Publicado el informe de código dañino sobre Megumin v2

• Informe de Código Dañino
• Megumin

• El documento se encuentra disponible en la parte privada del portal del CCN-CERT.
• El informe ‘CCN-CERT ID-21/19’ recoge el análisis de la familia de troyanos identificada como Megumin, muy activa desde principios del año 2019 e involucrada, principalmente, en la extracción de monederos virtuales de los sistemas infectados.
• Características del código dañino, procedimiento de infección, características técnicas, ofuscación, persistencia en el sistema, conexiones de red, archivos relacionados, detección, desinfección e información del atacante son los principales puntos que incluye el documento. Además, se incluyen las reglas de detección Snort, IOC y YARA.

El Informe de Código Dañino CCN-CERT ID-21/19 “Megumin v2” se ha publicado recientemente en la parte privada del portal del CERT del Centro Criptológico Nacional (CCN-CERT). Este documento recoge el análisis de la familia de troyanos identificada como Megumin, muy activa desde principios del año 2019 e involucrada, principalmente, en la extracción de monederos virtuales de los sistemas infectados.

Las funcionalidades principales de este código dañino cuentan con un módulo DDOS para realizar ataques de inundación de paquetes TCP así como la búsqueda, descarga y ejecución de binarios en modo oculto. En cuanto a las características que incorpora, una de las principales es una funcionalidad conocida como clipper, utilizada para reemplazar carteras del portapapeles del usuario infectado.

El procedimiento de infección de un sistema a través de este tipo de troyanos se produce al ejecutar el fichero que lo contiene. Una vez que comienza la ejecución del código dañino, este es capaz de realizar las siguientes acciones en el dispositivo de la víctima:

• Carga funciones y librerías de manera dinámica.
• Descifra una shellcode ofuscada.
• La shellcode se encarga de descifrar un ejecutable.
• El ejecutable inicial cargado en memoria es suplantado por el descifrado.
• Megumin se despliega y descarga nuevos ejecutables.

Para la desinfección del equipo de forma automática se aconseja la utilización de herramientas antivirus actualizadas. Una vez localizadas las aplicaciones dañinas, se debe elegir la opción de desinfección. Por otro lado, para una desinfección manual, es preciso revisar si el código dañino ha generado persistencia en el sistema mediante la revisión de las claves de registro nombradas en el apartado de persistencia que se incluye en el presente documento. En última instancia, se aconseja el formateo y la reinstalación completa, siguiendo lo indicado en las guías CCN-STIC correspondientes.

Además de las características, el procedimiento de infección y desinfección, así como la persistencia, el documento también incluye otros apartados de interés, tales como la ofuscación, conexiones de red, archivos relacionados, información del atacante y tres reglas de detección para comprobar si el sistema se encuentra infectado por el troyano: mediante regla Snort, indicador de compromiso (IOC) y utilizando sobre la memoria de un equipo la firma YARA.

CCN-CERT (01/10/2019)

Informe de Código Dañino CCN-CERT ID-21/19 “Megumin v2”

El CCN participa en el Mes Europeo de la Ciberseguridad

• Esta campaña anual, coordinada por la Agencia de Ciberseguridad de la Unión Europea (ENISA), tiene como objetivo concienciar sobre los peligros de las nuevas tecnologías.
• Este año la iniciativa, dirigida tanto a ciudadanos como a organizaciones, se divide en dos temas principales: “ciberhigiene” y tecnologías emergentes.
• El CCN, siguiendo con su objetivo y en línea con la finalidad de esta campaña, continuará desempeñando acciones de formación y concienciación, como la organización de cursos CCN-STIC y sesiones VANESA, la publicación de retos de seguridad en ATENEA y la elaboración de nuevas guías e informes, además de colaborar en numerosos eventos.

El Centro Criptológico Nacional (CCN) vuelve a participar, un año más, en el Mes Europeo de la Ciberseguridad. El objetivo principal de esta iniciativa, coordinada por la Agencia de Ciberseguridad de la Unión Europea (ENISA), es "garantizar que todos los ciudadanos sean conscientes de los riesgos de Internet y que tengan las herramientas necesarias para aumentar su resiliencia y seguridad en la red”, tal y como señala Udo Helmbrecht, director ejecutivo de ENISA.

