Menu revista Cerrar Menu revista

malware

Ultimas historias

how to ransomware factory

Cómo manejar un Ransomware: aprende a detener y reducir los impactos del más común de los ataques cibernéticos

  • Minutos de lectura
    • El secuestro de datos de un negocio exigiendo un rescate (en inglés, "ransom") se ha vuelto una forma de ataque cada vez más común. Un estudio de Kaspersky mostró que el volumen de ese tipo de amenazas aumentó 25% en los últimos tres años. En 2019, el Breach Investigations Report, un estudio realizado por la compañía Verizon, también reafirmó esa información: "Los ataques de ransomware se han vuelto tan comunes que ya ni siquiera llaman la atención de los medios especializados, a menos de que ocurran con compañías del rango más alto". Essa estranha familiaridade pode fazer com que as pessoas deixem de se preocupar com eles, mas, na verdade, este é o momento ideal para que você comece a se planejar e pensar o que sua empresa pode fazer para prevenir e lidar com esse tipo de ataque tão comum. ¿Qué son los business ransomware? No, no son aquellos correos electrónicos de spam que afirman tener tus datos personales. Los ransomware son un tipo de ataque sofisticados y que ocurre en una serie de etapas. Primero los criminales encuentran una forma de acceder a un endpoint, que es una puerta de entrada para el sistema. Generalmente, esos criminales utilizan métodos como la ingeniería social o el phishing para obtener las credenciales y contraseñas de alguien de tu equipo, o logran invadir por medio de un pen drive infectado. Después, insertan un malware en tu sistema, que encripta archivos y carpetas. Finalmente, el malware envía un aviso al usuario diciendo que su máquina está infectada y exigiendo un rescate en cambio de la devolución de los archivos. Los criminales tienen la costumbre de estudiar la infraestructura de sus blancos para comprender qué bases de datos y directorios son los más importantes. Luego, combinan múltiples productos y servicios maliciosos para hackear el sistema poco a poco, en una orden determinada. Y cuando no les pagan de inmediato, suelen publicar rápidamente los datos secretos secuestrados. Las industrias más vulnerables al ransomware Pero las lagunas causadas por un ransomware no suelen ser incidentes aislados. Es muy común que ese tipo de ataque ocurra cuando hay una serie de errores de seguridad de TI o prácticas no recomendadas en el sector. Si tu negocio no ofrece entrenamientos y programas de concientización sobre seguridad digital o tiene retrasos en sus sistemas de actualización y patching, los riesgos se vuelven aún más grandes. Ataques al rango más alto: los ransomware high-profile Los criminales digitales han utilizado el ransomware para atacar compañías gigantes en los últimos años. Eliminando datos El ataque más grande de todos los tiempos, o al menos el más caro, ha sido el ataque a las gigantes de la logística Maersk y FedEx, llamado "NotPetya" (también conocido como ExPetr). La invasión derrumbó los sistemas de ambas empresas por semanas y fue hecho a través de un worm, una especie de virus que borra datos, causando cientos de millones de dólares en daños. Ahora me ves, ahora ya no El ransomware "LockerGoga" fue otro ataque famoso y tuvo la compañía noruega de aluminio y energía renovable Norsk Hydro como víctima. El malware utilizado tenía una estructura muy avanzada, con la habilidad de auto borrarse cuando fuera detectado, para prevenir que los especialistas pudieran analizarlo. Según Norsk Hydro, las pérdidas no fueron tan grandes porque la empresa mantenía un buen sistema de backups, pero aún así se estiman que llegaron a cerca de US $90 millones. Un cuento de 174 ciudades. Y contando… Ataques por ransomware a sistemas gubernamentales también han crecido. Solamente en el 2019, criminales digitales atacaron aproximadamente 174 alcaldías en los Estados Unidos por medio de ransomware, cerca de 60 ciudades más que en año anterior. La ciudad de Baltimore, por ejemplo, una de las más grandes del país, sufrió dos ataques en 2018 y 2019 que juntos le costaron más de US $18 millones a los cofres del Estado. Uno de los ataques incluso derribó el sistema de respuestas de emergencia de la ciudad. No todos los pacientes se recuperan La compañía californiana de seguros de salud Wood Ranch Medical anunció que estaba cerrando sus operaciones a finales de 2019 como resultado de un ataque por ransomware. Eso porque el ataque había encriptado no solo los registros médicos de sus pacientes, como también los backups de la empresa. Como evitar un ataque de ransomware 1. Necesitas las herramientas correctas para entender tus vulnerabilidades Tu departamento de seguridad de TI necesita de herramientas para investigar qué pasó en cada ataque y qué partes de infraestructura tienen que ser actualizadas o sustituidas. ¿No está ejecutando una aplicación o endpoint suelto?