Si hay un tema que ha estado presente en la mente tanto de los CISO como de los CIO durante los últimos tres años, en los que los entornos de trabajo empresariales han sido híbridos, tanto durante la pandemia de la COVID-19 como en la etapa posterior a ella, ese es el ransomware.
Un equipo técnico distribuido —que utilizaba servicios de software distribuidos— no pudo hacer frente a los bots de ransomware altamente automatizados ni al malware que llevaba a cabo ataques de cifrado. Pero este año, al igual que al final de «La guerra de los mundos», es posible que los bots atacantes dejen de actuar de repente.
¿Ha desaparecido el ransomware? Y si esto queda descartado, ¿qué ocupará el primer puesto en la lista de preocupaciones de los directivos en materia de ciberseguridad para el año 2023?
Lo sentimos, el ransomware ha vuelto con un toque cibernético
Sí que hemos visto cómo un tipo de perfil de ransomware ha ido desapareciendo, a medida que las cadenas de ataques de cifrado procedentes de la dark web y los rescates en criptomonedas han ido convirtiéndose en elementos conocidos para la comunidad de seguridad. Además, muchas de las plataformas de intercambio de criptomonedas que en su día habrían blanqueado Monero y BTC procedentes de rescates para convertirlos en moneda fiduciaria están quebrando o siendo intervenidas por las autoridades.
A pesar de ello, el ransomware no ha hecho más que cobrar impulso a partir de ahora. El grupo NCC informó de un aumento del 41 % en los ataques de ransomware (se abre en una nueva pestaña) solo durante el mes de November 2022, ya que las vacaciones inminentes dejaron a muchas empresas con falta de personal para hacerles frente.
Este atacante también está reapareciendo en una nueva forma cibernética, mitad humana y mitad basada en silicio. Incluso los «script kiddies» sin experiencia pueden utilizar ChatGPT (se abre en una nueva pestaña) u otras rutinas de chatbot basadas en IA para escribir y ejecutar código de ataque sofisticado.
Lo que resulta especialmente insidioso de este enfoque es la capacidad de la IA conversacional de los chatbots actuales y su disposición a colaborar como cómplices de sus homólogos humanos. ChatGPT puede adaptar trucos automatizados (se abre en una nueva pestaña) a partir de un amplio conjunto de código y scripts de shell ya existentes.
Los chatbots con IA también pueden redactar un diálogo comercial verosímil basándose en conversaciones anteriores de atención al cliente, capaz de engañar a los empleados y, mediante técnicas de ingeniería social, obtener acceso a cuentas o privilegios de red para distribuir malware —que es posible que hayan ayudado a crear—.
La mayoría de estos ataques ya ni siquiera recurren al método tradicional de cifrar los datos y exigir un rescate para desbloquearlos, por lo que nadie debería creer que un pirata informático vaya a cumplir sus promesas de eliminar la amenaza. Los ciberdelincuentes están exigiendo abiertamente un segundo o tercer pago para evitar la futura destrucción de datos o de la infraestructura.
La cadena de suministro de software contará con sus propios responsables
Las cadenas de suministro de software (se abre en una nueva pestaña) incluyen tanto procesos de entrega de software realizados por personas como automatizados. Cada fragmento de código y cada componente que se crea o se copia, así como cada herramienta que configura y empaqueta una versión de software en su camino hacia la producción, constituye un posible vector de ataque a la cadena de suministro.
El exploit « Log4j » (se abre en una nueva pestaña) en December 2021 convirtió la ventana de scripts de shell de una utilidad de registro de Java muy utilizada en una vulnerabilidad generalizada detectada en miles de sistemas sensibles de empresas y administraciones públicas.
Los desarrolladores siempre buscan maximizar la productividad, por lo que resulta natural que copien fragmentos de código de Stack Overflow e incorporen paquetes de componentes de software populares de NPM a sus estructuras de compilación, antes de compartirlos en GitHub u otros repositorios. Es mucho más sencillo utilizar lo que ya funciona para otros, en lugar de escribir su propio código de configuración desde cero.
