Por: Ghassan Dreibi / Cisco Systems

Con este blog, considero que es un excelente momento para reflexionar sobre dos cosas sumamente importantes:

1. La ciberseguridad está en cada uno de nosotros… llamesé organización, gobierno, colaborador, no importa, todos podemos generar conciencia y hacerlo no solo un mes al año, sino el año completo.
2. Las tendencias clave y emergentes del año pasado, ya que no ha habido escasez de titulares de seguridad sobre los cuales reflexionar, por lo que hablaré sobre tres cuestiones clave que me llamaron especialmente la atención.

La cadena de suministro.

Antes de 2021, se suponía que los ataques a la cadena de suministro eran exclusivamente una herramienta solo para actores de amenazas sofisticados patrocinados por el estado. Se pensaba que los recursos y conocimientos necesarios para comprometer a un proveedor de software e integrar código malicioso estaban fuera del alcance de los actores de amenazas criminales, sin embargo, en julio de 2021 esta suposición fue aplastada.

El ransomware REvil se distribuyó a través de la explotación de una vulnerabilidad previamente no identificada en el código del servidor de Kaseya VSA, una herramienta de monitoreo y administración del sistema. Los actores de amenazas abusaron de la vulnerabilidad para distribuir su código malicioso como una actualización de confianza distribuida desde el servidor comprometido a los sistemas cliente administrados por la herramienta.  Con el agente falso malicioso instalado, el software escribe una versión legítima, pero explotable, antigua de una aplicación de Windows Defender en el disco, y finalmente la usa para ejecutar el ransomware. Por lo tanto, el disco se cifra desde una aplicación de confianza y firmada, que se ejecuta desde un directorio de confianza.

El impacto del ataque fue más amplio de lo que podría imaginarse en un principio. Kaseya VSA se utiliza a menudo para administrar un gran número de sistemas en una amplia variedad de organizaciones. Golpear los servidores dentro de los proveedores de servicios administrados significó que un servidor violado afectó a muchas organizaciones. Detener muchas empresas significa más pagos de rescate potenciales para que los malos los cobren y, por lo tanto, será una táctica tentadora para muchos otros atacantes en el futuro.

En muchos sentidos, los actores de APT bien recursos actúan como líderes de pensamiento para el resto del panorama de amenazas, mostrando lo que un actor de amenazas ambicioso y efectivo puede lograr. Es posible que los actores criminales que llevaron a cabo el ataque de Kaseya hayan tenido algún tipo de apoyo o protección estatal, o que hayan logrado el ataque completamente a través de sus propios esfuerzos. En cualquier caso, es probable que veamos más casos de cadenas de suministro que se utilizan para distribuir malware en el futuro.

Robo de recursos informáticos con fines de lucro.

Los actores de amenazas criminales están motivados por las ganancias. Uno de los modelos de negocio más exitosos que han creado es el del ransomware, donde un sistema puede detenerse cifrando datos y requiriendo el pago para que el sistema vuelva a su estado normal. Aunque lucrativo, este modelo es muy abrupto. Las víctimas pueden notar que el sistema se compromete muy rápidamente y deben resolver la situación para continuar con su función normal. Sin embargo, hay debilidades en este modelo para el atacante. El flujo de ingresos se basa en la búsqueda continua de nuevas víctimas, lo que requiere tiempo y recursos. Si el compromiso es solo un inconveniente menor para la víctima, y en ausencia de una copia de seguridad que funcione, la víctima puede optar por volver a imaginar el sistema.

La persistencia en un sistema comprometido puede ofrecer más oportunidades para extraer valor que el enfoque de una sola toma del ransomware. Apropiarse de recursos de sistemas comprometidos fue una táctica implementada por muchas de las primeras botnets. En estos ataques, el controlador de botnet robó recursos, incluido el ancho de banda de la red, mediante el envío de spam o el lanzamiento de ataques de denegación de servicio desde los sistemas de sus víctimas infectadas.

En los últimos años, los atacantes han desarrollado criptomineros para robar recursos informáticos de sistemas comprometidos. La minería de criptomonedas requiere grandes cantidades de potencia informática para resolver los desafíos criptográficos necesarios para adquirir nuevos tokens de criptomonedas. Desarrollar y operar las instalaciones informáticas legítimas para lograr los cálculos necesarios es costoso. Sin embargo, robar estos recursos es fácil por lo tanto, vemos el desarrollo de malware de criptominería que se encuentra como un proceso de fondo en sistemas comprometidos, robando recursos para ganar dinero a los malos.

