2024.09.21. The Fair Economy — Potatonet, especialista en detección de la deep web, reveló recientemente los resultados del análisis de casos de deep web maliciosa, señalando que esta se está aprovechando para distribuir malware.
El malware ya no es el monopolio de los expertos en TI. Incluso un principiante en programación puede crear y difundir malware con facilidad si cuenta con algunas herramientas. A medida que el ciberdelito se vuelve cada vez más popular, su escala e impacto crecen exponencialmente.
Una gran cantidad de malware puede encontrarse en la deep web.
La deep web se refiere a las áreas ocultas de la web a las que no se puede acceder mediante motores de búsqueda habituales, y se distingue de la dark web. La deep web maliciosa, que es explotada para ataques cibernéticos, a diferencia de la dark web, puede accedarse por métodos habituales a través de un navegador web, lo que permite al usuario descargar malware con solo hacer clic.
Los atacantes maliciosos se aprovechan de la deep web para distribuir malware. El malware oculto generalmente no es visible a simple vista y no puede detectarse a través de enlaces conectados a sitios web normales.
Potatonet analizó recientemente casos de deep web maliciosa para confirmar estos hechos.
El primer sitio de deep web maliciosa analizado es 'https://e***s.ro'.
Al acceder a dicho sitio web, se muestra una página en blanco sin contenido. Sin embargo, el código fuente contiene numerosos enlaces a sitios de phishing disfrazados de encuestas. Se ocultaron mediante la configuración display:none para que los enlaces de phishing no fueran visibles. Estos enlaces de phishing aparecen y desaparecen repetidamente hasta que, en algún momento, se activan.
En el sitio web disfrazado de página en blanco existía malware de deep web. En la URL proporcionada al usuario, el malware se descarga automáticamente. El análisis del malware descargado, como 'ord.exe' o 'kin.exe', reveló que intenta elevar privilegios en el PC del usuario y roba datos sensibles, como información detallada del equipo. Se trata de un tipo de troyano (Trojan/Win32.Formbook) que utiliza la información recopilada para controlar el sistema.
El siguiente sitio de deep web maliciosa analizado es 'https://file*****.vercel.app'.
Dicho sitio web opera utilizando el servicio de alojamiento Vercel. En la página principal aparece un 'error 404' que indica que no se puede mostrar la página web, por lo que no es posible verificar el contenido interno del sitio.
En la deep web de dicho sitio web había malware llamado 'windows.exe'. Este malware ejecuta una carga maliciosa y evade la detección de antivirus mediante ofuscación y detección de actividad del usuario. Además, recopila información detallada del PC para robar datos sensibles. Es un tipo de troyano (trojan/lummastealer) que recibe comandos a través de canales cifrados para controlar el sistema.
Se estima que dicho malware se aprovechó del servicio de alojamiento gratuito de Vercel. Los servicios de alojamiento gratuito ofrecen un entorno en el que se pueden mantener ataques desde múltiples direcciones IP y diversas ubicaciones sin carga de costos. Por lo tanto, en los casos de servicios de alojamiento que no exigen una verificación exhaustiva de la identidad, el atacante puede mantener el anonimato mientras distribuye malware.
Los dos sitios web analizados son puntos de distribución de malware de deep web y pueden ser utilizados también como servidores C&C.
Potatonet declaró: "Dado que la deep web es difícil de rastrear con facilidad, al igual que la web común, la detección y el bloqueo del malware son mucho más difíciles. Para rastrear y bloquear el malware oculto en la deep web, como en los casos analizados, se requiere una estrategia de seguridad sofisticada y una atención minuciosa. Los expertos en seguridad deben establecer una vigilancia continua y medidas de respuesta frente al malware oculto en la deep web. Es importante vigilar las nuevas rutas por las que el malware se distribuye sigilosamente y analizar los patrones de los atacantes que operan en la deep web. Es esencial bloquear estas amenazas con antelación mediante refuerzos de seguridad y medidas preventivas".
0 comentarios
Aún no hay comentarios.