Novedades
CrowdStrike Intelligence advirtió que los actores de amenazas utilizaron rápidamente la interrupción de TI, causada por un error en una actualización de contenido para la herramienta de ciberseguridad CrowdStrike Falcon, para hacerse pasar por fuentes legítimas de ayuda para las empresas afectadas.
Se ha identificado que los ciberdelincuentes envían correos electrónicos de phishing que pretenden ser soporte de CrowdStrike e impersonan al personal de CrowdStrike en llamadas telefónicas.
En otras campañas, los actores de amenazas se han hecho pasar por investigadores independientes, afirmando tener pruebas de que el problema técnico está vinculado a un ciberataque y ofreciendo soluciones de remedio.
También se ha observado a los atacantes vendiendo soluciones de remedio, como scripts que supuestamente automatizan la recuperación del problema de la actualización de contenido. En un ejemplo destacado por CrowdStrike, los actores de amenazas han estado distribuyendo un archivo ZIP malicioso llamado crowdstrike-hotfix.zip, que afirman ser una utilidad para automatizar la recuperación del problema de la actualización de contenido.
Este archivo ZIP contiene un cargador de malware HijackLoader, que al ejecutarse, carga el malware RemCos.
CrowdStrike proporcionó una lista de dominios identificados que hacen pasar por la marca, los cuales actualmente están sirviendo como sitios maliciosos para redirigir a las víctimas desde enlaces de phishing, o podrían usarse para ello en el futuro.
La firma de ciberseguridad KnowBe4 también observó el desarrollo de numerosos dominios nuevos vinculados a CrowdStrike en "tiempo récord". Estos incluyen nombres como crowdstriketoken[.]com, crowdstrikedown[.]site y crowdstrikefix[.]com.
El Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC) también reportó un aumento en los ataques de phishing haciendo referencia a la interrupción inmediatamente después del incidente.
Se recomienda a los clientes afectados asegurarse de comunicarse con representantes de CrowdStrike a través de canales oficiales y seguir las orientaciones técnicas de los equipos de soporte de CrowdStrike.
La interrupción global de TI continúa, con soluciones de remedio disponibles.