Hace unos días TheAnalyst señaló en su Twitter que una campaña de malware de BazarLoader alojaba sus archivos maliciosos en el servicio OneDrive de Microsoft. Y a raíz de esto, Kevin Beaumont, experto en ciberseguridad y que trabajó en Microsoft como analista senior de inteligencia de amenazas entre junio de 2020 y abril de 2021, ha dicho que la empresa de Redmond es "quien mejor aloja malware del mundo desde hace aproximadamente una década".
Esta afirmación tan potente de Kevin Beaumont fue como respuesta a un informe hecho público por "profesional de la ciberseguridad" TheAnalyst, como él mismo se define en su cuenta de Twitter. TheAnalyst publicó que el malware BazarLoader puede derivar en ataques de ransomware y se preguntó si Microsoft no tendrá alguna responsabilidad en estos posibles casos de ransomware cuando ellos "saben que están alojando ciertos de archivos que llevan a esto".
You all have read how #BazarLoader #BazaLoader leads to #ransomware, in particular #conti that doesn't care that they target healthcare etc? Does @Microsoft have any responsibility in this when they KNOWINGLY are hosting hundreds of files leading to this, now for over three days? https://t.co/UxTDYVIXJF pic.twitter.com/uHUxzHRV8W
— TheAnalyst (@ffforward) October 15, 2021
BazarLoader es una familia de malware en la que un correo electrónico de spam intenta engañar a los destinatarios para que abran un troyano a través de un enlace, en este caso a una ISO (imagen de disco que se puede montar con un solo clic) que contiene una DLL maliciosa con un acceso directo engañoso llamado Documentos que lo ejecuta. Esto puede derivar en un ataque de ransomware utilizando Conti.
El abuso de OneDrive no es nuevo
El mismo Beaumont aseguró como respuesta a TheAnalyst que mientras él era parte del equipo de Microsoft se construyó una herramienta pipeline "para alertar a Google Drive sobre Bazarloader para que retirara los enlaces. Ahora se han trasladado a la infraestructura de Microsoft, que tiene la canalización (pipeline en inglés), pero no puede conseguir que Office elimine los archivos".
Amusingly, while at MS we built a pipeline to alert Google Drive about Bazarloader to have the links taken down, hence why it happened so quickly (literally minutes).
— Kevin Beaumont (@GossiTheDog) October 15, 2021
Now they've moved to Microsoft infrastructure, who have the pipeline, but can't get Office to remove the files.
Tras esto, aparece ahora un tuit eliminado por su autor, y según The Register, hablaba de la ineptitud de Microsoft para hacer frente a ciertos aspectos de seguridad. Añadió que "Microsoft no puede anunciarse como el líder en seguridad a pesar de tener 8.000 empleados de seguridad y billones de señales, si no puede evitar que su propia plataforma Office365 se utilice directamente para lanzar el ransomware Conti". El abuso de OneDrive lleva años produciéndose".
Mal tiempo de reacción de Microsoft
Además, un sitio llamado URLhaus, que es del proyecto suizo abuse.ch en el Instituto Universitario de Ciberseguridad e Ingeniería de Berna, cuenta con estadísticas sobre el tiempo que tarda el malware en ser eliminado por el sitio que lo aloja. Las últimas estadísticas muestran que Microsoft tiene el peor tiempo de reacción de los diez sitios que alojan más urls con malware, con más de 29 días.
Según las cifras, Google aloja más programas maliciosos y también tarda en eliminarlos, pero con un tiempo de respuesta de 14 días es el doble de rápido que Microsoft.
Ver 9 comentarios