En el resumen de esta semana sobre inteligencia de amenazas cibernéticas, le ofrecemos novedades sobre los nuevos modelos de aprendizaje automático (ML) de (se abre en una nueva pestaña) , y le explicamos por qué la comunidad de seguridad de la información está dividida en cuanto a si estos modelos contribuyen o perjudican a los esfuerzos en materia de ciberseguridad. A continuación, el equipo de CTI analiza la aparición de una nueva plataforma de proxies denominada «Black Proxies», que actualmente se comercializa entre los autores de amenazas como una solución destinada a ayudarles a ocultar u ofuscar sus direcciones IP de origen. Por último, concluimos con una visión general de los planes de la recién creada Junta de Revisión de Seguridad Cibernética (CSRB) de dedicar la segunda revisión de su historia al análisis de las tácticas, técnicas y procedimientos (TTP) empleados por el notorio grupo Lapsus$ —uno de los actores maliciosos más prolíficos y destacados del año—, con el fin de ayudar a las organizaciones a protegerse frente a actividades maliciosas similares.
1. Los modelos de aprendizaje automático: ¿un nuevo y peligroso vector de ataque o una tecnología clave para la ciberseguridad?
Los investigadores en materia de seguridad tienen opiniones divergentes sobre la aparición de nuevos y potentes modelos de aprendizaje automático, que constituyen los sistemas de toma de decisiones en los que se basan la mayoría de las soluciones actuales de inteligencia artificial (IA).
Un grupo de investigadores en materia de seguridad presenta el aprendizaje automático (ML) como la solución definitiva para la ciberseguridad, mientras que otro se muestra preocupado por su capacidad para generar señuelos de phishing convincentes, facilitar la distribución de malware y ayudar a los autores de amenazas a desplazarse lateralmente por las redes empresariales.
Todas las miradas están puestas en ChatGPT
Considerados un componente fundamental del movimiento general del aprendizaje profundo « » (se abre en una nueva pestaña), los modelos de aprendizaje automático suelen estar disponibles públicamente, y un número sorprendente de empresas aumentó su uso de la IA basada en el aprendizaje automático en 2021, según la última Encuesta Global de McKinsey . (se abre en una nueva pestaña)
OpenAI, una empresa de inteligencia artificial con sede en San Francisco fundada por Elon Musk, es considerada por muchos como la líder actual en este ámbito. La empresa es responsable de la revolucionaria herramienta de IA DALL-E 2 (se abre en una nueva pestaña), un generador de imágenes pionero que salió al mercado este año. Sin embargo, la herramienta de OpenAI que actualmente acapara los titulares es ChatGPT, un prototipo de chatbot de IA basado en la tecnología lingüística de OpenAI GPT-3.5 , que se describió como «un gran modelo de inteligencia artificial creado por OpenAI que ha sido entrenado (se abre en una nueva pestaña) con una enorme cantidad de datos de texto procedentes de diversas fuentes» en una entrada de blog (se abre en una nueva pestaña) sobre el tema publicada por Forbes.
Otros datos clave sobre ChatGPT:
- ChatGPT es un software de chatbot basado en inteligencia artificial, programado para simular interacciones humanas.
- ChatGPT se encuentra todavía en fase de revisión científica y se ha puesto a disposición del público en November 30, 2022, a través de , la página web de OpenAI (se abre en una nueva pestaña),y . Los usuarios pueden registrarse y probarlo de forma gratuita.
- El chatbot presenta un formato de diálogo que permite a los usuarios proporcionar una variedad increíblemente amplia de instrucciones, tanto sencillas como complejas, para las que ChatGPT ha sido entrenado a fin de ejecutarlas y ofrecer una respuesta detallada. OpenAI afirma que el bot también puede responder a preguntas de seguimiento, así como reconocer y admitir cuando comete un error. Al igual que cualquier solución de inteligencia artificial basada en el aprendizaje automático, o cualquier otro software, ChatGPT tiene sus limitaciones. El chatbot ofrece en ocasiones respuestas incorrectas, utiliza frases repetitivas y, a veces, tiene dificultades para responder a una pregunta que se le formula repetidamente hasta que se modifica ligeramente la formulación de la misma.
