El panorama actual de las amenazas cibernéticas es un entorno volátil. Para muchos, el factor que más ha contribuido a su situación actual es el conflicto entre Rusia y Ucrania y la actividad cibernética que lo ha acompañado. Nuestros socios de Deep Instinct, , han estado informando detalladamente sobre los acontecimientos y cómo están afectando al panorama de amenazas.
Es imposible hablar del panorama de las ciberamenazas sin abordar las situaciones geopolíticas —lo cual es de esperar, siempre que se haga con plena conciencia de la incertidumbre que acompaña a los acontecimientos actuales—. No está claro cuánto tiempo durarán estas circunstancias, ni cuáles podrán ser las repercusiones a largo plazo de una situación geopolítica tan compleja.
Cómo está cambiando el panorama de las amenazas
El objetivo de Tanium es mantenerse al día de las principales tendencias y extraer información útil que permita ofrecer su ayuda. A continuación se ofrece una visión general de las principales tendencias en el panorama de las amenazas cibernéticas:
- Posible aumento de los ataques de ransomware en un contexto de inestabilidad económica: Dado que Estados Unidos ha optado por imponer duras sanciones contra los intereses rusos como respuesta principal a la incursión de Rusia, la inestabilidad económica resultante podría dar lugar a un mayor número de ataques de ransomware dirigidos contra intereses estadounidenses. El FBI ha descrito a Rusia como un «entorno operativo propicio para los ciberdelincuentes» y ha advertido de que Estados Unidos podría sufrir «un posible aumento de la actividad de las amenazas cibernéticas» por parte de piratas informáticos que operan con el respaldo de Rusia.
- Aparición de un nuevo malware destructivo, «»: Tal y como se indica en , un artículo reciente de Deep Instinct señala que la actividad cibernética rusa «destinada a sembrar el caos y a interrumpir las comunicaciones dentro de las instituciones gubernamentales y militares de Ucrania» en las semanas previas a la invasión incluyó el despliegue de un nuevo malware de borrado de discos denominado «HermeticWiper» (junto con ataques DDoS generalizados y alteraciones de sitios web). En las semanas transcurridas desde entonces, han surgido al menos dos nuevas variantes de malware destructivo a raíz del conflicto, acompañadas de nuevos vectores de infección y de malware de apoyo diseñado para garantizar la entrega satisfactoria de cargas destructivas.
- El phishing y otras estafas que se aprovechan del conflicto: Al igual que ocurre con cualquier acontecimiento mundial de gran repercusión (incluidos los ciberataques), los autores de amenazas no tardan en aprovechar la información disponible y la incertidumbre de la población para crear señuelos de phishing convincentes y campañas de ingeniería social. Los motivos que subyacen a este tipo de campañas oscilan entre el espionaje, el robo de credenciales y las estafas financieras.
- Posibles «repercusiones» de la actividad cibernética que afecta a objetivos estadounidenses: La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), junto con otras agencias cibernéticas multinacionales, ha expresado en repetidas ocasiones su preocupación por que la actividad cibernética observada en el contexto de la situación entre Rusia y Ucrania pueda extenderse más allá de la zona de conflicto y afectar a organizaciones de Estados Unidos, la UE o territorios occidentales.
- La participación de los hacktivistas aumenta el riesgo: Los actos de hacktivismo en el contexto de conflictos geopolíticos corren el riesgo de ser atribuidos erróneamente por ambas partes, de interpretarse como actividades hostiles patrocinadas por el Estado y de agravar involuntariamente las tensiones. El hacktivismo (por muy bienintencionado que sea) puede intensificar la actividad bélica en el campo de batalla y aumentar los riesgos en el ciberespacio, una realidad que podría costar vidas, destruir infraestructuras críticas o dar lugar a acciones de represalia dirigidas contra Estados Unidos y las naciones con las que este país mantiene alianzas. Un ejemplo reciente que pone de relieve este paradigma es la filtración de datos de Conti (incluido su código fuente) tras su sustracción al grupo de ransomware por parte de un hacktivista ucraniano, en respuesta al compromiso público de Conti de apoyar a Rusia en el conflicto. El código del ransomware ya se había filtrado anteriormente, como en el caso del ransomware Babuk , lo que dio lugar a que nuevos actores maliciosos lo reutilizaran y modificaran. Este es un riesgo real también en este caso.