La campaña de 2019 está dividida en dos grandes temas. El primero de ellos (semana 1 y 2: del 1 al 13 de octubre) trata sobre la “ciberhigiene”, y busca informar sobre las buenas prácticas en materia de ciberseguridad que forman parte del día a día de los usuarios. Con ello, lo que se quiere transmitir es que la “ciberhigiene” es un hábito que se adopta desde una edad temprana y que se convierte en una rutina de por vida.

El segundo tema (semana 3 y 4: del 14 al 31 de octubre) se centra en las tecnologías emergentes, y reconoce la importancia de proteger tanto nuestros dispositivos tecnológicos y otros aparatos como a nosotros mismos. La tecnología está evolucionando con rapidez y es importante poner en tela de juicio las condiciones de seguridad y privacidad de nuestras nuevas adquisiciones.

El CCN, continuando con su objetivo de promover buenos hábitos entre los ciudadanos, y en línea con la finalidad del Mes Europeo de la Ciberseguridad, continuará desempeñando diversas acciones de formación y concienciación entre los usuarios. Entre estas se encuentran los cursos CCN-STIC, sesiones VANESA en streaming, la publicación de retos de seguridad en la Plataforma ATENEA, así como la elaboración de nuevas guías e informes de ciberseguridad. En este sentido, cabe señalar la reciente creación en su portal web de la sección ‘Ciberconsejos’, en la que se recogen diferentes recomendaciones para hacer un uso seguro de las TIC.

Asimismo, el Equipo de Respuesta a Incidentes del CCN (CCN-CERT) se une a esta iniciativa mediante su participación en numerosos eventos:

• 3 de octubre. ISACA: “Congreso Cibertodos”. Mesa redonda "Ciberataques a la Administración Pública y activos estratégicos".
• 3 de octubre: Mesa redonda – Investigación con datos de salud. Consejería de Sanidad de la Xunta de Galicia. Santiago de Compostela.
• 9 de octubre: Conferencia Ciberseguridad Legal Management Forum. Madrid.
• 18 de octubre: Lexdatum, Derecho para profesionales TIC. Valladolid.
• 24 de octubre: Sesión de Formación y Concienciación en la Comisión Nacional del Mercado de Valores (CNMV). Madrid
• 25 de octubre: Concienciación de altos directivos en Fondo de Regulación Ordenada Bancaria (FROB).
• 28 de octubre: Conferencia sobre ciberseguridad en la Fundación Juan March. Madrid.
• 31 de octubre: Sesión de Formación y Concienciación en la CNMV. Madrid

CCN-CERT (30/09/2019)

“Ciberataques a la Administración y activos estratégicos”, mesa redonda en Cibertod@s de ISACA Madrid

• Eventos de Terceros
• Cibertod@s

• La mesa se enclava en una jornada que tendrá lugar en Madrid, el próximo 3 de octubre dentro del Mes Europeo de la Ciberseguridad #CyberSecMonth.
• El responsable de la Gestión de Incidentes y los Sistemas de Alerta Temprana del CCN-CERT moderará esta mesa en la que también participarán miembros de la Guardia Civil, Ayuntamiento de Madrid y CNPIC.
• El Auditorio de Bankia acogerá este encuentro que ha contado con la colaboración del Departamento de Seguridad Nacional (DSN), el Centro Criptológico, el Mando Conjunto de Ciberdefensa (MCCD), el Instituto Nacional de Ciberseguridad (INCIBE), el Centro Nacional para la Protección de las Infraestructuras y la Ciberseguridad (CNPIC), la Guardia Civil, la Policía Nacional y otros organismos.

El responsable de la Gestión de Incidentes y los Sistemas de Alerta Temprana del CCN-CERT participará el próximo 3 de octubre en el Congreso Cibertod@s, organizado por Isaca Madrid Chapter.

El evento, que tendrá lugar en el Auditorio de Bankia, en Madrid, está programado dentro del Mes Europeo de la Ciberseguridad #CyberSecMonth contará con la colaboración y participación de las principales entidades del sector, como son el Departamento de Seguridad Nacional (DSN), el Centro Criptológico Nacional (CCN-CERT), el Mando Conjunto de Ciberdefensa (MCCD), el Instituto Nacional de Ciberseguridad (INCIBE), el Centro Nacional para la Protección de las Infraestructuras y la Ciberseguridad (CNPIC), la Guardia Civil, la Policía Nacional, y otros organismos relevantes.

CCN-CERT (26/09/2019)

Más información