Es importante tener en cuenta que ChatGPT es algo más que un compañero de conversación computarizado por encima de la media. Además, puede escribir código, detectar errores en el código y mucho más. ChatGPT también recuerda el contexto en torno a un tema concreto, por lo que los usuarios pueden hacer referencia a algo que hayan mencionado anteriormente y ChatGPT no tendrá ningún problema a la hora de seguir ese hilo de la conversación.
Son esos factores —además de algunos otros— los que preocupan a los profesionales de la seguridad de la información.
Hablando de opiniones divergentes
Es muy posible que ChatGPT haya contribuido más a dividir las opiniones de quienes han probado las capacidades de este chatbot que cualquier otra herramienta de inteligencia artificial basada en el aprendizaje automático.
Kevin Rose, del , del New York Times, (se abre en una nueva pestaña),, , afirmó lo siguiente: «ChatGPT es, sencillamente, el mejor chatbot de inteligencia artificial que se ha lanzado jamás al público en general».
Kevin no es el único que piensa así. El producto de OpenAI ha experimentado un enorme aumento de popularidad en las últimas semanas. Por ejemplo, un artículo muy popular (se abre en una nueva pestaña) califica la tecnología en la que se basa ChatGPT, GPT-3, como «impresionante en algunos ámbitos, pero aún claramente inferior a la humana en otros». El artículo incluye un fragmento en el que un investigador lamenta la falta de humanidad de la inteligencia artificial, y se explaya de forma poética sobre su incapacidad para amar, apreciar el arte, la belleza o el humor. El párrafo siguiente revela que el texto anterior fue generado, en realidad, por ChatGPT: el resultado de una indicación proporcionada al chatbot en la que figuraban algunas palabras que expresaban escepticismo respecto a la inteligencia artificial. En respuesta, ChatGPT elaboró un monólogo extenso y divagante sobre lo improbable que resulta que los ordenadores lleguen a ser alguna vez verdaderamente inteligentes.
Lo que dicen los pesimistas
Por cada usuario que se haya quedado cautivado por esta tecnología, probablemente haya cinco investigadores de seguridad que estén dando la voz de alarma y advirtiendo a quien quiera escucharles sobre la amenaza para la ciberseguridad que suponen herramientas como ChatGPT.
Por ejemplo, un artículo de DarkReading publicado el (se abre en una nueva pestaña) describe los modelos de aprendizaje automático como un nuevo vector de ataque peligroso y en rápido crecimiento:
«Los investigadores han descubierto que los autores de amenazas pueden secuestrar los modelos de aprendizaje automático (ML) que sustentan la inteligencia artificial (IA) para distribuir malware y desplazarse lateralmente por las redes empresariales». «Estos modelos, que a menudo están a disposición del público, sirven como nuevo punto de partida para una serie de ataques que también pueden comprometer la cadena de suministro de una organización, y las empresas deben prepararse».
Una entrada del blog «» (se abre en una nueva pestaña) publicada ese mismo día por el equipo SAI de HiddenLayer afirma que sus investigadores han desarrollado un ataque de prueba de concepto (POC) que demuestra cómo un actor malintencionado puede utilizar modelos de aprendizaje automático para infiltrarse en redes empresariales.
Según se ha informado, el ataque se basa en una combinación de varias técnicas, entre las que se incluyen «la esteganografía para ocultar cargas maliciosas y fallos en la deserialización de datos que pueden aprovecharse para ejecutar código arbitrario».
En la publicación se señala que el modelo utilizado en el ataque elude las soluciones actuales de detección antivirus y EDR, y se añade: «En la actualidad, la mayoría de las soluciones antimalware más populares ofrecen poca o ninguna ayuda a la hora de detectar amenazas basadas en el aprendizaje automático».
Otra preocupación importante —y quizá la más evidente— para los profesionales de la seguridad es la capacidad potencial de los modelos de aprendizaje automático para generar campañas de phishing extremadamente sofisticadas y convincentes.
Varios investigadores de ya han puesto a prueba (se abre en una nueva pestaña)la capacidad de ChatGPT para generar mensajes de phishing y señuelos convincentes, con resultados sorprendentemente satisfactorios.
Algunos usuarios emprendedores ya han desarrollado interfaces fáciles de usar para ayudar a los usuarios a aprovechar la capacidad de ChatGPT para generar correos electrónicos.