¿Tienes puntos de red abiertos y no monitoreados? ¿Los accesos escalonados a contenidos restringidos son monitoreados? Entender y verificar las raíces de problemas significa saber tu postura de defensa, o sea, el status de seguridad de tu red y de tus datos y la capacidad que tienes de defenderlos, reaccionar a cualquier tipo de cambios y monitorear tu respuesta a incidentes. 2. Mantente atento al patching y a las actualizaciones Los invasores de hoy en día buscan por toda la internet para encontrar servidores y aplicaciones desactualizadas. Con eso, muchos ataques de ransomware ocurren rápidamente, solo días después de que esas vulnerabilidades sean atacadas por esos criminales. Los retrasos son invitaciones a los invasores. Por eso, para evitar ataques, asegúrate de que tus programas de patching cubran todos los endpoints, sean físicos o en la nube. 3. Pon a prueba regularmente tus procedimientos de recuperación y respuesta Crea un backup con tus datos esenciales y asegúrate de que ese backup esté intacto y que sea recuperable. Practica los procedimientos de recuperación y desarrolla una orden correcta para restablecer los datos en caso de que haya problemas e invasiones. Identifica tus archivos más valiosos y garantiza que estén resguardados. Por fin, revisa regularmente esta lista para asegurar que no te olvidaste de nada. Los backups de datos y los procedimientos de recuperación deben ser el punto de partida para cualquier plan de respuesta de emergencia. Ese plan debe incluir ejercicios y entrenamientos regulares y programados, desde el "table top" (reuniones organizadas donde cada persona cumple un determinado rol) hasta la resolución de problemas organizacionales y la simulación de ataques. Todo eso puede ser utilizado para encontrar enlaces débiles y obstáculos que puedan bloquear la vuelta de la infraestructura. Además de todo eso, tu plan de respuesta también debe considerar un seguro digital para protegerse en casos de filtración. Analiza con cuidado todas las opciones para saber cuál es el seguro ideal para tu negocio. 4.Mejora tu programa de seguridad y el nivel promedio de tus contraseñas Las contraseñas débiles han sido la causa de cerca de un tercio de todos los intentos de ataques de ransomware en el 2019. Hacer entrenamientos regulares sobre ciberseguridad es la mejor manera de ayudar a los usuarios a mejorar la intensidad de sus contraseñas. Instala un gerente de contraseñas para toda la empresa o una herramienta de verificación personal y activa un sistema de multiplicación de múltiples factores (MFA) para que los usuarios manejen datos privados y tareas relacionadas con dinero. Qué hacer si tu negocio es atacado por un ransomware Al aumentar tu seguridad, será más difícil que quedes vulnerable a un secuestro de datos. Aún así, al prepararte para ese tipo de incidente le estás haciendo un favor a tu empresa y a tus clientes. 1. Planear medios de comunicación alternativos Las víctimas de ransomware muchas veces se quedan incomunicables porque sistemas como el correo electrónico (e-mail), las llamadas telefónicas y los mensajes de texto pueden fácilmente ser afectados por una invasión. Por eso, es ideal incluir formas alternativas de comunicación en tu empresa dentro de tu plan de emergencia, como WhatsApp, Skype o SMS, pero ten en mente que esos tipos de sistema tampoco suelen ser los más seguros. 2. Definir si estás dispuesto a pagar un posible rescate Caso tu respuesta sea "Sí": En los EEUU, el FBI viene suavizando su política contra el pago de rescate en los últimos años. Dos ciudades de Florida, por ejemplo, votaron a favor del pago de rescates de algunos valores entre US $500 y 600 mil, pérdidas probablemente mucho menores que los costos para restaurar sus respectivos sistemas. Caso la respuesta sea "No": Pagar el rescate no significa que el criminal va a cumplir su palabra. Nada impide que esa personas haga otras exigencias o que el virus ya esté instalado dentro de tu sistema. Pero aunque el término "rescate" nos lleve a la idea de un secuestro, donde existen riesgos reales para la integridad y la vida de personas, a menos de que operes un hospital, es muy poco probable que un ransomware tenga consecuencias físicas. Al final pagar el rescate puede ser barato a la primera, pero también hace que tu compañía se vuelva un blanco más fácil para futuros ataques. El proyecto "No More Ransom", cuyos miembros incluyen a la Europol y a Kaspersky, aconseja las víctimas de ese tipo de ataque a no pagar el valor exigido. Al mismo tiempo, el proyecto trabaja para reducir el impacto de los ataques de ransomware al proveer herramientas gratis para retirar la encriptación de algunos archivos. O sea, aunque esa sea una amenaza creciente, es posible evitar impactos mayores y pérdidas causadas por esos ataques si mantienes una seguridad bien alineada y una planificación previa. Entender el alcance de los ransomware y establecer entrenamientos y ejercicios regulares para prevenirlos es lo que va a determinar si tu negocio podrá responder bien o no a un ataque.

