{"id":26141,"date":"2023-04-04T16:23:36","date_gmt":"2023-04-04T22:23:36","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=26141"},"modified":"2023-04-05T02:12:14","modified_gmt":"2023-04-05T08:12:14","slug":"supply-chain-attack-on-3cx","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/26141\/","title":{"rendered":"Ataque a la cadena de suministro en clientes de 3CX"},"content":{"rendered":"<p>Los medios de noticias est\u00e1n <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/hackers-compromise-3cx-desktop-app-in-a-supply-chain-attack\/\" target=\"_blank\" rel=\"noopener nofollow\">informando<\/a> sobre un ataque masivo a la cadena de suministro dirigido a los usuarios del <a href=\"https:\/\/es.wikipedia.org\/wiki\/3CX_Phone_System\" target=\"_blank\" rel=\"noopener nofollow\">sistema de telefon\u00eda VoIP 3CX<\/a>. Unos atacantes desconocidos han logrado infectar las aplicaciones con el VoIP 3CX tanto en Windows como en macOS, por lo que ahora los ciberdelincuentes est\u00e1n atacando a sus usuarios a trav\u00e9s de una aplicaci\u00f3n firmada armada con un certificado 3CX v\u00e1lido. La lista de usuarios afectados es bastante larga: consta de m\u00e1s de 600000 empresas, incluidas marcas conocidas en todo el mundo: American Express, BMW, Air France, Toyota o IKEA. Varios investigadores han denominado este ataque malicioso como SmoothOperator.<\/p>\n<p>Aparentemente, los troyanos se esconden en todas las versiones del software lanzadas despu\u00e9s del 3 de marzo; es decir, 18.12.407 y 18.12.416 para Windows y 18.11.1213 y posteriores para macOS. De acuerdo con los representantes de 3CX, el c\u00f3digo malicioso accedi\u00f3 al programa debido a un componente de c\u00f3digo abierto infectado con un troyano desconocido que utiliz\u00f3 el equipo de desarrollo.<\/p>\n<h2>El ataque a trav\u00e9s del software 3CX infectado<\/h2>\n<p>Citando a investigadores de varias empresas, <em>BleepingComputer<\/em> <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/hackers-compromise-3cx-desktop-app-in-a-supply-chain-attack\/\" target=\"_blank\" rel=\"noopener nofollow\">describe<\/a> el mecanismo de ataque a trav\u00e9s de un cliente de Windows infectado con un troyano de la siguiente forma:<\/p>\n<ul>\n<li>el usuario descarga un paquete de instalaci\u00f3n del sitio web oficial de la empresa y lo ejecuta, o recibe una actualizaci\u00f3n de un programa ya instalado;<\/li>\n<li>una vez instalado, el programa infectado crea varias bibliotecas maliciosas, que se utilizan para la siguiente etapa del ataque;<\/li>\n<li>entonces, el malware descarga archivos .ico alojados en GitHub con l\u00edneas adicionales de datos en su interior;<\/li>\n<li>estas l\u00edneas se usan para descargar la carga maliciosa final, con la que se consigue atacar a los usuarios finales.<\/li>\n<\/ul>\n<p>El mecanismo para atacar a los usuarios de macOS es algo diferente. Puedes encontrar toda la <a href=\"https:\/\/objective-see.org\/blog\/blog_0x73.html\" target=\"_blank\" rel=\"noopener nofollow\">informaci\u00f3n<\/a> en el sitio web de la fundaci\u00f3n sin \u00e1nimo de lucro Objective-See.<\/p>\n<h2>\u00bfQu\u00e9 buscan los ciberdelincuentes?<\/h2>\n<p>El malware descargado puede recopilar informaci\u00f3n sobre el sistema, as\u00ed como robar datos y guardar credenciales de los perfiles de usuario de los navegadores Chrome, Edge, Brave y Firefox. Adem\u00e1s, los atacantes pueden implementar un <em>shell<\/em> de comandos interactivo que, en teor\u00eda, les permite hacer casi todo con el ordenador de la v\u00edctima.<\/p>\n<h2>\u00bfPor qu\u00e9 este ataque resulta especialmente peligroso?<\/h2>\n<p>La versi\u00f3n infectada del programa est\u00e1 firmada con un certificado leg\u00edtimo 3CX Ltd. emitido por Sectigo, el mismo certificado utilizado en versiones anteriores del programa 3CX.<\/p>\n<p>Adem\u00e1s, de acuerdo con Objective-See, la versi\u00f3n macOS del malware no solo est\u00e1 firmada con un certificado v\u00e1lido, sino que tambi\u00e9n est\u00e1 certificada por Apple. Esto significa que la aplicaci\u00f3n puede ejecutarse en versiones recientes de macOS.<\/p>\n<h2>C\u00f3mo mantenerte a salvo<\/h2>\n<p>Los desarrolladores de la aplicaci\u00f3n recomiendan desinstalar urgentemente las versiones infectadas del programa utilizando el cliente web de VoIP hasta que se publique la actualizaci\u00f3n.<\/p>\n<p>Tambi\u00e9n es aconsejable realizar una investigaci\u00f3n exhaustiva del incidente para asegurarte de que los atacantes no hayan tenido tiempo de apoderarse de los ordenadores de tu empresa. En general, para controlar todo lo que sucede en la red corporativa y detectar a tiempo la actividad maliciosa, recomendamos utilizar los servicios del <a href=\"https:\/\/latam.kaspersky.com\/enterprise-security\/managed-detection-and-response?icid=es-LA_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">tipo Managed Detection and Response (MDR)<\/a>.<\/p>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"mdr\">\n","protected":false},"excerpt":{"rendered":"<p>Los ciberdelincuentes est\u00e1n atacando a los usuarios del software de telefon\u00eda VoIP 3CX a trav\u00e9s de aplicaciones infectadas con troyanos.<\/p>\n","protected":false},"author":2698,"featured_media":26142,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2795,3539,3540],"tags":[3377,816,1262,79],"class_list":{"0":"post-26141","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-cadena-de-suministro","11":"tag-macos","12":"tag-troyanos","13":"tag-windows"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/26141\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/supply-chain-attack-on-3cx\/25459\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/20892\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/28063\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/supply-chain-attack-on-3cx\/25758\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/supply-chain-attack-on-3cx\/28597\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/supply-chain-attack-on-3cx\/34955\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/47698\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/supply-chain-attack-on-3cx\/20381\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/supply-chain-attack-on-3cx\/21004\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/supply-chain-attack-on-3cx\/29961\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/supply-chain-attack-on-3cx\/33596\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/supply-chain-attack-on-3cx\/26061\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/supply-chain-attack-on-3cx\/31770\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/supply-chain-attack-on-3cx\/31457\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/cadena-de-suministro\/","name":"cadena de suministro"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/26141","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=26141"}],"version-history":[{"count":2,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/26141\/revisions"}],"predecessor-version":[{"id":26144,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/26141\/revisions\/26144"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/26142"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=26141"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=26141"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=26141"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}