Durante la reciente conferencia de Virus Bulletin, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, presentó su análisis a varias campañas dirigidas a instituciones gubernamentales en Tailandia, a partir de 2023. La investigación reveló que estos ataques utilizaban componentes renovados del grupo de amenazas persistentes avanzadas (APT) Mustang Panda, de origen chino, e identificó un nuevo actor de amenazas, al que ESET denominó CeranaKeeper, que abusa de proveedores de servicios como Pastebin, Dropbox, OneDrive y GitHub para ejecutar comandos en equipos comprometidos y filtrar documentos confidenciales.

CeranaKeeper ha estado activo al menos desde principios de 2022, dirigiéndose principalmente a entidades gubernamentales de países asiáticos como Tailandia, Myanmar, Filipinas, Japón y Taiwán. Se destaca la incesante caza de datos del grupo, cuyos atacantes despliegan una amplia gama de herramientas destinadas a extraer la mayor cantidad de información posible de las redes comprometidas. 

Puntos clave de esta investigación son:

• El equipo de investigación de ESET descubrió un nuevo actor de amenazas de origen chino, CeranaKeeper, dirigido a instituciones gubernamentales en Tailandia. Algunas de sus herramientas fueron atribuidas previamente a Mustang Panda por otros investigadores.
• CeranaKeeper abusa de servicios en la nube y de intercambio de archivos populares y legítimos, como Dropbox y OneDrive, para implementar backdoors y herramientas de extracción personalizadas.
• El grupo actualiza constantemente su backdoor para evadir la detección y diversifica sus métodos para ayudar a la exfiltración masiva de datos.
• El grupo utiliza las funciones de solicitud de extracción y comentario de problemas de GitHub para crear un shell inverso sigiloso, aprovechando GitHub, una popular plataforma en línea para compartir y colaborar en código, como servidor de C&C.

«CeranaKeeper, el actor de la amenaza que está detrás de los ataques al gobierno tailandés, parece especialmente implacable, ya que la plétora de herramientas y técnicas que utiliza el grupo sigue evolucionando a gran velocidad. Los operadores escriben y reescriben su conjunto de herramientas según las necesidades de sus operaciones y reaccionan con bastante rapidez para seguir evitando ser detectados. El objetivo de este grupo es cosechar tantos archivos como sea posible y para ello desarrolla componentes específicos. CeranaKeeper utiliza la nube y servicios de intercambio de archivos para la exfiltración y probablemente se basa en el hecho de que el tráfico a estos servicios populares en su mayoría parecería legítimo y sería más difícil de bloquear cuando se identifica.», comenta Romain Dumont, Malware Researcher de ESET.

En la operación analizada por ESET, el grupo convirtió las máquinas comprometidas en servidores de actualización, ideó una novedosa técnica que utilizaba las funciones de solicitud de extracción y comentario de incidencias de GitHub para crear un shell inverso sigiloso, y desplegó componentes de recolección de un solo uso al recopilar árboles de archivos enteros. 

Desde ESET consideran que el uso de señuelos políticos y componentes PlugX es obra de MustangPanda. A pesar de algunas similitudes en sus actividades (objetivos de carga lateral similares, formato de archivo), observaron diferencias organizativas y técnicas entre los dos grupos, como diferencias en sus conjuntos de herramientas, infraestructura, prácticas operativas y campañas. También identificaron diferencias en la forma en que ambos grupos llevan a cabo tareas similares

«A lo largo de la investigación, ESET estableció fuertes conexiones entre los conjuntos de herramientas previamente documentados y los nuevos y un actor de amenazas común. La revisión de las tácticas, técnicas y procedimientos (TTP), el código y las discrepancias de infraestructura llevaron a creer que era necesario rastrear CeranaKeeper y MustangPanda como dos entidades separadas. Sin embargo, ambos grupos de origen chino podrían estar compartiendo información y un subconjunto de herramientas por un interés común o a través del mismo tercero.», agrega Dumont, de ESET.

Para un análisis más detallado de las herramientas desplegadas por CeranaKeeper, puede acceder al informe completo de ESET Research aquí.

