SECURITY REIMAGINED PRINCIPALES PALABRAS QUE SE UTILIZAN EN LOS ATAQUES DE PHISHING:

Transcripción

1 INFORME PRINCIPALES PALABRAS QUE SE UTILIZAN EN LOS ATAQUES DE PHISHING: selectivo para conseguir el acceso a las redes empresariales y robar los datos SECURITY REIMAGINED

2 CONTENIDO Resumen ejecutivo...3 Introducción... 3 Nombres de archivos...4 Las 5 extensiones de archivo más utilizadas...6 Conclusión... 7 Acerca de FireEye

3 Resumen ejecutivo Gracias a la ineficacia de los sistemas de protección de las víctimas y a las acciones involuntarias de los usuarios finales, en la actualidad los ciberdelincuentes consiguen distribuir malware avanzado que ataca sistemas y facilita una serie de actividades maliciosas. Una buena parte de este malware avanzado llega a través del correo electrónico mediante archivos adjuntos maliciosos. Este informe ofrece un análisis de la naturaleza de los archivos que distribuyen los ciberdelincuentes, con especial atención a los que consiguen atravesar las defensas de seguridad tradicionales, como firewalls, firewalls de próxima generación, sistemas de prevención de intrusiones (IPS), antivirus (AV) y puertas de enlace seguras. Incluye además una descripción de las palabras que se utilizan con más frecuencia en los nombres de archivo y los tipos de archivos más característicos de esta clase de malware avanzado, con pistas clave para los usuarios y los equipos de seguridad que buscan protección contra las amenazas avanzadas. Introducción A pesar de todas las medidas de seguridad diseñadas para proteger las comunicaciones por correo electrónico, este canal sigue representando un terreno fértil para los ciberdelincuentes, además de un área de vulnerabilidad para la mayoría de las empresas. Las comunicaciones por correo electrónico representan una de las vías de ataque más utilizadas. Los riesgos que presentan estos ataques no son insignificantes. El correo electrónico no es solo la vía de entrada de spam y malware distribuido de forma masiva, sino que además es un medio de inicio de ataques mediante amenazas persistentes avanzadas (APT). GhostNet, Night Dragon, Operación Aurora o el ataque contra RSA, entre otras muchas amenazas avanzadas persistentes que se han hecho públicas, han sido iniciadas, al menos en parte, mediante el uso de mensajes de correo electrónico de phishing selectivo. La realidad es que los ciberdelincuentes siguen utilizando este modo de ataque porque funciona. En el último Informe de amenazas avanzadas de FireEye para la primera mitad de 2012, FireEye informaba de un aumento del 56 % en la cantidad de mensajes de correo electrónico maliciosos entre el primer y el segundo trimestre de Es importante destacar que dicho aumento no corresponde al número total de mensajes maliciosos distribuidos; es un incremento del número de mensajes que atraviesan las defensas de seguridad tradicionales de las empresas. FireEye se encuentra en una posición privilegiada para explicar esta actividad de ataques avanzados selectivos. Cientos de clientes en todo el mundo han desplegado FireEye Malware Protection System (MPS). Las soluciones de FireEye se instalan detrás de los firewalls, los firewalls de próxima generación, las soluciones de prevención de intrusiones, los antivirus y otras puertas de enlace de seguridad, y representan la última línea de defensa para las empresas. Incluyen dispositivos que recopilan de manera automática información sobre las amenazas que puede combinarse, analizarse y compartirse. Gracias a estas soluciones, FireEye es capaz de informar sobre la naturaleza de las amenazas avanzadas. Este informe se centra en las características del malware avanzado que se distribuye a través de archivos adjuntos del correo electrónico y que sortea las medidas de protección tradicionales. A través de los datos que presenta, ofrece un análisis esencial de las características del malware avanzado y las tácticas de los ciberdelincuentes, para que los equipos de seguridad y los usuarios puedan entender mejor la naturaleza de las amenazas en la actualidad. Es importante subrayar que los hallazgos descritos corresponden a amenazas avanzadas que consiguen sortear los mecanismos de seguridad existentes. Dicho de otro modo, hay bastantes probabilidades de que este tipo de malware llegue pronto a su bandeja de entrada, si es que no lo ha hecho ya. 3