“Una aguja en una pila de datos”: cómo utilizar la inteligencia de amenazas para prevenir ataques.

  • Minutos de lectura
    • Según Benjamin Franklin, "nada en la vida es definitivo, excepto la muerte y los impuestos". Pero ahora, en la era de la tecnología avanzada, podemos añadir una nueva inevitabilidad: las amenazas cibernéticas. Antes del primer sorbo de café en un lunes por la mañana, una nueva amenaza ya puede haber empezado a causar un gran impacto en tus datos. Apenas no la has descubierto, todavía. Entonces, en un mundo donde las amenazas están por todos lados, ¿cuáles son tus mejores opciones? Si la continuidad de tu negocio y la protección de los datos son una prioridad para su empresa, probablemente ya invertiste o estás pensando en invertir en un Centro de Operaciones de Seguridad (SOC). ¿Pero de qué sirve un SOC? Un SOC monitorea amenazas 24 horas por día para que tu equipo de seguridad cibernética pueda estar concentrado en mantener lejos a las amenazas más peligrosas. Se supone que con eso puedes estar más tranquilo y saborear tranquilamente tu café. Pero infelizmente la cosa no funciona así. Si los datos son el nuevo petróleo, estamos hoy pasando por las secuelas de un gran derrame. La sobrecarga de datos es tanto un problema para el equipo de InfoSec como para las operaciones de marketing y de ventas. Con el crecimiento constante de los dispositivos interconectados y el Internet de las Cosas, tener información sobre las amenazas que te pueden afectar es siempre algo bueno. Pero saber la diferencia entre las amenazas falsas y las que realmente necesitan de atención inmediata es como encontrar una aguja envenenada, pero no en un pajar, sino dentro de una pila de datos. Y la inteligencia de amenazas se hace necesaria para localizar e inmunizarse contra miles de amenazas posibles. ¿Por qué necesitas de la inteligencia de amenazas?             La inteligencia de amenazas es la comprensión de cuales son las diferencias entra las amenazas, para saber cuándo y cómo debes proceder para evitar problemas más graves. La consultoría Gartner define la inteligencia de amenazas como: Pero eso nos lo que se está discutiendo. El problema es que no hay dos batallas iguales contra las amenazas cibernética. Cada una tienes sus particularidades. Con la inteligencia de amenazas podemos tratar de relacionar los ataques para primero identificar quien es tu oponente y después adaptar la mejor estrategia de defensa para pararlo. Todos los días enfrentamos nuevas amenazas. Desde que Kaspersky fue creada, en 1997, sumamos más de 700 millones de nuevos archivos maliciosos, un crecimiento de 8.400 veces en comparación al volumen inicial. Estos van desde las amenazas cotidianas fácilmente detectables, como los malware conocidos, hasta amenazas avanzadas y ataques direccionados que usan TTPs (tácticas, técnicas y procedimientos), además de amenazas persistentes e inusuales, pero que son extremadamente avanzadas, como las APTs. Los datos nos muestran un escenario interesante, frecuentemente nombrado como "pirámide de amenazas". Las amenazas más conocidas, como los malware, corresponden al 90% de todas las amenazas que vemos. En comparación, las más avanzadas y los ataques direccionados corresponden a 9,9% del total. Estas tienen un efecto peor en las pequeñas y medianas empresas (PyMEs), con ataques como el Trojan Emotet, que es bastante activo hoy en día. Y solamente el 0,1% de todas las amenazas son APTs, afectando a pocas organizaciones, pero con consecuencias devastadoras. Estas son las agujas más venenosas de nuestra pila de datos. Necesitas una estrategia, no de una plataforma Una buena inteligencia de amenazas es más que solamente comprar una plataforma y esperar los