Los ataques contra el firmware y el hardware de los dispositivos están aumentando. Constituyen algunas de las mayores amenazas a las que se enfrentan las empresas en la actualidad. A medida que la transición al teletrabajo ha incrementado el uso de dispositivos finales —por ejemplo, ordenadores portátiles, ordenadores de sobremesa, tabletas e impresoras—, la superficie de ataque no ha hecho más que aumentar.
Dado que el firmware, en esencia, controla el hardware de un dispositivo y actúa como un «agente de tráfico» entre dicho hardware y el sistema operativo, proporciona a los atacantes un acceso extraordinario a los activos más valiosos de una empresa, al tiempo que les ofrece la cobertura que necesitan para permanecer ocultos a la vista vigilante del departamento de TI.
«Todo el mundo tiene la mirada puesta en la nube, lo cual es importante, pero alguien tiene que analizar y estudiar el firmware de su organización», afirma Roger Thompson , de , fundador y director ejecutivo de la empresa de investigación en seguridad Thompson Cyber Security Labs, especializada en la seguridad del proceso de arranque de los sistemas y en las vulnerabilidades del firmware. «Estamos en una carrera constante por situarnos más abajo en la pila», añade. «Aunque los ataques al firmware no son nada nuevo, considero que van a constituir uno de los principales frentes de batalla en materia de malware».
Los atacantes de firmware están cada vez más activos. (Alrededor del 83 % de las empresas afirman haber sufrido al menos un ataque al firmware en los dos últimos años, según una reciente encuesta de Microsoft titulada « » ().) Y hay un sinfín de objetivos entre los que pueden elegir. La Base de Datos Nacional de Vulnerabilidades (NVD) del Gobierno, , que recopila datos sobre la gestión de vulnerabilidades basada en estándares, está repleta este mismo año de vulnerabilities—162 relacionados con el firmware , a la espera de que los piratas informáticos los aprovechen.
A pesar de la gravedad y la rapidez con que avanza la amenaza, el gasto aún no se ha incrementado para gestionar los riesgos. La encuesta de Microsoft reveló que solo el 29 % de los presupuestos de seguridad se destina a la protección del firmware.
Ante el aumento de los incidentes relacionados con ataques al firmware, es importante que los equipos de TI y de seguridad sepan cómo actúan los piratas informáticos especializados en firmware, en qué deben fijarse para detenerlos y cómo contrarrestar sus acciones una vez que han conseguido acceder al sistema.
Por qué el firmware es un objetivo viable
Además de la falta de presupuesto destinado a la protección del firmware, existen otros factores que convierten al firmware en un terreno propicio para los ataques informáticos, según la encuesta de Microsoft:
- El 21 % de los responsables de la toma de decisiones en materia de seguridad admiten que sus datos de firmware no se supervisan.
- Los ciclos reactivos y los procesos manuales entorpecen las medidas de seguridad. Alrededor del 82 % de los responsables de la toma de decisiones afirman que se dedica demasiado tiempo y recursos a tareas de escaso rendimiento, como la aplicación manual de parches de software y las actualizaciones de hardware.
Cómo funcionan los ataques al firmware
Los atacantes se centran en el firmware prácticamente de la misma forma que lo hacen con el resto de programas. Utilizan rootkits, malware y otros programas similares como vectores de distribución. Alteran las configuraciones del firmware y se aprovechan de una gestión deficiente de las claves de cifrado. Y, una vez infiltrados, los piratas informáticos suelen disfrutar de un modo de ocultación que la mayoría de los exploits basados en software no ofrecen. Así es como funciona. Atacantes:
- Atacar el código subyacente al sistema operativo de un dispositivo y aprovechar sus vulnerabilidades.
- Introducir código malicioso en el sistema.
- Realice cambios en el sistema operativo.
- Centrémonos en el software del sistema, donde causan estragos y, a menudo, pasan desapercibidos.
El Foro de la Interfaz de Firmware Extensible Unificada (UEFI) de la Asociación de Estándares de la Industria de la Información ( ) es un organismo de normalización del sector cuyo objetivo es mejorar la seguridad del firmware. Su estándar de interfaz define la comunicación entre el firmware proporcionado por el fabricante del dispositivo y el sistema operativo de este.
«Siempre existe la posibilidad de que se produzca un ataque con éxito», afirma Dick Wilkins, miembro de la junta directiva del Foro UEFI y director de. «Hemos estado trabajando con ahínco para intentar asegurarnos de que no dejemos ninguna puerta trasera y de que la UEFI sea lo más segura posible».
Cómo protegerse contra los ataques al firmware
Los atacantes que tienen como objetivo el firmware han estado trabajando sin descanso para acceder a esta área del sistema, que con demasiada frecuencia los equipos de seguridad pasan por alto. Las organizaciones pueden defenderse aplicando buenas prácticas de ciberseguridad y tomando algunas medidas clave:
- Aumente la visibilidad de los sistemas y potencie las capacidades de detección, tanto a nivel interno como a lo largo de toda la cadena de suministro.
- Actualice el firmware del dispositivo.
- Forme a los equipos de seguridad para que sepan reconocer los indicios de ataques al firmware.
- Automatice los procesos manuales, como la aplicación de parches, para que los equipos de seguridad dispongan de tiempo para evaluar el firmware en busca de posibles vulnerabilidades de alto impacto.
- Incorpore evaluaciones de seguridad del firmware como parte del proceso de adquisición de productos.
Además de supervisar las vulnerabilidades conocidas del firmware, los equipos de seguridad y de TI pueden ahorrar tiempo y recursos mediante la automatización de la gestión de parches. «Asegurarse de que cada dispositivo se incluya en los ciclos habituales de aplicación de parches y actualizaciones ayuda a minimizar la probabilidad de que se produzca una filtración en caso de que un atacante consiga acceder al sistema», afirma John Bock , de , investigador científico sénior de Optiv Security.
E incluso en ese caso, afirma Bock, puede ser aconsejable simplemente desactivar el dispositivo y sustituirlo: «Una regla general es que, si el coste de la respuesta es superior al coste de la sustitución, lo mejor es sustituirlo».