En los últimos días, ha estado circulando vía WhatsApp una encuesta falsa que simula ser del supermercado Jumbo. ESET, compañía líder en detección proactiva de amenazas, analizó los pasos y las formas en que se lleva a cabo esta difusión, que resulta bastante convincente por su presentación. Es importante aclarar que la empresa, Jumbo, perteneciente al grupo chileno Cencosud, no tiene relación con estos mensajes y es también víctima de estas difusiones falsas.

«En gran cantidad de estafas, el denominador común es llamar la atención mediante un cierto sentido de urgencia que busca que el usuario sienta la presión de actuar rápido para no perderse una oportunidad. Se anuncian premios, oportunidades de trabajo que parecen un regalo, pero también infunden inquietudes de deudas, causas judiciales que hay que atender de inmediato, etc. Las excusas son variadas y van mutando hacia mensajes cada vez más convincentes gracias a la inteligencia artificial que los hacen mejor estructurados.», comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

En este caso, se advierte que todas las etapas finalizan en el pedido de compartir a todos los contactos la supuesta encuesta. Este tipo de difusiones, según ESET, dejan en evidencia la importancia de chequear la procedencia de los mensajes recibidos «sin solicitar», y de no hacer clic en enlaces que se reciban de forma sospechosa. En casos anteriores en el que se suplantó a la misma entidad, desde ESET se observó que los enlaces llevaban a la descarga de una aplicación maliciosa que robaba datos personales del usuario, o en otros casos, instalaban extensiones maliciosas.

El engaño comienza con lo que parece ser el anuncio de un premio, pasa a ser una breve encuesta,  luego un sorteo de un Iphone 15 y finalmente, para hacerse acreedor de ese premio, invita a la víctima a compartir la encuesta con todos sus contactos.

El primer contacto con la víctima es a través de un mensaje no solicitado en WhatsApp que anuncia un sorteo de premios especiales por Halloween, o algo similar: «Regalos de carnaval de Halloween», en este caso.

Una vez que se le da clic a la url que anuncia el premio falso, el botón para «reclamar regalo» abrirá una breve encuesta, convincente en su diseño gráfico y bien estructurada, como paso previo para obtener el supuesto regalo: un Iphone15. 

Una vez que el usuario termina la encuesta de 4 preguntas, llega el momento de participar de un sorteo por el regalo que supuestamente ya se había ganado. Para darle mayor sensación de veracidad al sorteo, simulan el comentario de una persona que asegura haber participado y dice haber recibido su Iphone15 en tiempo récord, «recibí el regalo en el mismo día», indica una falsa usuaria.

En la última etapa, cuando la web simula que finalmente el usuario salió beneficiado en el sorteo, como paso final el engaño pide compartir la encuesta a la mayor cantidad de contactos. Si bien el mensaje indica que hay que ingresar la dirección, al dar ok a la pantalla, lleva a la opción de compartir con los contactos, sin más.

Una vez que se compartió con el número suficiente de contactos, el proceso falso para reclamar el premio pide compartir con una mayor cantidad de personas a través de WhatsApp, con la excusa de que así se aceleraría un supuesto proceso de revisión.

Si se recibe un mensaje, sea por aplicaciones de mensajería instantánea, como WhatsApp o Telegram, o vía correo electrónico u otros, ESET comparte los siguientes consejos de seguridad para evitar ser víctima:

• Verificar la fuente del mensaje, y prestar especial atención si te invita a hacer clic en un enlace. 
• Desconfiar de mensajes que transmitan un sentido de urgencia, u ofrecen oportunidades fuera de lo común -demasiado buenas para ser verdad-.
• Ponerse en contacto con la entidad por sus canales oficiales, para corroborar la veracidad del mensaje, y reportar intentos de phishing.
• Nunca brindar datos personales o financieros, en comunicaciones que no se hayan iniciado, por más que parezcan ser de una fuente confiable.

Imagina que a solo unos días de entregar ese proyecto clave para tu carrera, de repente pierdes acceso a todas tus notas, tareas y trabajos de investigación. Un verdadero desastre. Este tipo de escenarios cada vez son más frecuentes en el mundo digital en nuestra actualidad; donde los ciberdelincuentes siempre están al acecho, buscando la oportunidad perfecta para atacar.