resultados. Como toda prevención eficiente, ella combina tecnología, estrategia y esfuerzo. Ese tipo de sistema provee las informaciones necesarias para que sepas cómo responder, desde alertas en tiempo real sobre una potencial invasión hasta una ayuda para educar a tus principales colaboradores sobre los riesgos de una invasión. En el nivel básico, las informaciones sobre amenazas proporcionan alertas y bloqueos para indicadores de compromiso (IOC). Las alertas contextuales y la gestión de firmas electrónicas ayudan a determinar la gravedad de los ataques para planear las respuestas a esos incidentes. Otro ejemplo de utilización es el análisis de fusión: una herramienta que ayuda y evalúa alimentaciones de datos desconectadas, para con eso ayudar a identificar cuáles amenazas son las más peligrosas. Además de eso, la inteligencia de amenazas también puede mejorar tu estrategia de seguridad cibernética. Al utilizar informaciones relevantes para definir tu postura de riesgo, el planeamiento de seguridad informa las mejores decisiones de arquitectura y ayuda a perfeccionar sus procesos de seguridad para defenderse mejor de las amenazas ya conocidas. Si estás trabajando con un proveedor de servicios gestionados (MSP) para ejecutar tus operaciones de seguridad, una cuestión pertinente sería cómo instalar y ejecutar el servicio de inteligencia de amenazas y cuanto tiempo y esfuerzo vas a necesitar para eso. Considerando que el sistema tiene que funcionar 24 horas al día, 7 días a la semana, este puede no ser un servicio fácil ni barato a la hora de contratarlo. Las tres grandes partes de la inteligencia de amenazas Para planear y comprar una solución para tu empresa, debes considerar tres componentes: IOC (indicador de compromiso) El IOC es la base de la inteligencia de amenazas. Es la prueba de que podemos medir y reconocer fácilmente los síntomas de un problema, como una fiebre que funciona como señal de que hay una enfermedad en el cuerpo. Existen muchos servicios de IOC, pero para elegir el más adecuado es ideal saber cuales son las amenazas más probables para tu empresa. Indíces de datos de amenazas ("threat data feeds") Estas herramientas proporcionan inteligencia integrada, analizando los oponentes y el paisaje de amenazas más extenso. Hay muchas opciones en el mercado, tanto gratis como pagas. Para elegir lo mejor para tu negocio, pregunte: ¿Necesitamos de una alimentación de datos APT si no somos un objetivo probable para los grupos APT? ¿Dónde es el mejor lugar en tu infraestructura para añadir estos datos? ¿Debemos bloquear las amenazas o apenas avisar a los equipos? Las respuestas dependerán de la postura de seguridad y de la estrategia de TI que decidas adoptar para tu organización. Plataforma de inteligencia de amenazas Una plataforma de inteligencia de amenazas te permite gestionar una gran cantidad de softwares especializados que soportan diferentes componentes. Qué escoger y cómo integrar los servicios depende de tu presupuesto y de tus necesidades comerciales. Aunque hay por ahí datos de código abierto, puedes comprar una inteligencia sectorial más específica. Es esencial estudiar y averiguar en el mercado cuando se compran servicios de inteligencia de amenazas, para garantizar que el proveedor ofrezca un servicio reactivo, tanto en calidad de los datos que te provee, como en velocidad para responder a un incidente. Con un planteamiento cuidadoso, un buen proveedor y una estrategia bien pensada, tu SOC puede obtener muchos beneficios de la protección total y del poder de la inteligencia de amenazas. Sí, infelizmente las agujas todavía estarán escondidas en el medio de tu pila de datos, pero ahora tendrás las herramientas correctas para encontrarlas y romperlas.

