1.437 ladrones de credenciales y 2,6 TB publicados por el ransomware

Por Inteligencia QuantumSec · Píldoras de inteligencia · 2 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 21 al 27 de octubre se detonaron 1.437 muestras de infostealers, el malware que vacía el navegador: contraseñas guardadas, cookies de sesión y carteras cripto. Es un 10,3 % por encima de una semana normal (la mediana de las ocho anteriores es 1.303). Es el primer eslabón de casi todo lo demás: lo que roban hoy se vende mañana como acceso a una empresa.

1.437 muestras de ladrones de credenciales detonadas esta semana (+10,3 % frente a una semana normal)

26 ago: 2517 · 2 sep: 1594 · 9 sep: 1975 · 16 sep: 1455 · 23 sep: 1151 · 30 sep: 972 · 7 oct: 1069 · 14 oct: 1123 · 21 oct: 1437

16
familias de stealer distintas
116
pastes públicos con contraseñas (de 398 analizados)
4.601
muestras de stealer en cuatro semanas (−25,5 % frente a las cuatro anteriores)

Quién roba

  1. Remus Clipper — 109
  2. SalatStealer — 92
  3. QQPass — 54
  4. FormBook — 31
  5. Agent Tesla — 25
  6. BlankGrabber — 5
  7. Umbral — 5
  8. Lumma — 2
  9. Masslogger — 2
  10. Vidar — 2

Muestras por familia de infostealer; la flecha compara con la semana anterior

Qué se llevan

  • Contraseñas guardadas en el navegador, de todas las webs, también las del trabajo.
  • Cookies de sesión: con ellas se entra en una cuenta sin contraseña y sin doble factor, porque la sesión ya estaba abierta.
  • Carteras cripto y extensiones del navegador (además, 109 muestras de drenadores de carteras esta semana).
  • Ficheros del escritorio y capturas de pantalla, según la familia.

Lo que publica el ransomware

Esta semana, 10 víctimas nuevas de ransomware salieron publicadas con ficha de lo robado; las 10 que dicen el tamaño suman 2,6 TB y 131.585 ficheros, la mayor con 2 TB. No damos nombres: el patrón es lo útil, no señalar a quien lo sufre. El parte del ransomware de los martes tiene el resto.

Lo que aparece en pastes públicos

  1. Con contraseñas — 116
  2. Listas de IPs — 2
  3. Listas de correos — 1

De 398 pastes públicos analizados esta semana

Compruébalo en vuestra casa

Un infostealer se delata cuando un programa que no es el navegador toca sus ficheros de contraseñas. Si tenéis Microsoft Defender XDR o Sentinel (adaptadla a vuestro SIEM si no):

DeviceFileEvents
| where FileName has_any ("Login Data", "Cookies", "Web Data", "key4.db", "logins.json")
| where InitiatingProcessFileName !in~ ("chrome.exe", "msedge.exe", "firefox.exe", "brave.exe", "opera.exe")
| summarize equipos = dcount(DeviceId) by InitiatingProcessFileName, InitiatingProcessFolderPath

Y desde fuera: Have I Been Pwned avisa gratis cuando un correo de vuestro dominio aparece en una filtración conocida.

Qué hacer hoy

  1. Que el navegador no guarde las contraseñas del trabajo
    Un gestor de contraseñas corporativo, y la opción de guardar del navegador desactivada por política. Es justo lo primero que vacía un stealer.
  2. Sesiones más cortas donde importa
    Una cookie robada vale lo que dure la sesión. En el correo, la VPN y la consola de la nube, acortadla y atadla al dispositivo si vuestro proveedor lo permite.
  3. Si un equipo cae, se cambia TODO
    No basta con limpiar el portátil: hay que cerrar sesiones y cambiar las contraseñas de todo lo que ese navegador tenía guardado. Qué hacer si os han hackeado.

Esta mañana salió Anatomía del phishing: cómo están montadas las webs de phishing de la semana.

Cómo lo medimos. Ventana: del 21 al 27 de octubre (semana cerrada, hora UTC). Los infostealers se cuentan en las muestras de sandbox públicos clasificadas como robo de información o etiquetadas con una familia de stealer conocida, por fecha de análisis. Las fichas del ransomware son solo de víctimas que aparecen por primera vez esta semana, y el tamaño es el que declara el propio grupo (sin verificar). Los pastes son los públicos que analizamos, no todos los que existen. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

vigilancia de filtraciones

Temas de este artículo

#Lo-que-se-filtra #Infostealers #Filtraciones #Credenciales #Remus-Clipper

Seguir leyendo

Vigilamos lo que se filtra de vosotros