4 Nombres de archivos Cuando los ciberdelincuentes distribuyen archivos maliciosos, su propósito es engañar a algún destinatario desprevenido para conseguir que los descargue o instale en su computadora. Para conseguirlo, emplean toda una gama de tácticas. Las palabras que se usan en estos nombres de archivos ofrecen pistas claras sobre las estrategias que emplean los ciberdelincuentes y que han demostrado ser eficaces. En la tabla siguiente se incluyen las palabras más utilizadas en los archivos maliciosos que han detectado las soluciones de FireEye. Se trata de términos que utilizan los agresores para evadir las defensas de seguridad de TI tradicionales. Puesto 2.ª mitad de 2011 Palabra Porcentaje de adjuntos 1 label (etiqueta) invoice (factura) post (poste) document (documento) postal calculations (cálculos) copy (copia) fedex statement (declaración) ffinancial (financiera) dhl usps notification (notificación) n Hacienda ups no delivery (entrega) ticket 2.60 Puesto 1.ª mitad de 2012 Palabra Porcentaje de adjuntos 1 dhl notification (notificación) delivery (entrega) express label (etiqueta) shipment (envío) ups international (internacional) parcel (paquete) post confirmation (confirmación) alert (alerta) usps report (informe) jan2012 (ene 2012) april (abril) idnotification (notificación de id) ticket shipping (envío) 2.92 *Note: En estas tablas se incluye una lista de los porcentajes de términos utilizados en archivos adjuntos maliciosos, detectados por dispositivos FireEye MPS. Nota: dado que un solo adjunto malicioso puede incluir varios términos, la suma de los porcentajes no será igual al 100 %.. 4

5 2.ª mitad de ª mitad de 2012 Tema Porcentaje total Tema Porcentaje total Postal 19,20 Banca/Impuestos 5,98 Urgencias 1,72 Aerolíneas 1,81 Facturación 4,98 Postal 26,33 Banca/Impuestos 3,83 Urgencias 10,68 Aerolíneas 2,45 Facturación 0,68 *Note: Estas tablas resumen las 5 categorías más habituales de términos utilizados en adjuntos de correo electrónico maliciosos. Un método utilizado por los ciberdelincuentes para engañar a los usuarios es enviar archivos que supuestamente son notificaciones sobre envíos rápidos. Además de muy habituales, estos servicios son intrínsecamente importantes y urgentes, por lo que los usuarios se ven obligados a abrir los archivos maliciosos con este tipo de nombres. Esta artimaña es una de las más populares. Los términos relacionados con envíos por correo representan más del 26 % de las palabras que componen los nombres de archivos maliciosos, y son 7 de las 10 palabras más utilizadas identificadas en la primera mitad de Nombres de archivo como DHL document.zip, Fedex_Invoice. zip y Label_Parcel_IS US.zip son muestras de los términos preferidos por los delincuentes. Entre la segunda mitad de 2011 y la primera mitad de 2012, se identificaron varias tendencias. Por ejemplo, el porcentaje de nombres de archivos que emplean palabras relacionadas con envíos ha crecido del 19,20 al 26,33 %. Además, el número de archivos que utilizan palabras asociadas a la urgencia ha crecido del 1,72 al 10,68 %. A continuación se citan algunas otras categorías también habituales: Urgencias. Las palabras relacionadas con una situación de urgencia, como confirmation (confirmación), alerta (alerta) y notification (notificación), representan la segunda categoría de palabras más utilizadas. Dichas palabras se pueden utilizar solas, pero también se observan con frecuencia junto a otras categorías, como envíos; por ejemplo, UPS-Delivery-Confirmation-Alert April-2012_ zip, o impuestos, como IRS-Penalty-Income-Tax- Warning-Notification-28306SUD4811L9JS.zip. Finanzas. Las referencias a instituciones financieras y a las transacciones, y comunicaciones asociadas también son frecuentes. A continuación se incluyen algunos nombres de archivos representativos: VisaCard -N zip, PayPal.com_2012_Account_Update_Form.html y Lloyds TSB - Login Form.html. 5