El Coronavirus y la ciberseguridad: cómo deben actuar los gobiernos para protegerse

  • Minutos de lectura
    • Gran parte de la población mundial estuvo en cuarentena durante casi todo 2020 y, dependiendo del país, sigue hasta ahora, debido a la pandemia del virus Covid-19. Y aunque parezca raro, eso también trajo beneficios para el planeta.  Además de minimizar el impacto del virus, la cuarentena también afectó a otros procesos: nos dio la oportunidad de ver nuestras ciudades con menos polución e hizo que las empresas vieran que el trabajo remoto es una alternativa viable. Pero mientras mucha gente se preocupaba en perfeccionar sus habilidades en la cocina, discutir sobre "fake news" con sus parientes por WhatsApp o mantener a sus hijos ocupados mientras trabajaba, infelizmente los criminales del mundo digital también tenían tiempo libre suficiente para "profundizar sus estudios". Tuve la oportunidad de discutir sobre el actual crecimiento de las amenazas digitales y qué podemos hacer para manejarlas en un encuentro reciente de líderes mundiales sobre ciberseguridad, organizado por el Foro de Gobernanza Digital de las Naciones Unidas, conocido como IGF. Durante la pandemia, los criminales digitales tuvieron tiempo suficiente para mejorar sus habilidades y probar nuevos métodos. Con eso, vimos una fuerte alta en el número de amenazas digitales detectadas, de todos los tipos, desde malware hasta amenazas avanzadas persistentes, las llamadas APTs. Nuevos grupos de hackers también entraron en escena y con ellos nuevos tipos de ataque aparecieron. Sacándole el tapabocas a los criminales Acá tenemos un ejemplo de la expansión que los ciberataques tuvieron desde el inicio de la pandemia. Solamente en el 2020, vimos un aumento de hasta 25% en nuevos ataques. La mayoría de esas amenazas son fáciles de manejar, como los malware. Pero también vemos un aumento en el número de las pandillas de cibercriminales. Especialistas de Kaspersky monitorean actualmente más de 200 pandillas que han lanzado ataques minuciosamente planeados contra blancos importantes, como bancos e instituciones gubernamentales. También hemos visto más "novatos" entrando en el mundo del crimen digital. Pero aunque sea parada sin tanta dificultad, esa nueva ola de juveniles de la delincuencia digital promete ser una clase altamente peligrosa en el futuro. Uno de los principales miedos es justamente el potencial que esa nueva escala de crímenes digitales tiene para hacer daño a las infraestructuras de muchos países en un futuro cercano. Con el crecimiento del Internet de las Cosas, el número de puntos disponibles para ataques digitales debe crecer exponencialmente y sabemos que esos criminales tienen la capacidad y las ganas de atacar a estos dispositivos. Uno de los primeros ejemplos de eso fue uno de los grandes ataques globales ya realizados, el ataque malware Mirai, que ocurrió en el 2016 y afectó a la compañía Dyn, proveedora de dominios de internet. El ataque derribó nada menos que cientos de sitios web de vehículos de prensa en todo el planeta. ¿Cómo los gobiernos deben responder al nuevo escenario de las amenazas digitales? La pandemia tuvo dos impactos distintos sobre la seguridad mundial. Primero, las personas se volvieron blancos más débiles para amenazas digitales por trabajar desde sus casas, con menos herramientas de seguridad y pasando cada vez más tiempo conectadas. Y segundo porque el número de criminales digitales también tuvo un aumento y esos criminales también estuvieron más tiempo en casa, con la oportunidad para mejorar sus habilidades durante la cuarentena. Mientras eso, la inversión en la economía digital solo aumenta. Muchos negocios decidieron aprovechar la pausa en los mercados y los cortes hechos por la pandemia para digitalizar una parte mayor de sus funciones. Estamos viviendo un momento en el cual las organizaciones y sus consumidores aún necesitan sentirse seguros sobre las nuevas formas de comprar, vender y entregar productos y servicios. Y solo construyendo esa confianza es que las economías se hacen fuertes. ¿Pero cómo llegar a ese punto? Abajo mostramos cuáles son las tres prioridades para que eso pueda ocurrir: Líderes mundiales discuten sobre ciberseguridad internacional en la edición 2020 del Foro de Gobernanza Digital de las NNUU. 1. Crear tecnologías más seguras desde el origen Podemos crear tecnologías mucho más difíciles y caras de invadir y penetrar, pero eso tiene que ser hecho desde el principio, desde la fabricación. Tenemos sistemas operando en dispositivos que ya están disponibles en el mercado y que son tan seguros que fuimos obligados a crear un nuevo término para hablar sobre esa categoría: "ciberimunidad".  El término se refiere a los sistemas donde los ladrones tienen que gastar más para tener un ataque exitoso de lo que van a recaudar con el golpe. O sea, no vale la pena hacerlo. Podemos usar esos sistemas para hacer que algunas infraestructuras cruciales sean mucho más seguras, y el momento para dar inicio a ese movimiento es ahora. 2. Aplicar leyes de ciberseguridad en escala internacional La cooperación internacional es crucial para cazar y arrestar criminales digitales, pero parece que los países no van hacia la cooperación, sino que se distancian cada vez más. Necesitamos de un espacio dentro de la ciberseguridad donde las naciones puedan cooperar de manera segura, sin que cuestiones políticas y geopolíticas entren en el camino. 3. Una cooperación de alto nivel exige una comprensión de alto nivel Para poder cooperar tenemos que superar nuestras diferencias, pero también necesitamos de gente que entienda de ciberseguridad. Es la hora de que los "ciberdiplomatas" aparezcan: gente capacitada y actualizada sobre el agitado escenario de las amenazas digitales y que asuma un puesto de liderazgo. La buena noticia para los que imaginan un grupo de personas en una sala viendo una aburrida presentación de Power Point es que la capacitación en ciberseguridad se mantiene a par de los avances e innovaciones de la ciencia del aprendizaje. Hoy en día existe gente aprendiendo, por ejemplo, por medio de simulaciones inmersivas y gamificadas, como la Kaspersky Interactive Protection Simulation (KIPS), que se ha mostrado popular y eficiente. Mientras el mundo se recupera del shock y de los impactos de la pandemia del Coronavirus, tenemos que entender que muchas cosas han cambiado, incluso entre las amenazas digitales. Necesitamos dar inicio a una nueva era de cooperación internacional para poder cazar a los criminales digitales. Y también necesitamos que esos nuevos "ciberdiplomatas", aquellos que desarrollan y aplican políticas nacionales e internacionales de ciberseguridad, entiendan el escenario por completo y sepan qué están haciendo. Las pandillas profesionales de criminales del mundo digital están entrenando y mejorando sus habilidades. Y por eso creo que veremos los ciberataques creciendo en todo el mundo y en todos los niveles, causando más daños para los negocios y para las instituciones. Afortunadamente, la tecnología evoluciona para todos y nosotros también ganamos nuevas herramientas. Adoptar sistemas ciberimunes puede ser el primer paso para que naciones enteras mantengan luz, agua e internet funcionando durante los periodos de crisis que vienen por ahí.

