Cerber, una de las familias de malware más activas durante el año pasado, ha aumentado su participación en el mercado de ransomware a 87% en el primer trimestre de 2017, informó Malwarebytes Labs.

La amenaza representó el 70% del ransomware en el mercado en enero, pero aumentó su presencia en febrero y marzo, en medio de una importante disminución de los ataques de Locky, del 12% en enero a menos del 2% en marzo, Malwarebytes, Cybercrime las tácticas y técnicas de  Q1 Informe 2017 (PDF).

Mientras que Locky se ha estado desvaneciendo, nuevas familias de ransomware como Spora y Sage han logrado obtener algo de cuota de mercado. Cerber domina todas las otras amenazas en su categoría en este momento, y su dominio del mercado está a la par con el de la ahora extinta TeslaCrypt durante su período de tiempo más popular (la primera mitad de 2016).

En los últimos meses, los operadores de Cerber utilizaron una amplia gama de métodos de distribución disponibles, que van desde kits de exploits hasta la reciente vulnerabilidad Apache Struts 2. El Kovter troyano de clics fraudulentos se observo abandonado por Cerber a principios de este año, después de que Betabot lo dejara caer en septiembre de 2016.

Los autores de Cerber también se centraron en mejorar su creación con la adición de capacidades de evasión de aprendizaje de máquina, y con funcionalidad anti-sandboxing mejorada. Recientemente, los investigadores de Cyphort observaron que Cerber estaba aprovechando el proceso de ahuecamiento para la infección, donde un proceso suspendido se crea y el código del ransomware se inyecta en él.

"Al igual que TeslaCrypt, Cerber ha subido a la cima del mercado de ransomware, dejando a todos los competidores en su polvo. Una vez más, como TeslaCrypt, Cerber puede convertirse tan fácilmente en noticias de ayer. Sin embargo, hay algunos factores en juego con Cerber que podrían hacer que su futuro sea diferente al de familias como TeslaCrypt y Locky", señala Malwarebytes Labs.

Cerber está disponible como un Ransomware como un Servicio (Raas), lo que significa que está disponible incluso para los ciberdelincuentes sin conocimiento de codificación, pero que pueden participar en la operación de distribución. Lo que es más, el malware cuenta con cifrado de grado militar, cifrado sin conexión y varias otras características que lo hacen atractivo para los malvados.

El panorama del malware también ha experimentado otros cambios durante el primer trimestre del año, como la aparición de nuevos malware y puertas traseras de MacOS, incluyendo un nuevo ransomware denominado FindZip. Los investigadores también descubrieron la primera macro malware dirigida a Macs.

El kit de exploit RIG sigue dominando su segmento de amenazas y se espera que lo haga en el futuro también, sobre todo porque hay sólo unos cuantos kits de herramientas activas, lo que significa que hay poca competencia que tiene que enfrentar.

Numerosas campañas de spam malicioso observadas en el primer trimestre abusaron de los documentos de Office protegidos con contraseña, en un intento de evadir las cajas de seguridad de análisis automático, señala Malwarebytes. Recientemente, el troyano bancario Ursnif se observó utilizando dichos documentos en múltiples campañas en todo el mundo.