Netskope identifica ataques a la plataforma Cloud de Google

Netskope, compañía en soluciones de Seguridad Cloud, ha identificado a través de Netskope Threat Research Labs, varios ataques dirigidos contra 42 entornos de clientes, principalmente a gobiernos y bancos.

Los atacantes responsables emplearon la plataforma de computación Cloud de Google (GCP) App Engine para distribuir malware a través de archivos PDFs utilizados como señuelo. Tras una investigación, la compañía puede confirmar la evidencia de estos ataques contra gobiernos y empresas financieras en todo el mundo. De hecho, es probable que varios de estos señuelos estuvieran relacionados con el desgraciadamente célebre grupo de ciberdelincuentes Cobalt Strike.

Los documentos PDF utilizados como señuelo tradicionalmente llegan como archivos adjuntos de correo electrónico a las víctimas. Los correos electrónicos están diseñados para contener contenido legítimo y entregar el malware de fuentes incluidas en la lista blanca. A menudo, dichos archivos adjuntos se guardan en servicios de almacenamiento en la nube, como Google Drive.

Compartir estos documentos con otros usuarios puede dar lugar a la aparición de un vector de propagación secundario como el efecto abanico de CloudPhishing. En este caso, el archivo de correo electrónico que contiene el documento de señuelo fue detectado por Netskope y se evitó el potencial despliegue.

Netskope recomienda los siguientes puntos para combatir las campañas de phishing basadas en la nube:

• Comprobar el dominio del enlace. Este conocimiento permitirá diferenciar entre sitios de phishing/malware bien elaborados y sitios oficiales.

• Implementar una solución de visibilidad y control en tiempo real para supervisar las actividades de las cuentas en la nube permitidas y no permitidas.

• Integrar una herramienta de detección de amenazas y malware para IaaS, SaaS, PaaS y Web con detección y corrección de amenazas en tiempo real de múltiples capas para evitar que una organización propague sin saberlo amenazas similares.

• Realizar un seguimiento activo del uso de aplicaciones cloud no autorizadas y aplicar políticas de DLP para controlar los archivos y datos que entran y salen del entorno corporativo.

• Advertir a los usuarios sobre la apertura de archivos adjuntos no confiables, independientemente de sus extensiones o nombres de archivo.

• Recomendar a los usuarios que eviten ejecutar cualquier archivo a menos que estén muy seguros de que son benignos.

• Desmarcar la opción “Recordar esta acción para este sitio para todos los documentos PDF”, incluso aunque el sitio parezca legítimo.

• Pasar el ratón por encima de todos los hipervínculos para confirmarlos antes de hacer clic en el enlace.

• Realizar un seguimiento activo de los enlaces URL añadidos a la lista “Siempre permitido” en el software del lector de PDF.

• Mantener actualizados los sistemas y el antivirus con las últimas versiones y parches.

7