En esta época marcada por la tensión política, los atacantes que actúan en nombre de Estados-nación son plenamente conscientes del poder que tienen las vulnerabilidades de día cero en el software y el firmware de uso común. Estos delincuentes se muestran especialmente infames a la hora de aprovechar las cadenas de suministro de software, ya que sus objetivos no consisten en obtener dinero de forma descarada.
Mediante la inserción de malware o llamadas maliciosas, los atacantes pueden, en ocasiones, permanecer ocultos sin ser detectados durante años, espiando en busca de información confidencial o esperando el momento oportuno para lanzar una carga útil saboteadora. Los directivos se han dado cuenta de ello: más del 82 % de los directores de sistemas de información (CIO) de las empresas (se abre en una nueva pestaña) afirman que consideran que sus cadenas de suministro de software son vulnerables, a pesar de que cada vez dependen más de paquetes de software de terceros.
Precisamente por eso, este año veremos cómo la comunidad de seguridad se moviliza en torno a las cadenas de suministro de software y es probable que incluso veamos cómo los Estados se suman a la iniciativa con sus propios responsables de las cadenas de suministro tecnológico y redes de intercambio de información al estilo de la Interpol, en las que participarán empresas líderes con el fin de informar sobre esta amenaza emergente y dar respuesta a la misma.
La utilización del código abierto con fines belicosos
Como sustrato fundamental de las cadenas de suministro de software, el software de código abierto (o OSS) se ha convertido, quizás, en el mayor generador de valor de todos los tiempos. Teniendo en cuenta los 22 000 millones de dólares estadounidenses en software que, según la Fundación Apache, publica, su valoración de mercado superaría con creces el billón de dólares a estas alturas, si se evaluara el código abierto como cualquier otra empresa.
Incluso los antiguos proveedores de software propietario se están sumando a la tendencia del software de código abierto, ya que sus mejores ingenieros desean participar en proyectos de código abierto, y las empresas que demuestran liderazgo en la comunidad de desarrollo global están en condiciones de atender mejor a los clientes finales con servicios diferenciados basados en el software de código abierto, con el fin de ampliar el tamaño de sus mercados potenciales.
Lamentablemente, los atacantes se han percatado de esta tendencia tan extendida y han comenzado a buscar en repositorios de código abierto de fácil acceso para introducir puntos de acceso para el malware. La comunidad de desarrolladores también ha respondido a este reto aportando expertos en la detección de vulnerabilidades de «sombrero blanco» para adelantarse a los ataques de día cero antes de que sean objeto de intenciones maliciosas.
Dada la gran cantidad de paquetes de código abierto que descargan los equipos distribuidos desde los repositorios (según algunas estimaciones, se registran más de mil millones de descargas de Git a la semana), las empresas deberán asumir la responsabilidad de sus propias cadenas de suministro de software mediante un ciclo continuo de auditoría y revisión SBOM (lista de materiales de software) (se abre en una nueva pestaña) que ofrezca un análisis completo, basado en el riesgo, de cada elemento y versión de código abierto en uso.
La opinión de Intellyx
La superficie de ataque humana siempre supondrá un mayor riesgo para la seguridad que la automatización innovadora. Esa es una megatendencia cibernética que nunca desaparecerá.
La mayor parte del malware y los robos de credenciales seguirán produciéndose a través de empleados bienintencionados, ya sea mediante correos electrónicos de phishing , , ataques de ingeniería social convincentes ,, o mediante desarrolladores que descargan paquetes que parecen útiles y que les han recomendado sus compañeros.
En todo caso, hemos vuelto al punto de partida, a una nueva realidad en la que los seres humanos y los sistemas automatizados inteligentes trabajan codo con codo tanto para atacar como para defender nuestras aplicaciones y datos críticos.
Manténgase al día de las últimas noticias sobre ciberamenazas de en nuestro blog semanal de resumen, disponible aquí. (se abre en una nueva pestaña)
©2023 Intellyx LLC. Intellyx es el responsable editorial de este contenido. En el momento de redactar este artículo, Tanium es cliente de Intellyx.