Aplique una prueba de inteligencia a su inteligencia contra amenazas

  • Minutos de lectura
    • Actualmente, al parecer el dicho "pide y se te dará" necesita uno o dos comentarios al pie de página. Asegúrese de que las cosas que está adquiriendo no sean en realidad una estafa. ¿Recuerda ese poema romántico que dice el cielo es azul, las rosas son rojas...? ¿Y quién será la persona que felizmente recibirá este agradable secreto "mágico"? Probablemente nunca lo sabremos. En la inteligencia contra amenazas también puede ocurrir un caso de "entrega errónea de un artículo". Hay muchos productos descritos como inteligencia contra amenazas que no lo son. Y probablemente los clientes no se darán cuenta de que no están recibiendo lo que pidieron. Entonces, ¿cómo puede aplicarle una prueba de inteligencia a su inteligencia contra amenazas? La inteligencia contra amenazas consiste en información que fue analizada La Inteligencia contra amenazas identifica y analiza las ciberamenazas que fueron dirigidas hacia su empresa. La palabra clave es "analizar". Significa filtrar conjuntos de datos, detectar problemas reales observando el contexto y poner en marcha una solución específica para el problema. La mayoría de las veces se confunden con "datos sobre amenazas". Los datos son una lista de posibles amenazas, sin análisis de contexto ni soluciones específicas. La inteligencia contra amenazas debería fascinar a su equipo de seguridad Había una vez listas negras con direcciones IP y URL. Los primeros productos de seguridad solo hacen referencia a estas listas negras para advertir sobre una IP o una URL peligrosa. Con el tiempo, la cantidad de datos sobre amenazas aumentó exponencialmente. Se hizo difícil definir lo que era una amenaza real y lo que no. El software de seguridad no estaba diseñado para procesar tantos indicadores de compromiso, comolos algoritmos de hash en los archivos maliciosos, dominios o direcciones de servidores de la botnet. Algunos productos comercializados como inteligencia contra amenazas incluyen fuentes de amenazas e indicadores de compromiso, pero sin contexto, solo son grandes cantidades de datos brutos. Esto representa un problema. Dar a las operaciones de seguridad dicha "inteligencia" causará demasiadas alertas de seguridad falsas. El exceso de alertas implica un serio impacto en la seguridad general de su empresa. En la investigación se concluyó que el 52 por ciento de las alertas de seguridad no se investigan. Y los datos, por relevantes que sean, son inútiles a menos que tengan un contexto y puedan ser tomados en cuenta. Con una verdadera inteligencia contra amenazas, un equipo de Infosec puede detener a tiempo una brecha y proteger una red, o darse cuenta de que se detectó malware cotidiano que no representa una amenaza grave. La inteligencia contra amenazas debería predecir su futuro Identificar las amenazas que había ayer es historia. La inteligencia contra amenazas actualmente se enfoca en la calidad de las fuentes de datos. Ya no es suficiente que los datos aporten información, pero tampoco representan pautas para tomar decisiones y llevar a cabo acciones. Y cuando su calidad está limitada por la falta de fuentes –por ejemplo, que no permiten ver dentro de la red oscura, o la falta de alcance global multilingüe– la inteligencia contra amenazas no puede procesarse de forma efectiva. La inteligencia debe ser capaz de predecir cómo debe prepararse su empresa para combatir las amenazas que la atacarán en el futuro. La inteligencia contra amenazas debe adaptarse a su empresa Una solución de inteligencia contra amenazas debe adaptarse a las necesidades de seguridad de una empresa. Debe orientar a la empresa para establecer puntos internos de recopilación de datos alrededor de los activos críticos. Después se cotejan los datos con los datos externos de la inteligencia contra amenazas para identificar las amenazas. Sin este enfoque selectivo, no logrará priorizar la información necesaria para defender sus activos clave. Como dijo Helen Patton, Directora de Seguridad de la información (CISO) de la Universidad Estatal de Ohio, en el artículo de Forbes del 2019 " Las amenazas son solo una amenaza en el contexto del riesgo para la misma empresa". La Inteligencia contra amenazas puede controlarse La inteligencia contra amenazas es algo que usted puede controlar. Debe integrar múltiples fuentes de información en las operaciones de seguridad de una empresa, mediante un punto de entrada único. Para que sea efectiva, la empresa debe ser capaz de utilizar tanto la Inteligencia contra amenazas que es legible por una máquina como por los humanos. Sus métodos y formatos de entrega deben permitir que se integre sin problemas en los flujos de trabajo de seguridad existentes. Debe ofrecer una visión única sobre las nuevas amenazas, para que los equipos de seguridad puedan priorizar alertas, maximizar recursos y acelerar la toma de decisiones. ¿La inteligencia contra amenazas de su empresa pasa la prueba? Si no lo hace, es hora de obtener lo que le prometieron.  

Prevenir es mejor que remediar: descubriendo y previniendo ataques cibernéticos a la cadena productiva