Aunque el beneficio de un solo sistema es pequeño, los atacantes pueden persistir en sistemas comprometidos durante largos períodos de tiempo y controlar un gran número de sistemas afectados.

El creciente despliegue de sistemas y dispositivos inteligentes en nuestros hogares y lugares de trabajo significa efectivamente que estamos instalando muchos dispositivos informáticos pequeños conectados a la red sin considerar necesariamente cómo defenderemos y monitorearemos estos dispositivos. Una cosa es cierta: los malos buscarán comprometer y extraer valor de estos sistemas, casi con seguridad robando su potencia informática y conectividad de red.

No quite el dedo del renglón…

En los últimos dos años, las tendencias a largo plazo del aumento del trabajo remoto y el uso de servicios entregados en la nube se han acelerado masivamente debido al trabajo remoto durante la pandemia de COVID-19. Con los usuarios y los sistemas a los que acceden fuera del entorno de oficina tradicional, la cuestión de cómo autenticar a los usuarios se ha vuelto cada vez más importante.

Los nombres de usuario y las contraseñas nunca han sido un mecanismo particularmente seguro para verificar las identidades de los usuarios. Los usuarios son propensos a revelar sus nombres de usuario y contraseñas en respuesta a las señales de ingeniería social de los ataques de phishing. Los estudios han demostrado que los usuarios incluso revelarán voluntariamente su contraseña a cambio de una golosina de chocolate. El uso continuo de sistemas heredados, las malas elecciones en la implementación del sistema o los malos algoritmos hash también han permitido a los atacantes recopilar un gran número de nombres de usuario y pares de contraseñas de texto sin formato.

El uso de la autenticación multifactor ofrece una capa adicional de seguridad. Estos enfoques, incluido Cisco Duo, requieren que los usuarios se autentiquen con un método de inicio de sesión adicional, como responder a una alerta en su dispositivo móvil. Los teléfonos personales son excelentes para autenticar a los usuarios, ya que los usuarios se dan cuenta rápidamente cuando sus teléfonos no están cerca, y estos dispositivos con frecuencia están protegidos por datos biométricos, como una huella digital.

Sin embargo, el reconocimiento biométrico se basa en una “cadena de custodia” segura. El dispositivo que lee la huella digital debe ser seguro, el software que interactúa con el dispositivo de huellas dactilares debe ser seguro, al igual que la conexión que transmite el resultado al sistema de autenticación. Nada de esto puede darse por sentado.

Hemos demostrado que es posible imprimir en 3D una huella digital que engañará a los sistemas de lectura de huellas dactilares con equipos de impresión 3D de grado de consumidor y nada más que un escaneo de la huella digital del usuario. Esto significa que cualquier actor de amenazas con recursos adecuados podría desarrollar técnicas de clonación de huellas dactilares para engañar al reconocimiento biométrico. Si bien la biometría ofrece una vía adicional de autenticación, todos debemos ser conscientes del hecho de que el mundo de la biometría también abre la posibilidad de nuevos tipos de ataques.

Constante evolución.

A medida que evoluciona nuestro uso de la tecnología y las capacidades de los actores de amenazas, también lo hace el panorama de amenazas que enfrentamos. En Talos, monitoreamos continuamente el panorama de amenazas, nuestra inteligencia de amenazas ayuda a impulsar la cartera de seguridad de Cisco. Nuestros analistas de respuesta a incidentes están disponibles tanto para resolver incidentes de ciberseguridad cuando ocurren, para compartir nuestra experiencia para garantizar que las organizaciones se enfrenten a la menor cantidad de incidentes posible y para prepararse con anticipación para que los incidentes se resuelvan de manera rápida y fácil.La tecnología y las tácticas de los malos seguirán cambiando, por lo que debemos asegurarnos de que nuestras posturas seguras sean adecuadas para las amenazas a las que nos enfrentamos.