Estos ataques ponen en riesgo nuestra información personal y la estabilidad de empresas y organizaciones enteras.  La ciberseguridad se ha vuelto crucial en el mundo digital actual, especialmente con el auge del trabajo remoto y la transformación digital en empresas mexicanas y es una necesidad fundamental para proteger nuestro futuro en el ciberespacio.

Todos, tanto a nivel personal como empresarial, debemos actuar como verdaderos «firewalls humanos», adoptando prácticas responsables para mitigar los riesgos que existen en línea. Y en México, esta necesidad se vuelve aún más urgente. De acuerdo con los últimos reportes, ocupamos el segundo lugar en el ranking mundial de ciberataques, detrás de Colombia, que lidera la lista, y Brasil, que se encuentra en séptimo lugar.

En México, la situación es alarmante. Según el Cyberthreat Defense Report 2024, el 97% de las empresas sufrieron al menos un ciberataque exitoso en el último año. A nivel global, el porcentaje de empresas atacadas disminuyó de 84.7% a 81.5%, mientras que en México las cifras siguen en aumento. Este documento también destaca que Windows continúa siendo el sistema operativo más explotado por los ciberdelincuentes, especialmente en versiones sin soporte oficial, lo que deja a las empresas mexicanas aún más vulnerables. Se estima que el país enfrenta más de 85 millones de ataques cibernéticos al año, con un costo promedio de 2.8 millones de dólares para las empresas afectadas.

«El CERT-MX proyecta una demanda de 35,000 especialistas en ciberseguridad para 2025, enfocados principalmente en seguridad en aplicaciones, análisis de malware y respuesta a incidentes. El 65% de las organizaciones mexicanas reportan falta de personal cualificado en ciberseguridad. Se requiere un aumento del 80% en inversión en tecnologías de seguridad avanzadas», Expresó Sheila Reyes Guerrero, Directora académica de la Ingeniería en Ciberseguridad de Universidad AMERIKE.

Cada octubre, el mundo celebra el Mes de la Concientización sobre la Ciberseguridad, una iniciativa internacional que busca educar tanto a individuos como a empresas sobre la importancia de la seguridad en línea. Durante este mes, se invita a todos a reflexionar sobre la importancia de proteger sus datos y adoptar medidas para resguardarse contra los ciberataques.

Entre las principales necesidades de ciberseguridad en México se encuentran:

• Protección de infraestructura crítica nacional
• Seguridad en el sector de Fintech y banca digital
• Ciberseguridad en el sector salud y telemedicina
• Seguridad en la nube y en el comercio electrónico

Preparándonos para el futuro

El futuro de la ciberseguridad también traerá nuevos desafíos, como la protección de vehículos autónomos y la ciberseguridad en entornos de realidad virtual y aumentada. El desarrollo de criptografía post-cuántica será clave para mitigar las amenazas que surgirán con la computación cuántica; por ello, Universidad AMERIKE es una de las instituciones que prepara a los profesionales del futuro.

«El mercado laboral demanda cada vez más profesionales especializados en ciberseguridad, capaces de enfrentar amenazas digitales y proteger la infraestructura crítica; la formación en ciberseguridad, incluyendo certificaciones y actualización constante, es esencial para mantenerse al día en este campo dinámico», expresó Reyes Guerrero.

Cómo evitar ser víctima de ciberataques

Existen medidas básicas que todos podemos tomar para proteger nuestra vida digital:

• Utiliza contraseñas seguras: Cambia regularmente tus contraseñas y utiliza combinaciones complejas de letras, números y caracteres especiales.
• Mantén tu software actualizado: Las actualizaciones de seguridad corrigen vulnerabilidades, por lo que es crucial mantener todos tus dispositivos al día.
• Comparte el conocimiento: Ayuda a concientizar a tus amigos, familiares y colegas sobre la importancia de la ciberseguridad.
• Denuncia los ataques: Si caes víctima de un ciberataque, no dudes en denunciarlo a las autoridades correspondientes.
• Contrata o consulta a un especialista: Existen pocos profesionales en el rubro; por lo que encontrar a alguien experto te permitirá evitar estas situaciones, acércate a instituciones que se encarguen de profesionalizar a personas en la materia.

Proteger tu vida digital ya es parte de nuestro día a día. Al tomar medidas proactivas hoy, estarás resguardando tu información y tu futuro en el mundo digital.