También existen preocupaciones sobre el posible impacto de los modelos de aprendizaje automático en las cadenas de suministro. Las organizaciones con recursos informáticos limitados suelen recurrir a repositorios de código abierto para compartir modelos a la hora de implementar modelos de aprendizaje automático. Estos repositorios suelen carecer de una supervisión adecuada y de controles de seguridad exhaustivos.
Esto tiene un doble efecto: por un lado, amplía la superficie de ataque y, por otro, expone a los usuarios a un mayor riesgo derivado de su dependencia de modelos que bien podrían estar viciados o haber sido manipulados con fines maliciosos. Lo mismo ocurre con las empresas que recurren a terceros para obtener modelos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque hay que reconocer que la probabilidad de que estas diversas pruebas de concepto tengan éxito en el mundo real es probablemente baja, es importante tener en cuenta que esta tecnología se encuentra aún en una fase relativamente incipiente y que los autores de amenazas están, sin duda, muy atentos a su evolución».
«Dicho esto, hay motivos para un optimismo prudente. Desde hace ya demasiado tiempo, las expresiones «aprendizaje automático» y «inteligencia artificial» no han sido más que palabras de moda que tanto los proveedores como los profesionales de la ciberseguridad han utilizado en las salas de juntas y en las videollamadas de Zoom. No obstante, el aprendizaje automático podría convertirse en una tecnología de ciberseguridad verdaderamente esencial. «Las soluciones basadas en el aprendizaje automático (ML) tienen el potencial de analizar tendencias y aprender de ellas para prevenir los ataques en fases más tempranas, así como para reaccionar con mayor rapidez ante los autores de amenazas que modifican su comportamiento».
«Además, puede hacer que los equipos de ciberseguridad sean más proactivos en sus planes de respuesta generales, lo que contribuye a mitigar las amenazas actuales en tiempo real y permite a los SOC liberar tiempo y recursos para dedicarse a otras oportunidades y actividades».
2. Los «proxies negros» están ganando cada vez más popularidad entre los hackers
Investigadores de la empresa de inteligencia en Internet Domain Tools han detectado una nueva plataforma de proxies en el mercado, denominada « Black Proxies» (se abre en una nueva pestaña). El servicio se está promocionando entre los autores de amenazas cibernéticas haciendo hincapié en su fiabilidad, su alcance y el gran número de direcciones IP disponibles. Black Proxies afirma que dispone de más de 1,000,000 direcciones IP de proxy residenciales y de otro tipo de todo el mundo, desde las que los autores de amenazas podrían llevar a cabo sus operaciones.
Cómo funcionan las redes de servidores proxy
Un servidor proxy permite a un actor malintencionado llevar a cabo actividades de forma anónima, ocultando u ocultando la dirección IP desde la que se origina su operación. El término utilizado en el mercado para referirse a estos servidores proxy es «redes de proxy» o, de forma más genérica, «servicios de proxy», y estas soluciones permiten que la actividad de los autores de amenazas se camufle, en esencia, entre el tráfico legítimo.
Las redes de proxy han evolucionado a lo largo de los años, al igual que el resto del panorama de amenazas. En el pasado, se engañaba a una víctima para que descargara malware en su ordenador; a continuación, su equipo se utilizaba para infectar a otras víctimas, y el autor de la amenaza utilizaba la dirección IP del equipo original y de todos los equipos comprometidos posteriormente como proxy para llevar a cabo nuevas actividades maliciosas.
Este método se lleva utilizando desde hace bastante tiempo, pero su eficacia se limita al número de víctimas que el autor de la amenaza podría comprometer, así como a su capacidad para mantener la persistencia en el equipo.
La evolución de las tácticas de representación
A lo largo de los años, se ha prestado cada vez más atención a las direcciones IP de proxy como vector de distribución y táctica de los atacantes. Los autores de amenazas se están dando cuenta de que ampliar una red añadiendo una dirección IP cada vez no es suficiente. Los profesionales de la seguridad suelen bloquear las direcciones IP cuando se detecta que son maliciosas, lo que obliga a los autores de las amenazas a recurrir constantemente a nuevas direcciones IP.
Por este motivo, los servicios de proxy maliciosos han ido evolucionando para crear una infraestructura de direcciones IP más amplia. Entre las dos nuevas tácticas que se han observado figuran la obtención fraudulenta de acceso a nuevos rangos de direcciones IP y la reasignación de bloques completos de ASN.
