Hola, soy Pablo López
especialista SEO WordPress Marketing

Hackers usan Google Sheets para controlar malware

Una reciente investigación ha revelado una sofisticada campaña de ciberespionaje que emplea Google Sheets como herramienta de comando y control para malware personalizado. Esta técnica innovadora permite a los ciberatacantes comunicarse discretamente con el malware, utilizando la infraestructura legítima de Google para evadir la detección. Los atacantes han diseñado un sistema en el que el malware se conecta a Google Sheets para recibir instrucciones y enviar datos, aprovechando el tráfico aparentemente normal hacia los servidores de Google.

La actividad, detectada por Proofpoint a partir del 5 de agosto de 2024, se hace pasar por autoridades fiscales de gobiernos de Europa, Asia y Estados Unidos, con el objetivo de atacar a más de 70 organizaciones de todo el mundo mediante una herramienta a medida llamada Voldemort que está equipada para recopilar información y entregar cargas útiles adicionales.

Funcionamiento del Ataque

Esta campaña de ciberespionaje no se ha atribuido a un agente de amenazas concreto. Se han enviado hasta 20.000 mensajes de correo electrónico como parte de los ataques.

Los ciberatacantes configuran hojas de cálculo en Google Sheets, a las que el malware se conecta periódicamente para recibir nuevas órdenes o enviar información robada. Al utilizar Google Sheets, el tráfico de red generado por el malware se camufla entre el flujo de datos legítimos que muchas organizaciones no bloquean. Esta táctica no solo dificulta la detección por parte de sistemas de seguridad tradicionales, sino que también complica el rastreo del origen del ataque, ya que las solicitudes parecen legítimas y proceden de un servicio confiable.

Estos correos electrónicos dicen provenir de las autoridades fiscales de Estados Unidos, Reino Unido, Francia, Alemania, Italia, India y Japón, alertando a los destinatarios sobre cambios en sus declaraciones de impuestos e instándoles a hacer clic en las URL de Google AMP Cache que redirigen a los usuarios a una página de destino intermedia.

Lo que hace la página es inspeccionar la cadena User-Agent para determinar si el sistema operativo es Windows y, en caso afirmativo, aprovechar el controlador de protocolo search-ms: URI protocol handler para mostrar un archivo de acceso directo de Windows (LNK) que utiliza un Adobe Acrobat Reader para hacerse pasar por un archivo PDF en un intento de engañar a la víctima para que lo ejecute.

«Si se ejecuta el LNK, invocará PowerShell para ejecutar Python.exe desde un tercer recurso compartido WebDAV en el mismo túnel (\library), pasando un script de Python en un cuarto recurso compartido (\resource) en el mismo host como argumento. Esto hace que Python ejecute el script sin descargar ningún archivo en el ordenador, con las dependencias que se cargan directamente desde el recurso compartido WebDAV». Comentan los investigadores de Proofpoint Tommy Madjar, Pim Trouerbach y Selena Larson.

El script de Python está diseñado para recopilar información del sistema y enviar los datos en forma de cadena codificada en Base64 a un dominio controlado por el actor, tras lo cual muestra un PDF señuelo al usuario y descarga un archivo ZIP protegido por contraseña desde OpenDrive.

El archivo ZIP, por su parte, contiene dos archivos, un ejecutable legítimo «CiscoCollabHost.exe» que es susceptible de carga lateral de DLL y un archivo DLL malicioso «CiscoSparkLauncher.dll» (es decir, Voldemort) que se carga lateralmente.

Voldemort es un backdoor personalizado escrito en C que viene con capacidades para la recopilación de información y la carga de cargas útiles de la siguiente etapa, con el malware utilizando Google Sheets para C2, exfiltración de datos, y la ejecución de comandos de los operadores.

Proofpoint describió la actividad como alineada con las amenazas persistentes avanzadas (APT), pero con «vibraciones de ciberdelincuencia» debido al uso de técnicas populares en el panorama de la delincuencia electrónica.

Sectores Afectados

La campaña ha sido calificada de inusual, lo que plantea la posibilidad de que los actores de la amenaza lanzaran una amplia red antes de centrarse en un pequeño grupo de objetivos. También es posible que los atacantes, probablemente con distintos niveles de conocimientos técnicos, planearan infectar varias organizaciones.

«Aunque muchas de las características de la campaña coinciden con la actividad de amenazas cibercriminales, creemos que se trata probablemente de una actividad de espionaje llevada a cabo para apoyar objetivos finales aún desconocidos. La amalgama Frankensteiniana de capacidades inteligentes y sofisticadas, junto con técnicas y funcionalidades muy básicas, hace que sea difícil evaluar el nivel de capacidad del actor de la amenaza y determinar con alta confianza los objetivos finales de la campaña» Afirman los investigadores.

El ataque se ha dirigido a un amplio espectro de sectores, incluyendo defensa, tecnología, finanzas y otras industrias clave en diversas regiones del mundo. La elección de Google Sheets como vector de control sugiere que los atacantes están bien financiados y son técnicamente sofisticados, capaces de llevar a cabo campañas de largo alcance con un alto grado de sigilo.

