Las organizaciones tardan once días de media en detectar un ataque a su red

Recomendados:  Demostración de un ataque dirigido a entornos OT Webinar Ciberseguridad industrial, protegiendo las redes IT y OT Leer  Ciberseguridad orientada al futuro Leer

Sophos ha publicado el infome "Active Adversary Playbook 2021", que detalla los comportamientos de los atacantes y las herramientas, técnicas y procedimientos (TTTPs) que los threat hunters de Sophos detectaron en 2020 y a principios de 2021. Los hallazgos muestran que el tiempo medio que un atacante permanece oculto en las redes antes de su detección es de once días, o 264 horas, y que la intrusión no detectada más larga duró quince meses.

Once días potencialmente proporcionan a los atacantes mucho tiempo para realizar actividades maliciosas, como movimiento lateral, reconocimiento, volcado de credenciales, exfiltración de datos y más. Teniendo en cuenta que algunas de estas actividades pueden tardar solo minutos o unas pocas horas en implementarse, once días ofrece a los atacantes mucho tiempo para causar daños en la red de una organización. También vale la pena señalar que los ataques ransomware tienden a tener un tiempo de permanencia más corto que los ataques "sigilosos", porque su objetivo es la extorsión mediante el cifrado o destrucción de los datos.

El 90% de los ataques analizados implicaban el uso del Protocolo de Escritorio Remoto (RDP) y, en el 69% de todos los casos, los atacantes utilizaban RDP para el movimiento lateral interno. Como señala Sophos, las medidas de seguridad para RDP, como las VPN y la autenticación multifactor, tienden a centrarse en proteger el acceso externo. Sin embargo, estas no funcionan si el atacante ya está dentro de la red. El uso de RDP para el movimiento lateral interno es cada vez más común en ataques activos, como los que involucran ransomware.

Entre las herramientas detectadas en las redes de víctimas surgen interesantes correlaciones. Por ejemplo, cuando PowerShell se utiliza en un ataque, Cobalt Strike se ve en el 58% de los casos, PsExec en el 49%, Mimikatz en el 33% y GMER en el 19%. Cobalt Strike y PsExec se utilizan juntos en el 27% de los ataques, mientras que Mimikatz y PsExec van juntos en el 31% de los ataques. Por último, la combinación de Cobalt Strike, PowerShell y PsExec se produce en el 12% de todos los ataques. Tales correlaciones son importantes porque su detección puede servir como una alerta temprana de un ataque inminente o confirmar la presencia de un ataque activo.

El ransomware estuvo involucrado en el 81% de los ataques investigados. La liberación de ransomware es a menudo el punto en el que un ataque se hace visible para un equipo de seguridad de TI. Por lo tanto, no es de extrañar que la gran mayoría de los incidentes incluyeran ransomware. Otros tipos de ataques que Sophos investigó incluyeron herramientas de exfiltración, criptomineros, troyanos bancarios, wipers y droppers, entre otros.

El panorama de amenazas se está volviendo más concurrido y complejo, con ataques lanzados por adversarios con una amplia gama de habilidades y recursos, y eso "puede hacer que la vida sea difícil para los defensores", según la compañía. Sin ir más lejos, como señala John Shier, asesor de seguridad senior de la firma, "durante el último año, nuestros threat hunters ayudaron a neutralizar los ataques lanzados por más de 37 grupos de ataque, utilizando más de 400 herramientas diferentes entre ellos. Muchas de estas herramientas también son utilizadas por los administradores de TI y profesionales de seguridad para sus tareas cotidianas y detectar la diferencia entre la actividad lícita y la maliciosa no siempre es fácil”.