La campaña de spam malicioso dirigida a organizaciones se multiplica por 10 en un mes y propaga el malware Qbot y Emotet

Los expertos de Kaspersky han detectado un crecimiento significativo de complejos correos electrónicos maliciosos dirigidos a organizaciones de varios países. Estos correos electrónicos se están distribuyendo como parte de una campaña coordinada que tiene como objetivo la propagación de Qbot y Emotet - dos notorios troyanos bancarios que funcionan como parte de redes de botnets. Ambas instancias de malware son capaces de robar los datos de los usuarios, recopilar datos en una red corporativa infectada, propagarse más allá en la red e instalar ransomware u otros troyanos en otros dispositivos de la red. Una de las funciones de Qbot es también acceder y robar correos electrónicos.

Aunque esta campaña lleva unos meses en marcha, su actividad aumentó rápidamente, pasando de unos 3.000 correos electrónicos en febrero de 2022 a unos 30.000 en marzo. Se han detectado correos electrónicos maliciosos en los idiomas inglés, francés, húngaro, italiano, noruego, polaco, ruso, esloveno y español.

La campaña de propagación del malware se estructura de la siguiente manera: los ciberdelincuentes interceptan la correspondencia ya existente y envían a los destinatarios un correo electrónico que contiene un archivo o un enlace, que a menudo conduce a un servicio de alojamiento en la nube popular legítimo. El objetivo del correo electrónico es convencer a los usuarios de que (i) sigan el enlace y descarguen un documento archivado y lo abran, a veces utilizando una contraseña mencionada en el correo electrónico, o (ii) simplemente abran un archivo adjunto del correo electrónico. Para convencer a los usuarios de que abran o descarguen el archivo, los atacantes suelen afirmar que contiene alguna información importante, como una oferta comercial.

Este documento archivado es detectado por Kaspersky como HEUR:Trojan.MSOffice.Generic. En la mayoría de los casos descarga y lanza una biblioteca dinámica Qbot, pero Kaspersky también ha observado que algunos de estos documentos descargan Emotet en su lugar.

Comentando la campaña, Andrey Kovtun, experto en seguridad de Kaspersky, dijo: "Imitar la correspondencia de trabajo es un truco común empleado por los ciberdelincuentes; sin embargo, esta campaña es más complicada, ya que los atacantes interceptan una conversación existente y esencialmente se insertan en ella, lo que hace que estos mensajes sean más difíciles de detectar. Aunque este esquema puede parecerse a los ataques de compromiso del correo electrónico empresarial (BEC-attacks) -en los que los atacantes se hacen pasar por un colega y mantienen una conversación con la víctima-, aquí los atacantes no se dirigen a personas concretas; la correspondencia empresarial es sólo una forma inteligente de aumentar las posibilidades de que el destinatario abra los archivos."

Para mantenerse a salvo de los ataques de Qbot y Emotet, Kaspersky recomienda lo siguiente:

• Comprobar la dirección del remitente. La mayor parte del spam procede de direcciones de correo electrónico que no tienen sentido o aparecen como un galimatías, por ejemplo, amazondeals@tX94002222aitx2.com o similares. Si pasas el ratón por encima del nombre del remitente, que puede estar escrito de forma extraña, podrás ver la dirección de correo electrónico completa. Si no estás seguro de si una dirección de correo electrónico es legítima o no, puedes introducirla en un motor de búsqueda para comprobarlo.
• Desconfiar del mensaje que crea una sensación de urgencia. Los remitentes de spam a menudo intentan ejercer presión creando una sensación de urgencia. Por ejemplo, la línea de asunto puede contener palabras como "urgente" o "se requiere una acción inmediata", para presionarle a actuar.
• Proporcionar a su personal una formación básica sobre higiene en ciberseguridad; también realizar un ataque de phishing simulado para asegurarse de que saben distinguir los correos electrónicos de phishing de los auténticos. 
• Utilizar una solución de protección para puntos finales y servidores de correo con funciones antiphishing, como Kaspersky Endpoint Security for Business, para disminuir la posibilidad de infección a través de un correo electrónico de phishing. 
• Instalar una solución de seguridad fiable como Kaspersky Secure Mail Gateway, que filtra automáticamente los mensajes de spam.

José Buitrago