Mentes criminales en el contexto de ransomware – Attivo Networks

La advertencia ha sido clara y tajante: los ataques de ransomware son cada vez más sofisticados, lo que incrementa su efectividad para causar daños severos a las empresas. Sin embargo, hay detalles que no siempre se esclarecen. ¿En qué consiste la señalada sofisticación? ¿Por qué es un factor tan amenazante?

Para responder dichos cuestionamientos, el primer paso es entender que los ataques de ransomware, tal como ocurre en otras áreas tecnológicas, están en permanente evolución. En ese sentido, lo que está ocurriendo en la actualidad –el hecho que ha encendido las alarmas– es que los cibercriminales están mostrando menos interés en los ataques “tradicionales” de ransomware (lo que algunos analistas llaman “commodity ransomware”), los cuales tienen un alto componente de automatización: las herramientas de los ciberactores maliciosos están diseñadas para activar la agresión tan pronto como consiguen el acceso a la red empresarial, a esto se le llama enfoque indiscriminado –el “talento” de los cibercriminales tiende a concentrarse en la creación de la campaña de phishing que promueve el ataque.

Hoy, los grupos cibercriminales están optando por un enfoque menos brutal, si hablamos de la cantidad de equipos comprometidos. Sin embargo, la intrusión ahora se lleva a cabo de manera quirúrgica y con toda la intención de causar daño en donde más le duela a las organizaciones. Cuando logran entrar a una red, la prioridad de los atacantes ya no es el golpe súbito, sino la posibilidad de permanecer ocultos en la infraestructura. De esta forma, podrán explorar la red para ubicar las vulnerabilidades y perfilar los activos corporativos más valiosos. Una vez que obtienen dicha información (tarea a la que le podrían dedicar horas, días, semanas o meses), los cibercriminales están listos para lanzar un ataque preciso, oportuno y difícil de contener; y que por su impecable planeación y ejecución les garantiza una mejor recompensa económica o, por lo menos, estar en una mejor posición para la extorsión.

Ya dentro de la red, los cibercriminales pueden ser muy eficientes en los preparativos del ataque. Un reporte de este año de la firma Crowdstrike señaló que el llamado “tiempo de ruptura” – el tiempo que le toma a un adversario moverse lateralmente de un host ya comprometido a otro host dentro del entorno de la víctima- registró un promedio de 1 hora y 32 minutos. El estudio también descubrió que en el 36% de estas intrusiones, el adversario pudo moverse lateralmente a hosts adicionales en menos de 30 minutos.

Además, el tiempo que los cibercriminales logran mantenerse escondidos en la red, rastreando información valiosa de la compañía, facilita la puesta en marcha de un ataque de ransomware de doble extorsión (no sólo el cifrado/secuestro de datos, sino también la amenaza de divulgar documentos comprometedores o confidenciales).

Para preparar y ejecutar un ataque de este tipo, las herramientas maliciosas automatizadas no son el ingrediente indispensable. El factor que marca la diferencia es un conjunto de mentes humanas –malintencionadas, pero con grandes conocimientos técnicos e inclinación hacia el razonamiento estratégico. En esto radica el peligro del llamado “ransomware operado por humanos” o “ransomware 2.0”. En este tipo de ataques, las organizaciones, más allá del factor tecnológico, están enfrentando a un grupo de personas que pueden reaccionar, con sagacidad, agilidad y eficiencia, frente a cualquier circunstancia u oportunidad que se les presente en el camino. Y peor aún: esta capacidad intelectual con fines nocivos puede ponerse a disposición de un tercero, a través de la modalidad de Ransomware como Servicio (RaaS).

Por su componente humano, estos ataques de ransomware se están convirtiendo en un problema serio de ciberseguridad. Prueba de ello lo podemos encontrar en los casos de LockBit y Conti. En días recientes, la consultora global Accenture fue atacada por el grupo que opera LockBit. Aunque la empresa ha intentado ocultar los detalles de la agresión (algo que se le ha criticado con dureza en la prensa internacional), trascendió que los actores maliciosos solicitaron $50 millones de dólares para “liberar” 6 TB de información.