  • Minutos de lectura
    • Ataques a la cadena de suministros de empresas representan un cambio entre los hackers. Ese tipo de ataque no es algo nuevo, pero se ha vuelto cada vez más común y evoluciona lo suficiente para no ser detectado por los métodos de seguridad más básicos. Esos ataques funcionan con la implantación de un payload, la parte de un malware que ejecuta ataques, dentro de softwares, firmwares y hardwares. Ese payload escondido por el hacker termina infiltrado como parte del producto final y, de esa forma, las compañías que desarrollan ese producto se vuelven distribuidores involuntarios de malwares. Esos invasores se ocultan en las computadoras y las redes de los consumidores hasta que algún disparador lo haga lanzar su proceso malicioso. El objetivo de este artículo son los ataques a la cadena de suministros de softwares, pero también vamos a abordar otros dos tipos de ataques, para que sea posible entender la escala y el alcance de las vulnerabilidades de las cadenas de suministros. Ataques a hardwares Invasiones a la cadena de suministros de hardwares son, en su mayoría, amadoras y baratas. Un buen ejemplo son los drives USB con keyloggers instalados, programas capaces de grabar más de 8 mil páginas de toques del teclado. Otro caso común son los micrófonos instalados en los conectores de red Ethernet (plugs RJ45), que ayudan a robar contraseñas y otros datos sensibles.  Ataques a firmwares Hackers también tienen la costumbre de manipular el firmware de diferentes equipos al aplicar códigos maliciosos que se infiltran en esos equipos. El objetivo más común es el firmware de inicialización. Con eso, el usuario ejecuta el malware involuntariamente solo con encender su equipo. Ataques a softwares Hackers prefieren atacar la cadena productiva de softwares porque de esa manera con manipular un solo link dentro de la cadena pueden inserir un malware en todos los productos de esa compañía y, por lo tanto, en miles de computadoras. Ese código malicioso puede ser aplicado en múltiples etapas del desarrollo de un software, desde su creación hasta la compilación, distribución y actualizaciones. La evolución y la mayor complejidad de los softwares empresariales también ayudó para que los hackers tuvieran más opciones de ataque. Esos ataques pueden tener como objetivo el código fuente de un software, infiltrando códigos maliciosos en la creación de aplicaciones supuestamente confiables, por ejemplo. A veces, ese código es aplicado en un archivo ejecutable por medio de un compilador (programa que traduce código de un lenguaje para otro) o por un linker (programa que combina datos que el compilador genera en archivos ejecutables) que esté infectado. Otro objetivo frecuente son los mecanismos de actualización de los softwares. Mientras los desarrolladores de softwares confiables tienen la costumbre de "firmar" sus archivos ejecutables y sus scripts con certificados digitales para confirmar que sus códigos no han sido manipulados, los ataques a ese tipo de software tienen la costumbre de incluir certificados robados y que se pasan por genuinos. Por eso, generalmente las empresas chicas y otros desarrolladores de software que dependen de códigos abiertos son los agentes más vulnerables a ese tipo de ataque. Los principales ataques (hasta ahora) Un ataque para definir los próximos Algunas invasiones de hackers a cadenas de suministros de softwares cuentan con una planificación previa extremadamente sofisticada. todo para identificar las mejores víctimas para futuros ataques. Un ejemplo de esa complejidad fue uno de los principales ataques a la infraestructura de una compañía: el caso de Energetic Bear. En él, los hackers usaron una campaña de spear-phishing (e-mails infectados con malwares) para obtener informaciones de los proveedores de la compañía y establecer una lista de blancos para atacar. El Fantasma de la Herramienta de Creación Toda empresa está vulnerable. Hasta Apple, famosa por su resistencia contra virus, ha sido víctima de un ataque a su cadena productiva. Hackers usaron el Xcode, una herramienta para crear aplicaciones para iOS y OS X, para infiltrar códigos maliciosos dentro de múltiples aplicaciones. Y Apple ofreció esas apps en su App Store sin saber que estaban infectados. a mayor parte de los desarrolladores generalmente descargan el Xcode de una forma segura, directamente de Apple. Pero el programa también está disponible para download en diversos foros online de desarrolladores. Hackers entonces infiltran códigos maliciosos en las versiones disponibles en esas fuentes alternativas. Especialistas en seguridad del gigante del e-commerce Alibaba detectaron las variaciones manipuladas y las llamaron "XcodeGhost". Esas versiones contenían solamente algunas líneas extra de código, difíciles de detectar, pero suficientes para penetrar y propagar un malware. Entrado por el backdoor de un popular gerente de servidores El incidente de ShadowPad es uno de los más conocidos y sofisticados ataques a cadenas de suministros ya visto. En 2017, investigadores de Kaspersky descubrieron un backdoor, llamado ShadowPad, implantado en un software de gestión de servidores usado por cientos de grandes empresas en todo el mundo. Cuando es activado, o mejor, abierto, ese backdoor permite que hackers instalen otros módulos infectados y roben datos del sistema. En este caso, los hackers verificaron el código malicioso con un certificado legítimo. Todo aquello que llevaba hacia la función infectada fue ocultado y hecho invisible para los usuarios y los invasores no solo tenían acceso a los certificados, como también al código fuente y al sistema de creación del software. Investigadores del Equipo de Análisis y Estudios Globales de Kaspersky, llamado GReAT, notificaron inmediatamente al proveedor NetSarang, que rápidamente sacó el software infectado de su plataforma de descargas y lo sustituyó por una versión anterior limpia. En este caso, NetSarang mostró que una respuesta rápida a ataques cibernéticos como este es lo que hace la diferencia. Junto a Kaspersky, la compañía encontró solo un payload infectado lo que es un excelente resultado, considerando la gran popularidad del producto. El ataque más amplio: un ataque al limpiador CCleaner es un