2018, máximo histórico de fallos de seguridad

Diciembre es un mes propicio para hacer recapitulaciones acerca de lo acontecido durante todo el año. Sin embargo, también es un mes que llegó cargado de incidentes de seguridad porque los delincuentes no dejan de actuar en estas fechas con acciones tan poco legales como los correos electrónicos fraudulentos, los intentos de estafa a través de videojuegos como Fortnite, o la sextorsión, entre otros problemas de seguridad analizados por ESET. Por otro lado, este 2018 alcanzó el máximo histórico de vulnerabilidades reportadas con más de 16.000, es decir, 46 al día.

A pesar de existir técnicas de infección mucho más elaboradas, el correo electrónico sigue siendo uno de los métodos de ataque preferidos por los delincuentes. La facilidad para generar campañas de envío masivas y el éxito razonable que éstas siguen teniendo son motivos más que suficientes para explicar el uso continuado del email para propagar amenazas.

Así pues, no es de extrañar que tres de los riesgos de seguridad más importantes del pasado mes de diciembre utilizasen el correo electrónico como puerta de entrada a los sistemas de sus víctimas. Por ejemplo, la última variante descubierta del troyano bancario Danabot, que parece haberse aliado con GootKit, otro conocido troyano, para ser aún más efectivo. Este troyano utiliza los sistemas que infecta para reenviar correos maliciosos a otros usuarios, por lo que su propagación se incrementa conforme aumenta el número de víctimas. Este problema ha tenido especial impacto en Polonia durante los últimos meses, aunque también ha afectado, en menor medida, a otros países.

Otro troyano bancario que se ha estado propagando durante las últimas semanas usando el correo electrónico ha sido Emotet. Se han detectado varias campañas que suplantaban a diferentes servicios online, entre los que se encuentra, por ejemplo, Amazon, donde se adjuntaban datos de la víctima, como su nombre y apellidos. Con este sistema los delincuentes intentaban que las víctimas abriesen un documento adjunto para descargar y ejecutar el malware propiamente dicho.

Otra de las amenazas más destacadas de este año han sido los correos de sextorsión que amenazan con difundir vídeos y fotografías comprometidos (que no existen) entre nuestros contactos. Desde mediados de año hemos visto varias campañas de este estilo aunque no contenían ningún tipo de malware, hasta la fecha. En las últimas semanas se han observado correos de este tipo con un enlace a un supuesto vídeo que, en realidad, contenía un ransomware que cifraba los archivos del sistema y pedía un rescate para poder recuperarlos.

Durante 2018 se ha experimentado un incremento de las vulnerabilidades del 9% respecto al año anterior.

Ningún resumen del 2018 estaría completo sin mencionar al videojuego del año. Fortnite: Battle Royale ha sido un fenómeno que ha ido más allá de unir a millones de jugadores y eso también ha sido aprovechado por los delincuentes. Sabedores de la importancia que este videojuego tiene, no han sido pocos los intentos de estafas, extorsión e instalación de malware entre sus seguidores.

Por un lado, tenemos el lanzamiento de Fortnite en dispositivos Android, que se retrasó varios meses con respecto a la versión para iOS y que provocó que Google Play se llenase de falsas aplicaciones, más aun cuando la desarrolladora decidió no distribuir el juego en la plataforma de Google. Además, el robo de cuentas y las estafas camufladas para conseguir potenciadores o importantes cantidades de la moneda usada en el juego están a la orden del día y los jugadores menos precavidos siguen cayendo en las trampas de este estilo preparadas por los delincuentes.

Mucho más peligrosos son los casos de acosadores que se aprovechan de la popularidad del juego para infiltrarse en grupos de jugadores prometiendo códigos o métodos para subir de nivel de forma sencilla. Tras ganarse la confianza de las víctimas, estos acosadores empiezan a solicitar el envío de imágenes privadas que luego utilizan para extorsionarles.

El año que dejamos atrás también ha sido el que más vulnerabilidades se han descubierto. Según los datos que maneja ESET hasta el pasado 28 de noviembre se habían publicado más de 16.000, lo que significa un incremento del 9% respecto al año pasado. Esto quiere decir que cada día del 2018 se han reportado 46 vulnerabilidades. Contrariamente a lo que se suele pensar, Windows no es el sistema operativo que más agujeros de seguridad presenta, ya que en Linux se han descubierto una mayor cantidad, aunque también se han de tener en cuenta la criticidad de estas vulnerabilidades. El problema es que nada hace presagiar que en 2019 se descubran menos fallos y que muchos de ellos quedarán sin resolver o no se aplicarán los parches correspondientes.

La buena noticia del mes es la publicación de varias herramientas de descifrado para otras tantas familias de ransomware. Entre estas familias encontramos a HiddenTear, un ransomware de código abierto y todas las variantes que se han desarrollado desde su publicación. Sin duda, una buena noticia para todos los afectados que podrán recuperar sus ficheros sin tener que pagar ni un euro a los delincuentes.

No pasa un mes sin que se detecten nuevas amenazas para dispositivos móviles, algo normal si tenemos en cuenta que la mayoría de usuarios los utiliza de forma constante. Un ejemplo lo tenemos en el troyano detectado por ESET que, camuflado como herramienta para optimizar el rendimiento de la batería, utiliza el servicio de accesibilidad para aprovecharse maliciosamente de la aplicación de PayPal (en el caso de que esté instalada) y, mediante la imitación de los clics del usuario, proceder a enviar dinero a la cuenta de PayPal del atacante.

Otras aplicaciones fraudulentas, esta vez en la App Store de Apple, fueron descubiertas por ESET haciéndose pasar aplicaciones de fitness. No obstante, la finalidad real de estas aplicaciones era la de intentar realizar pagos por un elevado valor. Para ello, los ciberdelincuentes utilizan la excusa de ofrecernos un contador de calorías y recomendaciones de dieta para que pongamos el dedo sobre el lector de huellas en aquellos dispositivos de Apple que cuenten con él. De esta forma, es probable que algunos usuarios realicen pagos sin darse apenas cuenta al pensar que están utilizando esta herramienta para mejorar su salud.