- RESNET: RESNET (se abre en una nueva pestaña) era un servicio que utilizaba tácticas fraudulentas para obtener acceso a bloques de direcciones IP de operadores de telefonía móvil de EE. UU. En 2019 , RESNET controlaba más de 70,000 direcciones IP, según Krebs (se abre en una nueva pestaña) sobre seguridad. La oferta inicial de RESNET consistía en el acceso a «sneakerbots», que permitían a los usuarios del servicio intentar adquirir zapatillas deportivas muy codiciadas. Los responsables de RESNET se dieron cuenta claramente de que existía un mercado más amplio y lucrativo al que dirigirse, más allá de los «sneakerbots», y pronto cambiaron de rumbo para ofrecer servicios de proxy. El servicio fue finalmente cerrado por las fuerzas del orden.
- INSORG: INSORG fue otro servicio de proxy muy popular que empleaba tácticas aún más agresivas que RESNET. INSORG ha elaborado un listado del espacio de direcciones IP y de los ASN que pertenecen a empresas en situación de administración judicial. Consiguió reasignar de forma fraudulenta rangos completos haciéndose pasar por administradores concursales y presentando documentación ante los registros de propiedad intelectual. INSORG fue finalmente clausurada por las autoridades (se abre en una nueva pestaña) a finales de 2020.
A principios de este año, el FBI publicó una advertencia sobre el aumento del número de servidores proxy que utilizan los ciberdelincuentes para facilitar los ataques de «credential stuffing». El informe incluía recomendaciones para reducir el riesgo organizativo relacionado con dicha actividad, pero, en última instancia, sirvió para poner de relieve la creciente amenaza que suponen los servidores proxy maliciosos.
Black Proxies se introdujo en el mercado de los servidores proxy maliciosos, con el fin de satisfacer la creciente demanda de estos servicios. Tal y como se ha indicado anteriormente, Black Proxies cuenta con más de 1,000,000 direcciones IP de proxy residenciales y de otro tipo de todo el mundo, a disposición de los autores de amenazas en cualquier momento. Los investigadores analizaron el servicio y descubrieron que el conjunto de direcciones IP que figuraba en la lista de Black Proxies en el otoño de 2022 ascendía a algo más de 180,000 direcciones IP. Aunque esta cifra es muy inferior a la de 1,000,000 que afirma ofrecer el servicio, sigue siendo considerablemente mayor que el espacio de direcciones IP que ofrecen los servicios más tradicionales.
El servicio de Black Proxies satisface las necesidades de sus clientes al incluir funciones que resultarían de especial interés para los ciberdelincuentes.
Unos investigadores de Bleeping Computer han descubierto el modelo de precios de Black Proxies. El coste por utilizar el servicio es de 14 dólares al día, 39 dólares a la semana o 89 dólares al mes. Al parecer, también se ofrece una opción de prueba por tan solo 4.90 dólares. Bleeping Computer también determinó que una dirección IP incluida en la infraestructura de Black Proxies se había relacionado anteriormente con otros servicios sospechosos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El uso de redes y servicios proxy por parte de actores maliciosos que llevan a cabo actividades malintencionadas, aunque no es en absoluto un fenómeno nuevo, ha ido ganando popularidad de forma constante a lo largo de los años. «En la actualidad, estamos observando cómo se están creando diversos servicios de proxy, claramente diseñados desde cero con la intención de ayudar a los ciberdelincuentes a llevar a cabo sus operaciones».
DomainTools lo resume muy bien:
Las redes de servidores proxy con fines delictivos se han convertido en un elemento fundamental del mundo de la ciberdelincuencia. Los delincuentes los utilizan para ocultar sus actividades, valiéndose de direcciones IP secuestradas, lo que les proporciona una apariencia de legitimidad con la que encubren sus operaciones. En su día, estas redes se crearon como parte de la creación de botnets, pero el carácter lucrativo de estos servicios las ha convertido en auténticas empresas delictivas.
3. La Junta de Ciberseguridad del DHS analizará las tácticas de piratería informática del grupo Lapsus$
Un December 2, 2022, comunicado de prensa emitido por el Departamento de Seguridad Nacional de (se abre en una nueva pestaña) (DHS) anunció que la recién creada Junta de Revisión de Seguridad Cibernética (se abre en una nueva pestaña) (CSRB) —creada en virtud de la Orden Ejecutiva (EO) n.º 14028 del presidente Biden sobre la mejora de la ciberseguridad nacional— analizará los recientes ciberataques atribuidos al grupo de hackers internacional Lapsus$, especializado en extorsión.
