Desde la invasión de Ucrania se han observado una variedad de correos electrónicos utilizados como señuelos para sacar provecho de la situación y convencer a los destinatarios para que tomen alguna medida que al final beneficiará al atacante.
Si bien esta actividad se ha incrementado gradualmente desde finales de febrero, aún representa una pequeña parte del programa general de spam. Cisco Talos espera que esta actividad continúe aumentando a medida que este conflicto continúe.
Algunos correos enviados incluyen mensajes de spam solicitando bitcoins o haciéndose pasar por un mercado de Bitcoin (Marketplace) y como cartera de transacciones de Bitcoin.
Asimismo, Talos ha observado distribución de campañas de malware que intentan tomar ventaja del interés público en Ucrania.
El interés global sobre la guerra en Ucrania se vuelve un evento noticioso conveniente y efectivo para ser explotado por los cibercriminales. Cisco Talos vio el mismo tipo de actividad cuando comenzó la pandemia y ahora lo está viendo en Ucrania. Los delincuentes, especialmente los cibercriminales, son oportunistas. Si un tema determinado utilizado como señuelo va a aumentar las posibilidades de que una víctima potencial caiga en su trampa, lo van a utilizar.
Se espera que este tipo de comportamiento continúe y probablemente aumente en los siguientes días y semanas. A medida que este conflicto avanza, un número creciente de cibercriminales va a tratar de explotarlo.
Ya se ha visto una gran cantidad de estafas además de la entrega de malware por vías tradicionales como el correo electrónico. Este conflicto en particular es único en el sentido de que un ejército cibernético de simpatizantes de Ucrania creen estar realizando ataques contra entidades rusas usando un software que no entienden y que cuando lo reciben son infectados. Las organizaciones necesitan trabajar para detectar este tipo de actividad en su entorno. Si bien puede haber protección para evitar que ocurran estos ataques de malware, el riesgo de estafa es significante y puede ser difícil de bloquear, especialmente en el caso de correos corporativos maliciosamente utilizados (BEC, por sus siglas en inglés), donde cuentas de correo confiables envían mensajes con archivos maliciosos. Una forma de enfrentarlo es abordarlo en su propia telemetría, si corresponde, y tratar de localizar las amenazas a medida que ocurren.
Cisco recomienda crear una lista de palabras para buscarlas activamente, asegurándose de incluir versiones cirílicas tanto en ucraniano como en ruso ya que también están siendo ampliamente atacadas por los cibercriminales.
