Resumen de Malware: Algo viejo, algo nuevo...

Hoy resumiremos algunas de las últimas tendencias en malware, incluidas las amenazas a los datos de Entra ID y el spoofing de empresas de IA. Además, revisaremos el archivo del pasado y comprobaremos una variante clásica de ransomware que sigue causando mucho daño casi 10 años después de su primera aparición en escena.

Ataques de pulverización de contraseñas contra Entra ID

Tipo: Variante de fuerza bruta

Herramientas: dafthack/DomainPasswordSpray, dafthack/MSOLSpray, iomoath/SharpSpray (todas disponibles en GitHub)

Actores de amenaza: APT28 aka IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, APT29 aka IRON RITUAL, IRON HEMLOCK, NobleBaron, Dark Halo, StellarParticle, NOBELIUM, UNC2452, YTTRIUM, The Dukes, Cozy Bear, CozyDuke, SolarStorm, Blue Kitsune, UNC3524, Midnight Blizzard, APT33 aka HOLMIUM, Elfin, Peach Sandstorm, Play

Como sugiere esa larguísima lista de actores de amenazas, el password spraying está ganando popularidad como método para acceder a redes objetivo. Una vez dentro, los atacantes pueden moverse lateralmente, encontrar y extraer datos de gran valor, insertar ransomware y otros tipos de malware, etcétera.

A diferencia de los métodos tradicionales de fuerza bruta, que bombardean cuentas específicas con intentos de acceso rápidos utilizando contraseñas generadas aleatoriamente, la pulverización de contraseñas utiliza una pequeña lista de contraseñas comunes (por ejemplo, "password", "1234", etc.), a baja frecuencia.

Los ataques de pulverización de contraseñas contra los sistemas Entra ID son cada vez más comunes, con una campaña reciente dirigida a unas 80 000 cuentas en tres continentes. Esto resalta la importancia de hacer cumplir el uso de contraseñas seguras y únicas y de proteger los datos de Entra ID con un sistema de copia de seguridad robusto.

Herramientas de GenAI falsas

Tipo: Phishing, troyano, malvertising

Herramientas: NoodlophileStealer, ransomware

Los actores de amenazas han aprendido a explotar el creciente interés por todo lo relacionado con la IA para crear una nueva generación de ataques. Están creando falsas herramientas de IA generativa que ocultan malware y lo distribuyen mediante malvertising y phishing.

El malware oculto suele consistir en un stealer (NoodlophileStealer es particularmente común) y se utiliza para encontrar y exfiltrar datos financieros y otros datos confidenciales.

Como siempre, la concienciación sobre la seguridad —y una gran dosis de escepticismo ante las nuevas herramientas que aún no son ampliamente conocidas— es clave para prevenir estos ataques.

Recuerdo del pasado: WannaCry

Tipo: Ransomware, Gusano

Visto por primera vez en el entorno: mayo de 2017

Exploits utilizados: EternalBlue, DoublePulsar

Actores de amenaza: El Grupo Lazarus (vinculado a Corea del Norte)

En 2017, WannaCry (también conocido como WCry, WanaCryptor) tomó al mundo por asalto y marcó el comienzo de la era moderna del ransomware, infectando aproximadamente 200 000 ordenadores en solo los primeros dos días del ataque. Microsoft, trabajando junto con varias empresas de ciberseguridad, se apresuró a proporcionar un parche de Windows que activaba un interruptor de apagado que los analistas habían descubierto dentro del malware. No obstante, el ataque generó miles de millones de dólares en pagos de rescate cuando terminó.

Una innovación clave de WannaCry es que tenía capacidades de gusano. No solo buscaba y cifraba datos críticos dentro de su entorno de destino, sino que también tenía la capacidad de inyectar copias de sí mismo en otros ordenadores conectados, lo que le permitía propagarse a una velocidad sin precedentes.

Las variantes más nuevas de WannaCry siguen atacando los sistemas de todo el mundo y carecen del interruptor de apagado que las primeras intervenciones podían aprovechar. Si bien no está entre los tipos de malware más utilizados, Any.Run informa de 227 tareas detectadas solo en julio de 2025.

Es un recordatorio útil de que el malware antiguo nunca muere y ni siquiera desaparece realmente. Mantenga sus sistemas parcheados y su seguridad actualizada.