Lapsus$ es el responsable de haber comprometido la seguridad de numerosas empresas de gran relevancia a principios de este año. Numerosos incidentes provocaron la filtración de datos confidenciales, código fuente y otra información de carácter altamente sensible, lo que, en última instancia, contribuyó a varias filtraciones masivas de datos.
Lapsus$: Un repaso
Según ha informado BleepingComputer, el grupo Lapsus$ ha sido noticia en repetidas ocasiones tras una serie de ciberataques sorprendentemente eficaces y perjudiciales contra importantes empresas tecnológicas.
Considerado uno de los ciberdelincuentes más prolíficos de , 2022 (se abre en una nueva pestaña), Lapsus$ se ha diferenciado de otros grupos con motivaciones económicas o centrados en la extorsión al evitar las tácticas, técnicas y procedimientos (TTP) más tradicionales, como el modelo de ransomware; en su lugar, utiliza métodos más centrados en las personas que implican técnicas de ingeniería social bastante sofisticadas para obtener acceso a los entornos de sus víctimas.
Las dos principales teorías que se barajan en relación con el método preferido de Lapsus$ para obtener el acceso inicial parecen ser las brechas derivadas del compromiso de proveedores de servicios externos (en particular, aquellos que prestan servicios de autenticación, como Okta) y el reclutamiento y la ingeniería social de empleados internos en empresas de gran relevancia.
Lapsus$ también es, en cierto modo, la oveja negra en lo que respecta a la atención que presta el grupo —o a la falta de ella— a la seguridad operativa (OPSEC). Lapsus$, que nunca ha rehuido la publicidad, ha dado a conocer abiertamente sus actividades a través de un canal público de Telegram.
La CSRB llevará a cabo una segunda revisión sobre las tácticas de Lapsus$
El objetivo declarado del análisis realizado por el CSRB sobre las actividades de piratería informática del grupo Lapsus$ es proporcionar a las organizaciones, tanto públicas como privadas, asesoramiento destinado a defenderse de las tácticas de dicho grupo, así como de las de cualquier otro grupo que pueda haberse visto influido por el sorprendente nivel de éxito que Lapsus$ logró al aprovechar TTP básicas.
«Con su análisis sobre Lapsus$, la Junta se basará en las lecciones aprendidas de su primer análisis y compartirá recomendaciones prácticas para ayudar a los sectores público y privado a reforzar su resiliencia cibernética», afirmó el secretario del DHS, Alejandro N. Mayorkas.
Cabe destacar que la redacción de los titulares que están difundiendo numerosos medios de comunicación del sector resulta sumamente engañosa. Varias páginas web afirman que la CSRB llevará a cabo su segundo análisis de las tácticas de Lapsus$. Esto es falso. De hecho, el CSRB se encuentra actualmente en su segundo periodo de revisión (el primero se centró en las vulnerabilidades descubiertas a finales de 2021 en la biblioteca de software de código abierto Log4j , de uso generalizado).
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Es alentador que la CSRB esté investigando activamente a Lapsus$.» «La potente combinación de audacia (en la selección de objetivos), descaro (a la hora de burlarse de las víctimas y, en general, de mantener una imagen distante en Internet) y el recurso a tácticas, técnicas y procedimientos (TTP), así como a métodos de ingeniería social que resultan prácticamente imposibles de prevenir con soluciones automatizadas, es una mezcla que debería inquietar a cualquier organización».
«Aunque, al parecer, las fuerzas del orden han detenido a varios miembros de Lapsus$, las tácticas del grupo han causado una gran impresión entre los elementos delictivos del panorama de las amenazas cibernéticas». «Los ataques recurren cada vez más a la ingeniería social, a las amenazas internas, a las tácticas, técnicas y procedimientos (TTP) de «living-off-the-land», etc.».
«El equipo de CTI espera con interés conocer las conclusiones adicionales del CSRB y seguirá investigando las actividades de Lapsus$ en el futuro».
Consulte aquí más resúmenes de « » sobre inteligencia en materia de amenazas cibernéticas.