programa muy popular para limpiar archivos, con más de 2 mil millones de descargas. Pero después de un ataque a su cadena productiva en septiembre de 2017, una versión infectada de su software fue descargada en más de 2 millones de computadoras. El ataque se hizo a través de una pequeña laguna, pero los hackers cifraron todos los códigos, haciéndolos mucho más difíciles de detectar. Así como en el caso del ShadowPad, los invasores verificaron sus códigos maliciosos con certificados digitales legítimos. Los hackers de este ataque tenían un nivel más alto como objetivo, por eso incluyeron en el malware una función para detectar si el usuario infectado tenía credenciales de administrador. De esa forma, el ataque solo seguía adelante si aquel usuario tuviera acceso a funciones de comando y control de la empresa. Como el ataque era extremadamente selectivo, la versión completa del malware solo fue descargada en 40 computadoras. Pero las víctimas del ataque al CCleaner incluyen algunos de los principales nombres de la industria de la tecnología, como Samsung, Fujitsu, Intel Sony y Asus, y eso hace que sea uno de los ataques más destruidores y eficientes descubiertos hasta hoy. Infiltrándose en funciones automáticas de actualización Investigadores de Kaspersky descubrieron el malware Operation ShadowHammer en enero de 2019 en un archivo sospechoso con un certificado original de la marca Asus. El archivo era distribuido por el servidor oficial de Asus, pero contenía un backdoor. Eso es porque muchas veces los ataques a la cadena productiva tienen como objetivo las actualizaciones automáticas del sistema. Para empezar, los hackers plantaron el código Operation ShadowHammer en la herramienta de actualizaciones en tiempo real de Asus. Pero la complejidad de ese ataque sólo siguió aumentando. Luego, el Operation ShadowHammer fue disparado para más de 400 computadoras, infectando 230 de ellas. Pero Asus no fue el único blanco. Desde la primer descubierta, el equipo de Kaspersky ha descubierto múltiples otros casos, incluyendo otras 3 empresas de softwares, todas con archivos digitalmente certificados, donde los hackers verificaron las entradas de acceso con diferente certificados para cada uno de sus ataques. Detectar es mejor que curar Detectar ataques a la cadena de suministros es un trabajo con muchos matices. Muchas veces, esos ataques no manipulan directamente el código original, pero si manipulan las actualizaciones descargadas, que son ejecutadas directamente por la memoria del sistema. Los videojuegos están entre los objetivos más atractivos para ataques a la cadena de suministros, porque en ellos se hace más difícil saber si los malwares son o no parte de las funcionalidades originales del software. Herramientas contra cheat codes o de protección de IP son algunos ejemplos de manipulación de códigos comunes en esos juegos y que pueden confundir el sistema y disparar procesos de análisis de comportamiento. Los códigos maliciosos de ataques a la cadena productiva son una parte minúscula dentro de un archivo ejecutable. Por eso, tratar de encontrarlos es como buscar una aguja en un pajar. Y eso se vuelve aún más difícil cuando esos malwares están verificados con el mismo certificados que los archivos originales. ¿Cómo las empresas pueden defenderse contra ataques a su cadena de suministros? Los proveedores son blancos menos resistentes que los fabricantes, porque los productos finalizados son más extensos y complejos. A partir de una única y pequeña laguna escondida en un proveedor, los criminales pueden hacer daño a blancos mucho más grandes. Pero, ¿y qué pueden hacer las empresas sobre eso? 1.  Usar las mejores soluciones en seguridad digital Soluciones de seguridad básicas dan prioridad a la velocidad en lugar del rigor, abriendo  espacio para que sus sistemas sean engañados por certificados supuestamente verdaderos o confundiendo archivos sospechosos por falsos positivos. Soluciones completas y dedicadas solamente a la seguridad digital hacen un mejor trabajo. Una solución de nivel corporativo con buena reputación es esencial para poder detectar y capturar invasores avanzados, ya que ese tipo de solución analiza todas las anomalías y provee al equipo de seguridad digital de las compañías una visión completa de su red, con derecho a respuesta automática. 2.  Contrata un equipo capacitado. Y un equipo rojo también Las empresas deben contratar funcionarios de seguridad de T.I. altamente capacitados, incluyendo especialista de seguridad, analista de SOC (Security Operations Center) y un Red Team (Equipo Rojo). El Red Team hace la función de "abogado del Diablo". Ellos simulan situaciones de peligro y actúan para obligar a las empresas a repensar sus estrategias, analizando también el trabajo de la propia compañía y entregando un punto de vista crítico y distinto sobre sus procesos. 3.  Usa modelos de amenazas a la hora de desarrollar un software Durante el desarrollo de un software, lo ideal es que las empresas creen un modelo de amenaza en su sector de creación para simular posibles problemas y así identificar y eliminar potenciales riesgos futuros. Además, el modelo de acceso elegido debe aplicar el Principio del Menor Privilegio, en inglés Principle of Least Privilege o PoLP. Así se restringirá el riesgo a accesos indeseados. 4.  Mantén una buena relación con tus proveedores Es simple: crea una relación de confianza con tus socios que sea más fuerte de lo normal. 5.  Invierte en dar respuestas Cómo es posible notar en el caso de NetSarang y su respuesta rápida en el caso ShadowPad, es igual de importante que los negocios inviertan en la gestión de riesgos, así como en seguridad. Si tu empresa no tiene la capacidad interna para manejar eso, lo ideal es involucrar a un equipo externo de respuestas a incidentes para investigar posibles ataques o cualquier tipo de actividades sospechosas.
by Tecnología innovadora.
Innovando líderes.
Acerca de funciones seguras

La revista Secure Futures es su guía comercial de referencia para obtener opiniones, tendencias y conocimientos sobre el mundo de la tecnología y la ciberseguridad. Ayudamos a su negocio a traer el futuro. Presentado por Kaspersky, los expertos mundiales en ciberseguridad.

  • Para el resto de países