Las actualizaciones de CrowdStrike generan malware y más a medida que los ataques se vuelven más fuertes

Los ciberdelincuentes lo utilizan Interrupción de CrowdStrike la semana pasada como medio de ataques de ingeniería social contra los clientes del proveedor de seguridad.

En las horas posteriores al evento que dejó en tierra aviones, cerró negocios, cerró instalaciones médicas y más, las autoridades nacionales de ciberseguridad en el A NOSOTROS, Reino Unido, CanadáY Australia Todos ellos fueron denunciados como actividades de phishing por parte de pequeños delincuentes. Esto es de esperarse después de cualquier acontecimiento noticioso nacional. Pero según Luigi Lenguito, director ejecutivo de BforeAI, estos ataques posteriores a CrowdStrike son más grandes y más específicos que los que suelen verse después de los principales informes de los medios.

Como referencia: “En el ataque de la semana pasada a Trump, vimos un aumento de 200 el primer día. [related cyber threats] y luego se estabilizó a 40 o 50 por día», dice. «Aquí estamos viendo un aumento tres veces mayor. Vemos entre 150 y 300 ataques por día. Yo diría que este no es el volumen normal para ataques relacionados con noticias».

Perfil de estafa de CrowdStrike

«La filosofía es: tenemos usuarios de estas grandes empresas que están perdidos porque sus computadoras no pueden conectarse a la nave nodriza y ahora están intentando conectarse. Esta es una oportunidad perfecta para que los ciberdelincuentes regresen a estas redes. » explica Lenguito.

Esto distingue claramente los ataques de phishing basados ​​en CrowdStrike de los ataques relacionados, por ejemplo, con el intento de asesinato de Trump. Están mucho más dirigidos a organizaciones afectadas por la interrupción y las víctimas potenciales tienen más conocimientos de tecnología y ciberseguridad que el ciudadano promedio.

Para lograr que estas personas entren, los atacantes se hacen pasar por la propia empresa, su equipo de soporte técnico o un competidor con sus propias “ofertas”.

La prueba está en Dominios de phishing y typosquatting registrado en los últimos días, como crowdstrikefix[.]com, actualización de Crowdstrike[.]com y www.microsoftcrowdstrike[.]com. Un investigador de seguridad identificado más de 2.000 dominios de este tipo que se han generado hasta el momento.

Estos dominios se pueden utilizar para distribuir malware como Archivo ZIP que pretende ser una revisión que se subió a un servicio de escaneo de malware el fin de semana pasado. El archivo ZIP contenido Secuestrador (también conocido como IDAT Loader), que a su vez es el CONSEJOS de RemCoEl archivo se informó por primera vez en México y contenía nombres de archivos en español, lo que sugiere que la campaña probablemente estaba dirigida a clientes de CrowdStrike en América Latina.

En otro casoLos atacantes distribuyeron un correo electrónico de phishing con temática de CrowdStrike con un archivo adjunto PDF de diseño primitivo. En el PDF había un enlace para descargar un archivo adjunto ZIP que contenía un archivo ejecutable. Una vez iniciado, el ejecutable pidió permiso a la víctima para instalar una actualización. Sin embargo, la actualización fue un fracaso. El grupo hacktivista pro Hamas “Handala” asumió la responsabilidady afirmó que como resultado “docenas” de organizaciones israelíes perdieron varios terabytes de datos.

Cualesquiera que sean las amenazas, afirma Lenguito, las empresas pueden protegerse mediante el uso de listas de bloqueo y herramientas de protección DNS y accediendo al soporte técnico sólo a través del sitio web y los canales de atención al cliente de CrowdStrike.

O tal vez simplemente puedan esperar. “Aún estamos en el principio, ¿no? Es probable que veamos una desaceleración en las próximas semanas. En general vemos que estas campañas suelen durar de dos a tres semanas”, afirma.