La última técnica de los cibercriminales para colarse en tu ordenador sin que te des cuenta

Es difícil encontrar quien no haya usado alguna vez las herramientas de Microsoft. Su adopción tan generalizada atrae enormemente a los ciberdelincuentes para desplegar ataques con los que comprometer cuentas, robar datos y controlar dispositivos. Y, cuantos más, mejor. No obstante, aparte de ese mayor alcance y efectividad, los atacantes buscan pasar lo más desapercibidos posible, de ahí que en este caso tengan que ser cuidadosos con sus ataques.

Esa necesidad de innovar ha hecho que reparen en una de las aplicaciones de la suite de Office 365: OneNote. El bloc de notas digitales de Microsoft se ha convertido en la trampa perfecta para distribuir malware a través de documentos con la extensión .one, acompañados de archivos adjuntos y URLs maliciosos.

La ciberdelincuencia es todo un negocio que va más allá de conseguir que se instalen programas malintencionados en sistemas y servidores para dañarlos. En concreto, el malware es usado por los atacantes para sustraer información personal y financiera a los usuarios, como cuentas bancarias o tarjetas de crédito; tener acceso remoto y control sobre dispositivos; espiar a empresas o personas y sus actividades; además de bloquear archivos para extorsionar pidiendo dinero a las víctimas, entre otras funciones.

Con Microsoft, desde que bloqueara las macros por defecto en 2022 para evitar accesos mediante los que implementar malware y ransomware, los ciberdelincuentes han tenido que experimentar con muchas tácticas, técnicas y procedimientos para eludir eficazmente la detección de sus amenazas. Esto les ha llevado a adoptar tipos de archivo poco habituales en sus campañas, como OneNote, o que antes no se veían con tanta frecuencia para distribuir malware. Y les está funcionando sin ser detectados por algunos proveedores de antivirus.

Casi todos los intentos se basan en envíos por correo electrónico con unas características similares, aunque varía el asunto de los mensajes y sus remitentes. Los emails suelen contener adjuntos de OneNote sobre facturas, envíos y otros temas de tendencia con los que engañar a las posibles víctimas. En una de las campañas analizadas por expertos de ciberseguridad se falsificaba a una reconocida marca de consumo que supuestamente ofrecía a sus clientes un regalo o bonus especial para atraerlos.

Son mensajes únicos, que no siguen normalmente un hilo de conversación ya existente, y en los que los archivos incrustados permanecen ocultos detrás de un gráfico en forma de botón. Cuando la víctima hace doble clic en el mismo, recibe una advertencia, pero, si igualmente decide continuar, el archivo malicioso se ejecutará.

Aunque sutiles, hay señales que pueden ayudar al usuario menos experto a detectar que un mensaje podría tener malware: aparición de ventanas emergentes de forma repetida y, cuando se cierra una, se abre otra de inmediato; el ordenador irá más lento de lo normal, incluso después de haberlo reiniciado; el sistema Windows se queda colgado y muestra una pantalla azul de error; se desactiva el antivirus; se pierde memoria en disco o se eliminan datos dejando más espacio de almacenamiento; cambia la configuración del navegador…

Pero el malware también se puede prevenir mediante el uso de contraseñas seguras, cambiándolas frecuentemente, o incluyendo autenticación multifactor con huellas digitales o PIN; así como a través de actualizaciones de los sistemas operativos y de software.

Pese a todo, la tasa de éxito que se está alcanzando con OneNote —aunque no sean campañas masivas, pero sí en aumento— sugiere que habrá cada vez más atacantes interesados en utilizar esta técnica en breve, incluidos los más experimentados. Y esto es preocupante: pueden abrir la puerta a otras posibles infecciones más complejas, como es el caso del ransomware.

Los ciberdelincuentes nunca cesarán en sus intentos. OneNote es una de tantas plataformas bajo la que se escudan para perpetrar sus ataques sin que se vean claramente sus oscuros objetivos. Poner freno a estas amenazas pasa por identificar a los atacantes que crean documentos maliciosos, lo cual requiere de herramientas de análisis y detección de actividades sospechosas, desplegar soluciones de seguridad web y, en caso de que se sucedan ataques con regularidad, podría limitarse el uso de Microsoft OneNote a casos específicos.

Pero, por encima de todo, un paso de lo más determinante será formar adecuadamente a todo tipo de usuarios acerca de las prácticas de los ciberdelincuentes para que sean conscientes de los riesgos a su alrededor. Ante cualquier comunicación no solicitada, especialmente las que exigen al usuario que descargue o abra un archivo adjunto, hacer clic en un enlace o revelar información personal, siempre habrá que actuar con la máxima cautela.