Por: Ghassan Dreibi / Cisco Systems

Octubre es el mes de la concientización sobre ciberseguridad  y aprovecho para compartir un tema que ya se ha discutido mucho, pero que últimamente se ha ido abriendo camino fuera del espacio de la ciberseguridad: el ransomware. Es posible encontrar en todas partes, desde noticias en los principales vehículos de prensa hasta la cumbre del G7, debates en torno a esta amenaza. Cada vez más, este tipo de estafa está afectando a las empresas de infraestructura crítica que no pueden permitirse ningún tiempo de inactividad o interrupción de un incidente cibernético.

Recuerde que el ransomware es un tipo de malware o software malicioso que cifra los datos de una víctima y luego el atacante exige un rescate. Una vez que se paga el rescate, el atacante envía una clave de descifrado para restaurar el acceso a los datos de la víctima, el rescate puede variar desde unos pocos cientos de dólares hasta millones de dólares. Por lo general, el pago se requiere en forma de criptomonedas, como bitcoins.

¿Cómo funciona exactamente? ¿Qué lo hace tan destructivo? ¿Y cómo pueden las organizaciones detenerlo? Aunque el gobierno ha declarado recientemente que jugará un papel más importante en la mitigación del ransomware y otros ciberataques, también ha enfatizado la importancia de colaborar con el sector privado para combatir este problema generalizado.El ransomware ahora es un problema para todos, desde gobiernos, corporaciones e incluso individuos. La pandemia ha aumentado aún más las oportunidades para los atacantes cibernéticos, ya que los empleados acceden a los recursos de la empresa desde una multitud de dispositivos y redes no administrados por el personal de TI corporativo.

¿Por qué el ransomware es tan peligroso, especialmente ahora?

Los datos son el elemento vital de todas las organizaciones y, a menudo, detienen las operaciones cuando no están disponibles. Históricamente, el ransomware se dirigía a sistemas individuales y solicitaba unos cientos de dólares para recuperar datos en esa máquina en particular. Ahora, a través de la “caza mayor”, los actores de amenazas persiguen objetivos más grandes y se mueven lateralmente por un entorno para llegar a sistemas más críticos para la misión. Una vez que obtienen acceso, implementan ransomware en múltiples puntos de la red para que la víctima esté más dispuesta a pagar un rescate muy alto (a veces en millones).

También se están utilizando otras tácticas más agresivas para aumentar las posibilidades de que los operadores de ransomware ganen dinero. Por ejemplo, comprometerán los sistemas de respaldo para que los administradores no puedan usarlos para restaurar datos. Algunos operadores de ransomware también están empleando la “doble extorsión”, amenazando con divulgar información confidencial al público al mismo tiempo que interfieren con las operaciones diarias de la víctima.

Además, el modelo de ransomware como servicio hace que la barrera de entrada para lanzar ransomware sea muy baja. A través de estos servicios, los actores de amenazas que no tienen las habilidades o los recursos para crear su propio ransomware pueden simplemente comprar kits de otros actores de amenazas. Esto le da a cualquiera que desee llevar a cabo un ciberataque la oportunidad de obtener fácilmente código malicioso que se sabe que funciona para explotar vulnerabilidades sin parchear.

¿Por qué no solo pagar el rescate?

Aunque los pagos de rescate de hoy son a menudo de millones de dólares, pagar para restaurar datos a veces es aún menos costoso que los impactos operativos de una empresa completa que se desacelera o se detiene (especialmente cuando se trata de infraestructura crítica). Entonces, ¿por qué no pagar el rescate?

Los expertos en seguridad y gobierno desalientan a las empresas a pagar un rescate, ya que simplemente continúa alimentando el ciclo de ataque. Si un atacante recibe el pago de rescate de su objetivo, eso lo motiva aún más para atacar a la organización nuevamente, sabiendo que es probable que si pague. Y, por supuesto, el hecho de que una organización decida pagar un rescate no siempre significa que sus datos se restaurarán o que su información confidencial no se divulgará a personas ajenas.

¿Qué podemos hacer para detener el ransomware?

Dado que el ransomware se ha vuelto tan multifacético, nuestras protecciones también deben hacerlo. Ninguna tecnología o las mejores prácticas por sí solas pueden prevenirlo. Debemos pensar en la defensa contra ransomware como un proceso continuo en capas. Las mejores tecnologías están actualizadas para detectar las amenazas más recientes y están bien integradas para que una solución pueda continuar donde la otra termina.

