Anteriormente asociado con los ataques nación-patrocinado como el gusano Stuxnet, el malware sin archivo ahora va la corriente principal. De acuerdo con un próximo Kaspersky Lab investigación, redes de al menos 140 Los bancos han sido infectados por el malware sin archivo que se basa en el diseño en memoria de permanecer casi invisible, según lo explicado por Arstechnica.
Teniendo en cuenta las dificultades en la detección de este tipo de ataques, el número de empresas afectadas es muy probablemente mucho mayor de lo inicialmente previsto. El despliegue de herramientas legítimas y bastante populares como PowerShell, Metasploit y Mimikatz para el proceso de inyección hace que la detección de casi imposible, investigadores señalan.
En una conversación con el experto en Arstechnica Kaspersky Lab Kurt Baumgartner dijo que "lo que es interesante aquí es que estos ataques están en curso a nivel mundial contra los propios bancos", añadiendo que en la mayoría de los casos los bancos no han sido preparados de manera eficaz y no pueden hacer frente a estos ataques. Las cosas se ponen aún peor que el anónimo 140 organizaciones se encuentran dispersos en todo el 40 diferentes paises, con nosotros, Francia, Ecuador, Kenia, y el Reino Unido siendo los cinco primeros territorios más selectivas.
Desafortunadamente, Kaspersky investigadores no fueron capaces de delinear quién está detrás de los ataques, y si es un solo grupo o varios compitiendo las. Porqué es eso? el malware sin archivo en combinación con los dominios de servidores de comando que por defecto no están asociados con ningún dato whois hace que el proceso de identificación bastante desafiante, si no totalmente imposible.
¿Cómo resultó Kaspersky Lab venir a través de estos hallazgos?
La amenaza sin archivo desplegado contra los bancos y las empresas fue descubierto por primera vez a finales de 2016. Esto es cuando el equipo de seguridad de un banco no identificado se encontró con una copia de medidor de Preter, un componente en la memoria de Metasploit, que reside dentro de la memoria física de un controlador de dominio de Microsoft, arstechnica dice. El equipo más tarde llegó a la conclusión de que el código Meterpreter se descargó y se inyecta en la memoria mediante comandos de PowerShell. El sistema también utiliza víctima herramienta de redes NETSH de Microsoft para el transporte de datos a los servidores controlados por los atacantes. Mimikatz se desplegó también para obtener privilegios de administrador.
Casi no hubo evidencia deja como los atacantes se escondieron los comandos de PowerShell en el registro de Windows. Todavía había alguna evidencia intacta la izquierda - en el controlador de dominio. Los investigadores creen que todavía estaba allí porque no había sido reiniciado antes de Kaspersky comenzó su examen. Finalmente, los investigadores fueron capaces de restaurar el código Meterpreter y Mimikatz para determinar que las herramientas fueron desplegados para recoger las contraseñas de los administradores de sistemas y para la administración remota de ordenadores huésped infectadas.
Estamos pensando en el denominador común en todos estos incidentes, los cuales resulta ser este uso extraño en la incorporación de PowerShell en el registro con el fin de descargar Meterpretor y luego llevar a cabo acciones a partir de ahí con las utilidades nativas de Windows y herramientas de administración del sistema.
En cuanto a cómo se iniciaron los ataques, aún no hay nada concreto, pero es posible que la inyección de SQL se utiliza junto con la orientación hazañas plugins de WordPress. Se esperan más detalles acerca de los ataques de malware sin archivo en abril, incluyendo detalles sobre cómo se desplegaron las infecciones de desviar dinero de cajeros automáticos.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: