El Informe de Amenazas Q2/2022 de Avast reveló un aumento significativo de los ataques globales de ransomware, un 24% más que en el Q1/2022. Los investigadores también descubrieron un nuevo exploit de día cero en Chrome, así como señales de cómo los cibercriminales se están preparando para alejarse de las macros como vector de infección.

Tras meses de descenso, los ataques de ransomware a nivel mundial aumentaron significativamente en el segundo trimestre de 2022 un 24% más que en el trimestre anterior. Los mayores incrementos intertrimestrales en el ratio de riesgo de ransomware se produjeron en Argentina (+56%), Reino Unido (+55%), Brasil (+50%), Francia (+42%) e India (+37%). En el caso de México, el alza entre Q1 y Q2 fue del 14%.

“Los consumidores, pero sobre todo las empresas, deben estar en guardia y preparados para los encuentros con el ransomware, ya que la amenaza no va a desaparecer pronto”, señaló Jakub Kroustek, director de Investigación de Malware de Avast. Agregó: “el descenso de los ataques de ransomware que observamos en el cuarto trimestre de 2021 y en el primer trimestre de 2022 fue gracias a que las fuerzas del orden arrestaron a los miembros del grupo de ransomware, y fue causado por la guerra en Ucrania, que también provocó desacuerdos dentro del grupo de ransomware Conti, deteniendo sus operaciones. Las cosas cambiaron drásticamente en el segundo trimestre de 2022. Los miembros de Conti se han ramificado para crear nuevos grupos de ransomware, como Black Basta y Karakurt, o pueden unirse a otros grupos existentes, como Hive, BlackCat o Quantum, provocando un repunte de la actividad”.

Explotaciones de día cero

Los investigadores de Avast descubrieron dos nuevos exploits de día cero utilizados por el proveedor israelí de software espía Candiru para atacar a periodistas en el Líbano, entre otros. El primero era un fallo en WebRTC, que fue explotado para atacar a los usuarios de Google Chrome en ataques muy selectivos de watering hole, pero también afectó a muchos otros navegadores. Otro exploit permitió a los atacantes escapar de un sandbox en el que cayeron tras explotar el primer día cero. El segundo día cero descubierto por Avast fue explotado para entrar en el kernel de Windows.

Otro día cero descrito en el informe es Follina, un fallo de ejecución remota de código en Microsoft Office, que fue ampliamente explotado por atacantes que van desde ciberdelincuentes hasta grupos APT vinculados a Rusia que operan en Ucrania. El día cero también fue aprovechado por Gadolinium/APT40, un conocido grupo APT chino, en un ataque contra objetivos en Palau.

Macros bloqueadas por defecto

Microsoft está bloqueando por defecto las macros VBA en las aplicaciones de Office. Las macros han sido un popular vector de infección durante décadas. Fueron utilizadas por las amenazas descritas en el Informe de Amenazas Q2/2022, incluyendo troyanos de acceso remoto como Nerbian RAT, una nueva RAT escrita en Go que surgió en Q2/2022, y por el grupo Confucius APT para dejar caer más malware en los ordenadores de las víctimas.

“Ya hemos observado que los actores de las amenazas empiezan a preparar vectores de infección alternativos, ahora que las macros están siendo bloqueadas por defecto. Por ejemplo, IcedID y Emotet ya han empezado a utilizar archivos LNK, imágenes ISO o IMG y otros trucos compatibles con la plataforma Windows como alternativa a los maldocs para propagar sus campañas”, finalizó Jakub Kroustek.