La educación del usuario final también debe desempeñar un papel clave en la lucha contra el ransomware, de modo que los empleados sepan lo que está en juego cuando navegan y hacen clic sin pensar. Sin embargo, según Wendy Nather, CISO de Cisco, hay una forma correcta y una forma incorrecta de hacerlo.

Wendy compartió que cuando se llevan a cabo ejercicios de phishing dentro de su unidad de negocio, se celebra a los empleados que lo denuncian (en lugar de castigar a los que caen en la trampa). “Es una excelente manera de enfatizar y motivar el tipo de comportamientos que queremos ver”, agregó.

Los mejores consejos para la defensa contra ransomware

Si no está seguro de por dónde empezar con la defensa contra ransomware, comience con la higiene cibernética básica. (Si bien parte de esto puede parecer simplista, a menudo se pasa por alto debido a limitaciones de recursos, un enfoque en proyectos de alto nivel, etc.). Los atacantes son conscientes de esto y, a menudo, aprovechan estas vulnerabilidades y debilidades comunes).

1. Mantenga los sistemas parcheados y actualizados. La aplicación de parches automatizada, puede ayudar a garantizar que nada se escape y también puede reducir la carga de sus equipos de seguridad y TI. De las 25 mejores prácticas que analizamos en nuestro Estudio de resultados de seguridad de 2021, se encontró que la tecnología de actualización proactiva tuvo el efecto más fuerte en la mejora de las defensas generales.
2. Realice siempre una copia de seguridad de los datos para poder recuperarlos en caso de emergencia. Almacene las copias de seguridad fuera de línea para que los intrusos cibernéticos no las encuentren. Desarrolle un plan de recuperación de datos que pueda ayudarlo a lograr la restauración a escala y, al mismo tiempo, garantizar la continuidad del negocio.
3. Mantenga un inventario preciso y actualizado de sus activos. Las máquinas más antiguas y olvidadas a menudo proporcionan una entrada para los atacantes.
4. Realice evaluaciones de riesgos continuas para descubrir cualquier vulnerabilidad en su infraestructura.
5. Cifre los datos confidenciales y segmente su red para que los ciberdelincuentes no puedan acceder fácilmente a los sistemas críticos.
6. Asegúrese de que sus empleados estén familiarizados con la ciberseguridad y el ransomware. Enséñeles la importancia de las contraseñas seguras, cómo detectar un correo electrónico de phishing, qué hacer si reciben una comunicación sospechosa, etc.
7. Manténgase informado sobre los últimos riesgos y tácticas defensivas, y tenga un plan sólido de respuesta a incidentes para manejar amenazas inesperadas. Organizaciones como Cisco Talos ofrecen servicios de respuesta a incidentes para ayudarlo a prepararse, responder y recuperarse de infracciones.
8. Preste atención a la guía de ransomware de entidades gubernamentales como CISA y NIST.

Y, por supuesto, asegúrese de implementar una gama completa de soluciones de seguridad para cubrir los muchos vectores de amenazas que los atacantes utilizan para ingresar, que incluyen:

Secure Firewall: evite que los ataques invadan su red con firewall modernizado y tecnología de prevención de intrusiones.

Secure Email: bloquee el ransomware entregado a través de spam y phishing, e identifique automáticamente los archivos adjuntos y las URL maliciosos.

Seguridad web y en la nube: proteja a los usuarios del ransomware y otro malware mientras navegan por Internet o utilizan aplicaciones en la nube.

Secure Edpoints: detecte y repare las amenazas que infectan los distintos endpoints de su entorno.

Secure Access: asegúrese de que solo los usuarios y dispositivos autorizados accedan a sus recursos a través de la autenticación multifactor (MFA) y otras medidas de seguridad.

Defensa contra ransomware de Cisco

Si necesita ayuda con su estrategia de ransomware, Cisco Secure ofrece todas las tecnologías anteriores y más. Están integrados a través de la plataforma Cisco SecureX para una máxima eficacia y están respaldados por la inteligencia de amenazas líder en la industria de Cisco Talos.

Contáctenos para poder ayudarle a defenderse contra el ransomware: https://mcs.com.mx/contacto/