Los archivos ZIP y RAR son los más comunes para la distribución de malware, superando a los archivos Office por primera vez en tres años. Es lo que se desprende del informe HP Wolf Security Threat Insights, elaborado por HP.
Este documento proporciona un análisis de los ciberataques del mundo real, ayudando a las organizaciones a mantenerse al día de las últimas técnicas que los ciberdelincuentes utilizan para evadir la detección y vulnerar la seguridad de los usuarios.
Basándose en los datos de millones de dispositivos que ejecutan HP Wolf Security, la investigación descubrió que el 44% del malware se distribuyó dentro de archivos comprimidos -un 11% más que en el trimestre anterior-, en comparación con el 32% que se distribuyó a través de archivos de Office como Microsoft Word, Excel y PowerPoint.
El informe identificó varias campañas que combinaban el uso de archivos comprimidos con nuevas técnicas de contrabando de HTML (HTML smuggling)-en las que los ciberdelincuentes incrustan archivos comprimidos maliciosos en archivos HTML para eludir las soluciones de seguridad de correo electrónico y tras esto, lanzar el ataque.
Dirección de usuarios a falsos visores
Por ejemplo, las recientes campañas de QakBot y IceID utilizaban archivos HTML para dirigir a los usuarios a falsos visores de documentos online que se hacían pasar por Adobe. A continuación, se pedía a los usuarios que abrieran un archivo ZIP e introdujeran una contraseña para descomprimir los archivos, que luego desplegaban el malware en sus equipos.
Como el malware dentro del archivo HTML original está codificado y encriptado, la detección por parte de las soluciones de seguridad enfocadas en el correo electrónico u otras herramientas de seguridad es muy difícil. En su lugar, el atacante se basa en la ingeniería social, creando una página web convincente y bien diseñada para engañar a los usuarios y que inicien así el ataque abriendo el archivo ZIP malicioso.
En octubre, también se descubrió que los mismos atacantes utilizaban páginas falsas de Google Drive en un esfuerzo continuo por engañar a los usuarios para que abrieran archivos ZIP maliciosos.
“Los archivos son fáciles de cifrar, lo que ayuda a los ciberdelincuentes a ocultar el malware y a evadir soluciones tipo proxy, sandbox o soluciones de seguridad de correo electrónico basadas en la detección. Esto hace que los ataques sean difíciles de detectar, especialmente cuando se combinan con técnicas de contrabando de HTML. Lo interesante de las campañas de QakBot y IceID fue el esfuerzo realizado para crear las páginas falsas: estas campañas eran más convincentes que las que habíamos visto antes, lo que dificulta que la gente sepa en qué archivos puede confiar y en cuáles no”, explica Alex Holland, analista principal de malware del equipo de investigación de amenazas de HP Wolf Security.