6 Impuestos. También abundan las referencias a impuestos y a Hacienda, con nombres de archivocomo Tax_Refund.zip, irspdf.zip y tax_return_form.pif. Viajes. Muchos nombres de archivo que aparentemente corresponden a información de viajes, como reservas de vuelos, representan otra categoría habitual que utiliza nombres de archivo como Ticket_American_Airlines_ ID zip, Delta_Air_Lines_Ticket_ ID zip y A_Airline_Ticket_ID US.zip. Facturación. Esta categoría incluye términos que hacen referencia a facturas, órdenes de compra y documentos similares. A continuación se citan algunos ejemplos de archivos detectados: Purchase Order zip, Invoice_ID zip e Invoice_Copy.zip. Las 5 extensiones de archivo más utilizadas En lo que respecta a las extensiones de los archivos maliciosos, los ciberdelincuentes siguen variando sus métodos en función de los cambios en los mecanismos de defensa y seguridad. Como tendencia clara se puede destacar que se alejan de los archivos.exe. Tradicionalmente, el grueso de los adjuntos maliciosos correspondía a este tipo de archivos. Sin embargo, en la actualidad solo una pequeña parte de los archivos.exe atraviesan las barreras de seguridad. Además, estos archivos suelen generar un aviso del sistema operativo de la computadora del usuario, para que éste reconozca y acepte su instalación, lo que reduce las probabilidades de éxito del ataque. Actualmente, los archivos.zip representan la gran mayoría de los archivos maliciosos avanzados: un 76,91 %. La complejidad de estos adjuntos, que pueden contener muchos archivos diferentes de distintos tipos, junto a la falta de concienciación del usuario acerca del peligro de estas extensiones, les ha convertido en un medio muy eficaz para distribuir malware y atacar con éxito los sistemas. Los archivos PDF también suponen una amenaza importante. Este tipo de archivos es muy frecuente y lo utilizan prácticamente todos los usuarios de computadoras. Además, muchos usuarios desconocen el hecho de que se puede distribuir malware a través de archivos PDF y que es difícil para las defensas convencionales detectar el malware incrustado en ellos. Por todos estos motivos, los PDF ofrecen a los ciberdelincuentes un medio muy eficaz de ataque. 2.º semestre de er semestre de 2012 Extensions Percent Topic Percent Total zip exe 5.91 pif 2.67 scr 2.06 bat 1.79 zip pdf exe 3.98 doc 2.67 pif 1.09 *Note: Estas tablas incluyen los porcentajes relativos de extensiones de archivos utilizadas en archivos maliciosos detectados por los dispositivos FireEye MPS. 6

7 Conclusión Mediante el empleo de términos propios de contextos importantes y que normalmente requieren una cierta urgencia avisos de envíos rápidos, formularios de devoluciones de impuestos, extractos de cuentas, confirmaciones de vuelos, etc. los ciberdelincuentes apremian a sus víctimas para que no demoren la descarga de malware que ponga en peligro sus sistemas. Vista la reducida eficacia de los archivos.exe, hoy día los ciberdelincuentes emplean archivos.zip, PDF y de otros tipos para sortear las defensas de seguridad tradicionales. Para protegerse contra estas amenazas, los usuarios deben estar informados sobre los peligros del malware avanzado y las formas que adopta en la actualidad. Además, los equipos de seguridad necesitan tecnologías avanzadas que puedan detectar y detener las amenazas avanzadas que son capaces de atravesar sus defensas convencionales. Los usuarios deben disponer de una formación adecuada que les permita detectar los mensajes de correo electrónico de phishing selectivo, especialmente sobre cómo se escriben según las prácticas de las redes sociales para parecer auténticos y sobre los peligros que entrañan. Para detectar y bloquear estos ataques selectivos avanzados, las empresas recurren a la seguridad contra amenazas de próxima generación que les protege contra ataques que sortean las defensas de seguridad de TI tradicionales. Acerca de FireEye FireEye es líder en la lucha contra ataques selectivos avanzados que utilizan malware avanzado, exploits desconocidos (zero-day) y tácticas de amenazas persistentes avanzadas. Las soluciones de FireEye complementan los firewalls tradicionales y de próxima generación, las soluciones de prevención de intrusiones, los antivirus y las puertas de enlace, que son incapaces de detener las amenazas avanzadas, dejando vacíos de seguridad en las redes. FireEye ofrece la única solución del sector que detecta y bloquea ataques que llegan a través de la Web y el correo electrónico, así como el malware latente que se hospeda en los recursos compartidos. Actúa en todas las fases del ciclo de vida de un ataque con un motor que no emplea firmas y que utiliza análisis con información de estado para detectar las amenazas desconocidas. Con sede en Milpitas, California, FireEye cuenta con el respaldo de destacados socios financieros, como Sequoia Capital, Norwest Venture Partners y Juniper Networks. FireEye, Inc McCarthy Blvd. Milpitas, CA FIREEYE ( ) LATAM@fireeye.com FireEye, Inc. Reservados todos los derechos. FireEye es una marca comercial de FireEye, Inc. Todas las demás marcas, productos o nombres de servicios son o pueden ser marcas comerciales o marcas de servicios de sus respectivos propietarios. RPT.TWSP.ES-MX