Si bien gran parte de lo descrito anteriormente está relacionado con las repercusiones cibernéticas de un conflicto geopolítico concreto, los expertos prevén varias amenazas que se espera que afecten próximamente al panorama de las amenazas cibernéticas, muchas de las cuales ya han comenzado a hacerse notar. Se insta a las organizaciones a que estén atentas a lo siguiente:
- Las continuas campañas de influencia y los intentos por parte de actores patrocinados por el Estado de eliminar y de comprometer las vías de comunicación de las que depende el público para obtener una información fiable
- Las infraestructuras críticas han sido objeto de ataques
- La CISA (Agencia de Seguridad Cibernética y de Infraestructuras de EE. UU.) sigue advirtiendo sobre inminentes ataques de influencia extranjera dirigidos contra organizaciones e infraestructuras críticas de EE. UU.
- Las subidas de los precios del combustible y la energía, la inestabilidad económica y las aseguradoras cibernéticas, que ofrecen menos cobertura y cobran más
- Aumento de los casos de vulnerabilidades en las bibliotecas y paquetes de código abierto de , así como en otras tecnologías que forman parte de las cadenas de suministro
- Ransomware:
- Aumento general de la actividad del ransomware , con especial énfasis en un retorno a los ataques dirigidos a consumidores, pymes y empresas del mercado medio
- Mayor atención por parte de los ciberdelincuentes (con el ransomware , y , así como el BEC a la cabeza) hacia el SaaS y la tecnología en la nube
- La publicación del código fuente de Conti podría dar lugar a nuevas variantes aprovechadas por nuevos actores, tal y como ocurrió cuando se filtró el código del ransomware Babuk
- Aparición de nuevos grupos de hackers con vínculos poco estrechos, tal y como se ha observado en la guerra entre Rusia y Ucrania
- Es probable que el malware utilizado en los conflictos «se filtre» hasta llegar a manos de los ciberdelincuentes, quienes tienen total libertad para modificarlo y darle un nuevo uso según les parezca —y al revés—
- Aumento de los ciberataques de tipo « » (multifacéticos) , tales como ataques de ransomware combinados con campañas de influencia, ataques DDoS, malware destructivo, operaciones de bandera falsa, etc.
En este panorama en rápida evolución, lo que haga hoy resulta esencial para su capacidad de preparación y respuesta en caso de sufrir un ataque. Independientemente del sector en el que se desarrolle su actividad, todas las organizaciones deben implementar medidas en su entorno teniendo en cuenta la reducción de riesgos y de la superficie de ataque.
Por qué es fundamental reforzar y preparar los dispositivos finales
El mejor momento para poner a punto sus herramientas de gestión de activos de y sus flujos de trabajo de aplicación de parches fue ayer. El segundo mejor momento es hoy. Si bien muchos adversarios se centran actualmente en sistemas de interés en países inmersos en conflictos militares activos, los investigadores y los especialistas en inteligencia sobre amenazas han señalado un probable repunte de la actividad delictiva cibernética, ya que los efectos de las sanciones relacionadas con dichos conflictos provocan incertidumbre económica en diversas partes del mundo. Es imprescindible que aproveche este tiempo hoy mismo para subsanar cualquier deficiencia en la gestión de parches para sistemas operativos y herramientas de terceros, y que ajuste las políticas para reducir su superficie de ataque.
Dé prioridad absoluta a la reducción de las lagunas de cobertura y visibilidad, a la corrección de los fallos en la aplicación de parches y a la actualización del software de terceros. The current threat landscape does not support tolerance for endpoints that are 30, 60, or 90 days out of compliance. Debería aprovechar esta oportunidad para actualizar todos los sistemas con los parches del sistema operativo y el software de terceros, incluidos los servidores y las estaciones de trabajo.
