Publi


Los piratas informáticos están intentando robar las criptomonedas de los usuarios de Zoom a través de un complejo esquema de distribución de malware basado en phishing, según un ingeniero de ciberseguridad. En un hilo de Twitter a principios de esta semana, un ingeniero de ciberseguridad seudónimo y coleccionista de NFT, NFT_Dreww.eth, llamó la atención sobre el nuevo esquema. «Los estafadores se están volviendo extremadamente sofisticados y han desarrollado sus tácticas para hacerse pasar por Zoom que, si se descarga, se lleva todo de su dispositivo… Más de $ 300K robados hasta ahora…», escribió. Drew explicó que los delincuentes generalmente se acercan a las posibles víctimas con alguna oportunidad inventada. Los ejemplos dados son afirmar que quieren licenciar su propiedad intelectual, traerlos como invitados a un espacio de Twitter, pedirles que sean inversores ángeles o se unan al equipo de su proyecto. Luego insisten en discutir la oportunidad a través de Zoom, lo que les da a los estafadores la oportunidad de compartir el enlace malicioso. Los atacantes también usan tácticas de alta presión, como enviar una captura de pantalla de una llamada de Zoom llena de personas esperando a la víctima.

Incluso si la víctima tiene instalado Zoom, la página de apariencia legítima mostrará una pantalla de carga mientras descarga ZoomInstallerFull.exe. Pero en realidad es el malware haciéndose pasar por un instalador de Zoom el que luego solicitará a la víctima que acepte los términos y condiciones que los usuarios de Windows están acostumbrados a ver cuando instalan un nuevo software. Una vez que se completa la «instalación», la página de carga de llamadas sigue girando hasta que en algún momento redirige a la víctima al sitio web legítimo de Zoom. Drew concluyó que esto tiene como objetivo hacer que «parezca que fue solo un error o que tardó una eternidad en cargarse». Cuando esto sucede, el malware ya se ha ejecutado y ha completado su función. Cuando se ejecuta el archivo, el malware se ejecuta inmediatamente y se aloja en la lista de exclusión de Windows Defender, lo que hace que Windows no pueda bloquearlo. En este punto, el malware comienza a ejecutar su carga útil y a extraer información del usuario mientras la víctima está ocupada mirando la pantalla de la videollamada que se está cargando y aceptando términos y condiciones falsos. Drew destacó que, en este caso, el software de detección de virus podría no detectar este tipo de malware. «Cuando se trata de malware a este nivel, a menudo las herramientas no lo detectan, como Virus Total», escribió. «Todas estas herramientas están pensadas como una verificación y no deben considerarse como una fuente de verdad, Virus Total es genial, pero si no eres específico en lo que estás buscando, puede terminar lastimándote». Artem Irgebaev, Smart Contract Triager en Immunefi, dijo a Decrypt que «la efectividad del antivirus depende de si ese malware fue cifrado antes de ser enviado al objetivo. Yo diría que, en la mayoría de los casos, no es efectivo en absoluto, ya que los actores de amenazas preparan sus ataques contra objetivos de alto valor y cifran su malware antes de interactuar con la víctima potencial». Sudipan Sinha, colaborador principal de RiskLayer y director ejecutivo de Chainrisk Labs, destacó además que «confiar únicamente en el antivirus “El software antivirus tiene sus defectos”, explicó, y añadió que “los exploits de día cero, que son completamente nuevos y desconocidos para las bases de datos antivirus, plantean un desafío importante. Además, el software antivirus no puede proteger contra tácticas de ingeniería social que engañan a los usuarios para que descarguen malware sin saberlo. Por lo tanto, si bien el software antivirus es un componente vital de la defensa de la ciberseguridad, la protección integral contra ataques sofisticados a menudo requiere capas adicionales de medidas de seguridad y concienciación del usuario”.

Publicidad

Enlaces de zoom realistas

El formato de los enlaces utilizados en esta campaña de phishing se parece mucho a los enlaces legítimos de Zoom. Como explicó Drew, Zoom utiliza el dominio zoom.us con subdominios basados ​​en la ubicación, y un usuario con sede en EE. UU. podría ser redirigido a us02web.zoom.us. Los enlaces maliciosos, por otro lado, utilizan el subdominio zoom del dominio us50web.us. A primera vista, el resultado zoom.us50web.us puede parecer legítimo, en gran parte gracias al confuso esquema de nombres de los dominios y subdominios de Zoom. Por otra parte, Drew también cita el dominio us50web-zoom.us como ejemplo.

“Es muy importante saber que un “-” no convierte algo en un subdominio, sino que forma parte de un dominio de nivel superior, lo que engaña a mucha gente”, explicó. Drew destacó que se necesita mucha atención para no caer en un ataque de ingeniería social como este. “Es extremadamente fácil caer en esto… Dudo que el 80% de las personas verifiquen cada carácter en un enlace que se envía, especialmente un enlace de Zoom”, concluyó Drew. Del mismo modo, Irgebaev señaló que “utilizar un dominio falso de Zoom es muy creativo, lo que aumenta la cantidad de personas que probablemente sean engañadas para descargar malware”.

Los delitos relacionados con las criptomonedas no son nada nuevo

Como se informó a principios de esta semana, la última evaluación de la amenaza del crimen organizado en Internet de Europol mostró que el delito criptográfico sigue evolucionando. Además, los investigadores sugieren que solo va a empeorar, ya que el cifrado y la descentralización hacen que la privacidad esté cada vez mejor protegida: «La descentralización, la tecnología blockchain y las redes P2P seguirán brindando oportunidades a los delincuentes cibernéticos, ya que facilitan la realización de transacciones de forma anónima y fuera de la vista de las autoridades», escribieron los autores. Editado por Stacy Elliott.

Boletín informativo diario

Comience cada día con las principales noticias del momento, además de artículos originales, un podcast, videos y mucho más.

Artículos relacionadosMás del autor