Remcos, AsyncRAT y Rilide son los tres malware que más atacaron a Colombia en enero de 2025

En el mundo FakeUpdates sigue representando un peligro significativo en el panorama de la ciberseguridad global y además facilita ataques de ransomware

Anubis sigue liderando el índice de malware móviles en el mundo

La IA está transformando el panorama de las amenazas

Para combatir eficazmente estos ataques, las empresas deben ir más allá de las defensas tradicionales

Bogotá, febrero 18 de 2025 – Check Point Research, la división de Inteligencia de Amenazas Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, ha publicado su Índice Global de Amenazas correspondiente a enero de 2025, en el que FakeUpdates sigue representando un peligro significativo en el panorama de la ciberseguridad, ya que desempeña un papel crucial a la hora de facilitar los ataques de ransomware.

Una investigación reciente de Gruide Point Security ha revelado que un afiliado de RansomHub utilizaba un backdoor basado en Python para mantener un acceso persistente y desplegar ransomware en varias redes. Se instaló poco después de que FakeUpdates obtuviera el acceso inicial y este backdoor mostraba técnicas avanzadas de ofuscación junto con patrones de codificación asistidos por IA.

“La IA está transformando el panorama de las amenazas. Los ciberdelincuentes están mejorando rápidamente sus métodos, aprovechando la IA para automatizar y escalar sus tácticas”, afirma Manuel Rodríguez, gerente de ingeniería para el norte de América Latina de Check Point software.

Para combatir eficazmente estos ataques, las empresas deben ir más allá de las defensas tradicionales y adoptar medidas de seguridad proactivas y adaptativas impulsadas por IA que anticipen los riesgos emergentes”, destaca Maya Horowitz, VP de investigación de Check Point Software.

Principales familias de malware que más atacaron a las empresas de Colombia en enero

*Las flechas se refieren al cambio de rango en comparación con el mes anterior.

1. ↔ Remcos – Remcos es un RAT que apareció por primera vez en la naturaleza en 2016 y que se distribuye a través de documentos maliciosos de Microsoft Office que se adjuntan a correos electrónicos no deseados y está diseñado para eludir la seguridad de CCU (Control de Cuentas de Usuario) de Microsoft Windows y ejecutar malware con privilegios de alto nivel. Este RAT ha impactado en un 13,73% a las empresas en Colombia en enero y en un 2.59% en el mundo en el mismo periodo.
2. ↑AsyncRAt – AsyncRAT es un troyano dirigido a la plataforma Windows. Este malware envía información del sistema sobre el sistema objetivo a un servidor remoto. Recibe comandos del servidor para descargar y ejecutar complementos, finalizar procesos, desinstalarse/actualizarse y capturar capturas de pantalla del sistema infectado. Este malware ha atacado en enero al 4.78% de las empresas en Colombia y al 1.95% en el mundo
3. ↔ Rilide – Rilide es una extensión de navegador maliciosa que ataca a los navegadores basados ​​en Chromium, imitando software legítimo para infiltrarse en los sistemas. Explota las funcionalidades del navegador para ejecutar actividades dañinas, como monitorear la navegación web, tomar capturas de pantalla e inyectar scripts para robar criptomonedas. Rilide funciona descargando otro malware, registrando las actividades del usuario e incluso puede manipular el contenido web para engañar y lograr que se realicen acciones no autorizadas. En enero impactó en Colombia al 4,48% de las empresas y en el mundo al 0.80%.

Los tres malware móviles más usados en enero

El mes pasado, Anubis ha ocupado el primer puesto como malware para móviles más extendido, seguido de AhMyth y Necro.

1. ↔ Anubis – Es un troyano bancario diseñado para atacar a teléfonos móviles Android. Desde que se detectó ha ido sumando funciones adicionales como capacidades de troyano de acceso remoto (RAT), keylogger, grabación de audio y varias características de ransomware. Se ha detectado en cientos de aplicaciones diferentes disponibles en Google Store.
2. ↑ AhMyth – Troyano de acceso remoto (RAT) descubierto en 2017. Se distribuye a través de aplicaciones de Android que se pueden encontrar en tiendas de aplicaciones y varios sitios web. Cuando un usuario instala una de estas aplicaciones infectadas, el malware puede recopilar información confidencial del dispositivo y realizar acciones como el registro de teclas, capturas de pantalla, el envío de mensajes SMS y la activación de la cámara, lo que se suele usar para robar información sensible.
3. ↓ Necro – Es un troyano dropper de Android. Es capaz de descargar otro malware, mostrar anuncios intrusivos y robar dinero mediante el cobro de suscripciones.

Los sectores más atacados en el mundo en enero

En enero de 2025 los sectores más atacados en el mundo fueron Educación, Gobierno y Telecomunicaciones.

Principales grupos de ransomware en enero

Los datos se basan en los “shame sites” de ransomware gestionados por grupos de ransomware de doble extorsión que han publicado información sobre las víctimas. Este mes, Clop es el grupo de ransomware más frecuente, responsable del 10% de los ataques publicados, seguido de FunkSec con un 8% y RansomHub con un 7%.

1. Clop – Clop es una cepa de ransomware, activa desde 2019, que se dirige a industrias de todo el mundo, incluidas las de salud, finanzas y fabricación. Derivado de CryptoMix, Clop cifra los archivos de las víctimas utilizando la extensión .clop y emplea la «doble extorsión», y amenaza con filtrar los datos robados a menos que se pague un rescate. Basado en un modelo de ransomware como servicio (RaaS), Clop aprovecha vulnerabilidades, phishing y otros métodos para infiltrarse en los sistemas, desactiva defensas de seguridad como Windows Defender y se ha vinculado a ataques de gran repercusión, como el de MOVEit en 2023.      
2. FunkSec – FunkSec es un grupo emergente de ransomware que apareció por primera vez en diciembre de 2024, conocido por utilizar tácticas de doble extorsión. Algunos informes sugieren que comenzó a operar en septiembre de 2024. En particular, su DLS (Data Leak Site) combina informes de incidentes de ransomware con los de violaciones de datos, lo que contribuye a un número inusualmente alto de víctimas.
3. RansomHub – Es una operación de ransomware como servicio (RaaS) que surgió como una versión renovada de Knight. RansomHub, que apareció a principios de 2024 en foros clandestinos de ciberdelincuencia. Ha ganado notoriedad rápidamente por sus agresivas campañas dirigidas a varios sistemas, como Windows, macOS, Linux y, en particular, entornos VMware ESXi. Este malware es conocido por emplear sofisticados métodos de cifrado.