No son invencibles

Los ataques de ransomware operado por humanos podrán ser sofisticados, pero definitivamente no son indescifrables. Los especialistas en ciberseguridad tienen –para nuestra fortuna– una perspectiva de sus hábitos, recursos preferidos y tácticas principales.

Estos diagnósticos han detectado un patrón claro: obtener el control del Directorio Activo (AD, Active Directory), el componente tecnológico que le permite “apalancarse” a los actores maliciosos para concebir e ir construyendo el ataque de ransomware, ya que, gracias a las debilidades nativas del AD, estos podrán robar credenciales, mapear la red, realizar movimiento lateral y escalar privilegios –actividades que realizan con criterio estratégico.

Sin embargo, la principal ventaja de los agentes nocivos nada tiene que ver con la sagacidad humana, sino con la falta de preparación de la mayoría de las organizaciones. De acuerdo con un estudio, las empresas, por cuestiones de infraestructura y de prácticas de gestión de red, terminan por facilitar el trabajo de los operadores de ransomware: usan herramientas de protección desactualizadas y que no son aptas para amenazas como el ransomware; descuidan la ciberseguridad de sus equipos expuestos a internet; generan demasiadas cuentas con privilegios excesivos; no tienen un control estricto de sus credenciales (por ejemplo, para detectar credenciales “abandonadas” en un endpoint); su monitoreo de la actividad en la red puede ser negligente (por desdén o confusión, llegan a ignorar una alarma, asumiendo que es un falso positivo, que revela un comportamiento extraño en la red); por mencionar algunas situaciones recurrentes.

Para evitar un ataque de este tipo de amenazas, las empresas deben recurrir a innovaciones con capacidades y características muy específicas. El primer criterio es buscar soluciones de ciberseguridad que realmente estén especializadas en ransomware, lo que implica protección ante las distintas variedades y en diversas instancias (red, puntos finales, nube, archivos y carpetas locales, drives removibles, shares de red y de nube).

Asimismo, dadas las prácticas del ransomware operado por humanos, las tecnologías idóneas deben tener recursos especiales para aspectos como:

• Directorio Activo: monitoreo permanente del AD, con el fin de detectar oportunamente malas configuraciones, vulnerabilidades, exposiciones y consultas no autorizadas, así tomar medidas de protección en forma automática. El prevenir la enumeración de los recursos del AD es fundamental para interrumpir el avance del adversario.
• Credenciales y escalación de privilegios: detección de credenciales expuestas cuya extracción pasa desapercibida y que empiezan a utilizarse de manera sospechosa (lo que sugiere la presencia de un agente malicioso); en el caso de los privilegios, detección de escalamientos no validados y gestión avanzada de todos los privilegios disponibles en la infraestructura. Por años los grupos APT/FIN han “cosechado” credenciales sin ninguna oposición, ahora es el turno de los grupos detrás del ransomware.
• Movimiento lateral: detección y contención temprana de comportamientos dudosos en la red –como acciones que sugieren actividades de reconocimiento de red (un actor nocivo explorando la infraestructura). Si un defensor puede detectar e impedir de manera temprana las actividades previas, sin duda puede inhibir el movimiento lateral como etapa.

Con esta clase de recursos defensivos, una empresa puede enfrentar a los grupos del ransomware operado por humanos y detectar las señales tempranas de manera anticipada. Sin duda son agentes maliciosos sumamente capaces, sin embargo, su mayor ventaja siempre la encuentran en una estrategia de ciberseguridad “nada sofisticada”. Hablar de una estrategia anti-ransomware implica ver el problema no sólo como el recurso para evitar la materialización del cifrado de los datos, sino como un “libro de jugadas” muy bien planeado que, sin duda, le permite al defensor tener oportunidades de detección para evitar el impacto.