Implicaciones para la Seguridad

Este tipo de ataque resalta la creciente tendencia de los cibercriminales a explotar servicios en la nube de confianza para actividades maliciosas. Las organizaciones deben ser conscientes de los riesgos asociados con el uso de aplicaciones en la nube y tomar medidas proactivas para monitorear el uso de dichas plataformas. Es crucial implementar políticas de seguridad que incluyan la vigilancia del tráfico hacia servicios en la nube, así como la actualización y revisión constante de las configuraciones de seguridad.

Recomendaciones para Mitigación

Para mitigar los riesgos, se recomienda a las organizaciones revisar y reforzar sus políticas de seguridad relacionadas con el acceso a aplicaciones en la nube. También es vital capacitar al personal en prácticas de ciberseguridad, para que sean capaces de identificar comportamientos sospechosos y reportarlos adecuadamente. Las soluciones de seguridad deben ser capaces de analizar el tráfico en tiempo real y detectar cualquier anomalía que pueda indicar la presencia de malware operando a través de servicios legítimos como Google Sheets.

La explotación de Google Sheets en esta campaña de espionaje subraya la necesidad de una ciberseguridad más robusta y adaptable. Los atacantes están utilizando métodos cada vez más ingeniosos para evadir las defensas tradicionales, lo que obliga a las organizaciones a adoptar enfoques de seguridad más dinámicos y a estar siempre un paso adelante en la protección de sus activos digitales.

Conoce otras noticias en mi blog.

Vulnerabilidad Crítica en el plugin WPML

Una grave vulnerabilidad ha sido descubierta en el popular plugin WPML para WordPress, afectando a todas las versiones anteriores a la 4.6.13. La falla, con un puntaje CVSS de 9.9, permite a atacantes con permisos de colaborador o superiores ejecutar código arbitrario en el servidor.

Esto se debe a una falta de validación y saneamiento de entradas al manejar plantillas Twig para contenido en shortcodes, lo que puede ser explotado para inyectar comandos maliciosos.

Detalles Técnicos del Exploit

La vulnerabilidad reside en la incorrecta validación de entradas cuando se utilizan plantillas Twig en los shortcodes de WPML. Los atacantes pueden aprovechar esto para insertar y ejecutar comandos PHP arbitrarios en el servidor. Este exploit permite potencialmente que un colaborador o usuario con permisos elevados comprometa el sitio completo, obteniendo acceso total al servidor, lo que podría resultar en la pérdida de datos, el robo de información confidencial o la instalación de malware.

Impacto y Prevención

Aunque los desarrolladores consideran que la explotación en escenarios reales es poco probable debido a la necesidad de permisos específicos, la gravedad de la vulnerabilidad hace que la actualización sea crítica. Los sitios que utilizan WPML en su versión afectada están en riesgo de ser controlados remotamente, lo que podría tener consecuencias devastadoras, especialmente para sitios que manejan datos sensibles o información personal.

Importancia de la Actualización

Actualizar a la versión 4.6.13 de WPML no solo soluciona esta vulnerabilidad específica, sino que también incluye mejoras de seguridad generales que protegen contra otros posibles vectores de ataque. Es recomendable que los administradores de WordPress realicen auditorías de seguridad periódicas y mantengan sus plugins actualizados para evitar ser víctimas de estos exploits.

Recomendaciones para Administradores de Sitios WordPress

1. Actualización Inmediata: Verifica si estás utilizando una versión de WPML anterior a la 4.6.13 y actualiza de inmediato.
2. Revisión de Permisos: Asegúrate de que solo usuarios de confianza tengan permisos de colaborador o superiores.
3. Auditoría de Seguridad: Realiza escaneos de seguridad regularmente para identificar posibles vulnerabilidades en tu sitio.

La falla en WPML subraya la importancia de mantener todos los componentes de un sitio WordPress actualizados y seguros. Los administradores deben actuar rápidamente para proteger sus sitios de posibles ataques que podrían tener consecuencias graves.

Medidas Recomendadas

Aunque los desarrolladores del plugin, OnTheGoSystems, afirman que la explotación en escenarios reales es poco probable, se recomienda encarecidamente a todos los usuarios actualizar a la versión más reciente para evitar posibles riesgos.

Mantener actualizado este y otros plugins es esencial para garantizar la seguridad de cualquier sitio WordPress.

Google Valora Menos los Enlaces para el Posicionamiento de Páginas

Durante la SERP Conf, Gary Illyes, de Google, compartió una perspectiva importante sobre el actual estado del algoritmo de búsqueda de su empresa, pues según asegura el propio Illyes, Google ha disminuido considerablemente la importancia de los enlaces como factor de posicionamiento.

De hecho, señaló que para posicionar las páginas se requieren muy pocos enlaces, subrayando una vez más el cambio en la importancia que Google otorga a los enlaces dentro de su algoritmo de búsqueda

Google ahora necesita muy pocos enlaces para clasificar las páginas

Gary Illyes

Reiterando un mensaje que ha sido parte de sus discusiones anteriores.

Este cambio refleja una evolución en los criterios de búsqueda de Google, donde los factores como la calidad y la relevancia del contenido están tomando un papel central, minimizando la dependencia en la cantidad de enlaces.

Esta información es crucial para los profesionales del marketing digital y SEO, quienes necesitan adaptar sus estrategias para centrarse más en el contenido de calidad y menos en técnicas de link building.