En un futuro inmediato, debería dar prioridad a las siguientes medidas:
- Solicite una autorización de cambio de emergencia para aplicar con carácter urgente los parches pendientes y obsoletos
- Implemente una solución de gestión de parches o subsane los fallos relacionados con los parches
- Aplicar parches del sistema operativo
- Actualizar el software de terceros
- Elimine el software no autorizado, que no se utilice o que no sea compatible
- Aplique una política para reducir la superficie de ataque
- Asegúrese de que los planes de respuesta ante incidentes cuenten con el respaldo de las herramientas disponibles en el entorno
- Consulte las recomendaciones de la CISA, en el marco de su iniciativa «Shields Up» (), para reducir el riesgo de sufrir un ciberataque; la CISA también solicita a las organizaciones que comuniquen cualquier indicio de ataque a su oficina.
- Consulte el catálogo de vulnerabilidades conocidas y explotadas de la CISA, « » (), que contiene 95 nuevas vulnerabilidades añadidas tras el análisis de aquellas que han sido utilizadas por actores rusos de amenazas cibernéticas.
Cómo puede ayudarle Tanium
Tanium puede ayudar a las organizaciones a abordar estas recomendaciones urgentes mediante las siguientes medidas:
Tanium Patch ofrece la solución para implementar parches, coordinar las ventanas de mantenimiento y elaborar informes precisos y en tiempo real sobre el estado de sus tareas de aplicación de parches. Tanto los clientes nuevos como los actuales pueden poner en marcha Tanium Patch y empezar a recibir datos útiles sobre el estado de sus parches en cuestión de horas, en lugar de días o semanas.
El acceso inicial y el desplazamiento lateral de un atacante suelen llevarse a cabo mediante el aprovechamiento de software vulnerable y desactualizado. Las organizaciones no deberían limitar las actualizaciones de aplicaciones de terceros únicamente a los sistemas conectados a Internet. Una vez dentro de su entorno, los autores de las amenazas podrían comprometer los sistemas internos mediante estas aplicaciones de terceros vulnerables. Además, la «TI en la sombra» (software implantado sin el conocimiento ni el respaldo del departamento de TI) puede introducir vulnerabilidades inesperadas en el entorno. Puede utilizar Tanium Deploy para desinstalar automáticamente el software no autorizado, manteniendo así su entorno libre de aplicaciones no permitidas.
Durante un ataque, los autores de las amenazas intentarán constantemente ampliar el alcance, los permisos y el acceso en todo el entorno. Además de aplicar actualizaciones de seguridad para el software y los sistemas operativos, puede reforzar de forma proactiva los terminales para reducir las opciones de que dispone un actor malintencionado en su red.
Tanium Enforce es su solución para gestionar la configuración de políticas de Windows, incluidas aquellas que pueden reducir su superficie de ataque. La auditoría de scripts, archivos ejecutables e instaladores de Windows mediante la función de auditoría de AppLocker, o la gestión de la política de ejecución de PowerShell, son solo algunos ejemplos de los más de 5,000 ajustes de seguridad y configuración de dispositivos disponibles en Tanium Enforce. Tal y como señala Deep Instinct, la mayoría de los usuarios de su organización no tienen necesidad de ejecutar scripts. Otras medidas de refuerzo pueden incluir:
- Cree una política para restringir la ejecución de scripts
- Reducción del tráfico entre estaciones de trabajo (RDP, PowerShell Remoting, SMB)
- Desactivar los recursos compartidos administrativos
- Desactivar los protocolos no seguros (SMBv1)
- Evite que las cuentas de servicio y las cuentas locales inicien sesión de forma remota
- Aplicar normas de protección contra el malware y de reducción de la superficie de ataque en los sistemas Windows
Próximos pasos
Puede obtener más información sobre cómo prepararse para la guerra cibernética en este último artículo de Endpoint:.
Si necesita ayuda práctica, estamos a su disposición. Los clientes actuales pueden ponerse en contacto con sus representantes de cuenta. Si aún no es cliente, póngase en contacto con nosotros aquí para dar los primeros pasos:.
