Descargas falsas: los hackers camuflan instaladores maliciosos como productos de Microsoft, Razer y Kaspersky
Los ciberdelincuentes han lanzado una campaña que distribuye versiones maliciosas de programas populares haciéndolas pasar por descargas oficiales. Así lo han comunicado investigadores de Microsoft en un informe detallado. Los atacantes crean páginas falsas que se parecen a los sitios web de conocidas empresas tecnológicas y de software para convencer a los usuarios de que descarguen lo que supuestamente es el instalador que necesitan.
Microsoft relaciona la campaña con hackers chinos, posiblemente con el grupo Silver Fox, también conocido como Yinhu. Las descargas falsas imitan productos de Razer, Kaspersky, Microsoft, NetEase, Baidu NetDisk, oCam ScreenRecorder, SteelSeries, Calibre, MindMaster y otras empresas. La lista de marcas no es tan amplia por motivos estéticos: cuantos más nombres conocidos haya, más probabilidades hay de que alguien pulse «descargar» sin comprobar la fuente.
Las organizaciones que necesitan instalar programas de estos fabricantes reciben una versión infectada. Su función principal es crear una puerta trasera en el ordenador, es decir, un canal oculto de acceso remoto. A través de ella, los atacantes se afianzan en el sistema, mantienen el contacto con el dispositivo infectado y pueden enviarle órdenes y datos.
Tras instalarse, el programa malicioso crea tareas programadas de Windows para volver a ejecutarse después de reiniciar el equipo. También se introduce en procesos legítimos y se camufla entre la actividad normal del sistema. Además, debilita las protecciones de Microsoft Defender y Windows Update: crea una carpeta enorme excluida del análisis del antivirus y desactiva varios servicios relacionados con las actualizaciones.
Y la lista de disgustos no acaba ahí. El programa malicioso elimina las copias de seguridad y permite que los atacantes carguen en el dispositivo otras cargas útiles, como módulos adicionales de espionaje o control.
La mayoría de las víctimas detectadas se encuentran en China, aunque, según Microsoft, los atacantes actúan con bastante amplitud. Entre las organizaciones afectadas hay empresas de dispositivos médicos y centros sanitarios, fabricantes, estudios de videojuegos, compañías tecnológicas, empresas de logística, organismos públicos y universidades.
Microsoft ha declarado que su producto de protección Defender detectó y bloqueó actividad en distintas fases del ataque, incluso aislando automáticamente la amenaza mediante la función Attack Disruption. Pero confiar únicamente en el antivirus no basta: los ciberdelincuentes siguen contando con que la gente se fíe de los logotipos conocidos.
Para protegerse, Microsoft recomienda activar Tamper Protection, la protección contra cambios no autorizados en la configuración. Bloquea la creación de exclusiones y las modificaciones del registro de Microsoft Defender incluso cuando el código malicioso obtiene permisos SYSTEM, es decir, el nivel de acceso más alto de Windows.
También se recomienda a los especialistas buscar comportamientos sospechosos en lugar de nombres de archivo concretos: la creación de tareas programadas, la manipulación de procesos, la desactivación de servicios de protección y la eliminación de copias de seguridad. Además, conviene configurar alertas para detectar secuencias de acciones características de un intento de desactivar las protecciones, y considerar potencialmente maliciosos, al inspeccionar el tráfico web y el correo electrónico, los archivos comprimidos con programas que parezcan oficiales.
PEREC.RU
Microsoft ha informado de un ciberataque en curso en el que los atacantes crean páginas de descarga falsas y camuflan instaladores maliciosos como productos de conocidas empresas tecnológicas y de software. Entre las marcas imitadas figuran Razer, Kaspersky, Microsoft, NetEase, Baidu NetDisk, oCam ScreenRecorder, SteelSeries, Calibre, MindMaster y otras.
Los investigadores relacionan la campaña con hackers chinos, posiblemente con el grupo Silver Fox, también conocido como Yinhu. Las organizaciones que esperan descargar software legítimo reciben una versión infectada. Esta instala una puerta trasera, un canal oculto de acceso remoto que permite a los atacantes permanecer en el sistema, intercambiar órdenes con él y cargar otros componentes maliciosos.
El programa malicioso se mantiene en Windows mediante tareas programadas, se introduce en procesos legítimos e intenta ocultar su actividad. También debilita las protecciones integradas: crea una carpeta grande excluida de los análisis de Microsoft Defender y desactiva varios servicios de Windows Update. Además, elimina las copias de seguridad, lo que dificulta recuperar el sistema tras el ataque.
La mayoría de las víctimas detectadas son organizaciones chinas, aunque Microsoft cree que los atacantes podrían apuntar a un grupo más amplio. Entre las organizaciones afectadas o potencialmente expuestas hay centros sanitarios y empresas de dispositivos médicos, fabricantes, compañías de videojuegos, empresas tecnológicas y logísticas, organismos públicos e instituciones de educación superior.
Microsoft ha declarado que Defender detectó y bloqueó actividad maliciosa en varias fases del ataque, incluida la contención automática de la amenaza mediante Attack Disruption. Aun así, la empresa recomienda a las organizaciones reforzar sus propias medidas de protección.
La recomendación principal es activar Tamper Protection. Esta función impide que el código malicioso cambie la configuración de Microsoft Defender y las entradas del registro incluso cuando se ejecuta con permisos SYSTEM. También aconseja a los especialistas buscar patrones de comportamiento en vez de fijarse solo en los nombres de archivo: vigilar la creación de tareas programadas, la inserción en procesos, la desactivación de servicios de protección y la eliminación de copias de seguridad. Además, conviene configurar alertas para las secuencias de acciones que indiquen un intento de desactivar las protecciones y considerar potencialmente peligrosos, al inspeccionar el correo electrónico y el tráfico web, los archivos comprimidos con instaladores que parezcan oficiales.
