega de malware por vías tradicionales como el correo electrónico. Este conflicto en particular es único en el sentido de que un ejército cibernético de simpatizantes de Ucrania creen estar realizando ataques contra entidades rusas usando un software que no entienden y que cuando lo reciben son infectados
Las organizaciones necesitan estar trabajando para detectar este tipo de actividad en su entorno. Si bien puede haber protección para evitar que ocurran estos ataques de malware, el riesgo de estafa es significante y puede ser difícil de bloquear, especialmente en el caso de correos corporativos maliciosamente utilizados (BEC, por sus siglas en inglés), donde cuentas de correo confiables envían mensajes con archivos maliciosos. Una forma de enfrentarlo es abordarlo en su propia telemetria, si corresponde, y tratar de localizar las amenazas a medida que ocurren. Recomendamos crear una lista de palabras para buscarlas activamente, asegurándose de incluir versiones cirílicas tanto en ucraniano como en ruso ya que también están siendo ampliamente atacadas por los cibercriminales.
Cisco Talos es la unidad de inteligencia en ciberseguridad de Cisco
Recursos adicionales
- Para conocer más sobre los ciberataques detectados y ejemplo de los mismos, visite https://blog.talosintelligence.com/2022/03/ukraine-invasion-scams-malware.html
- Para conocer lo que está realizando Cisco para apoyar a los clientes, partners y la comunidad en Ucrania visite https://www.cisco.com/c/m/en_us/crisissupport.html
- Para conocer más sobre Cisco Talos visite https://talosintelligence.com/
