Los ciberataques a través de apps confiables crecieron un 51%
Sophos presentó «La Mordida Desde Adentro: El Informe de Sophos sobre Adversarios Activos», un análisis detallado sobre el comportamiento cambiante y las técnicas de ataque utilizadas por los ciberdelincuentes durante la primera mitad de 2024.
Los datos, recopilados de casi 200 casos de respuesta a incidentes de ciberseguridad (IR) realizados por los equipos de Sophos X-Ops IR y Sophos X-Ops Managed Detection and Response (MDR), revelan que los ciberdelincuentes están utilizando aplicaciones y herramientas reconocidas como apps de confianza en sistemas Windows, llamadas binarios living off the land (LOLbins), para realizar exploraciones en los sistemas y mantener la persistencia. Comparado con 2023, Sophos detectó un aumento del 51% en el abuso de LOLbins; desde 2021, el incremento es del 83%.
Entre los 187 LOLbins únicos de Microsoft detectados en la primera mitad del año, la aplicación confiable más utilizada fue el protocolo de escritorio remoto (RDP).
n el análisis de casi 200 casos de IR, los atacantes abusaron de RDP en el 89% de ellos. Esta tendencia continúa la observada en el informe de adversarios activos de 2023, en el que el abuso de RDP se detectó en el 90% de los casos investigados.
“El uso de herramientas living-off-the-land no solo ofrece sigilo a las actividades de un atacante, sino que también parece validar tácitamente estas acciones. Mientras que el abuso de algunas herramientas legítimas puede levantar sospechas y generar alertas, el abuso de un binario de Microsoft suele tener el efecto contrario
John Shier, CTO de campo en Sophos
Además, el informe descubrió que, a pesar de la desarticulación por parte del gobierno del principal sitio web de filtraciones y de la infraestructura de LockBit en febrero, LockBit fue el grupo de ransomware más frecuentemente encontrado, representando aproximadamente el 21% de las infecciones en la primera mitad de 2024.
Otros hallazgos clave del informe de adversarios activos
- Causa raíz de los ataques: Continuando con la tendencia observada en el informe anterior para líderes tecnológicos, las contraseñas comprometidas siguen siendo la principal causa raíz de los ataques, representando el 39% de los casos. Sin embargo, esto supone una disminución respecto al 56% registrado en 2023.
- Dominio de las brechas de red en MDR: En los casos gestionados por el equipo MDR de Sophos, las brechas de red fueron el incidente más común encontrado.
- Tiempos de permanencia más cortos en MDR: En los casos gestionados por el equipo de Respuesta a Incidentes de Sophos, el tiempo de permanencia (tiempo desde el inicio de un ataque hasta su detección) se mantuvo en aproximadamente ocho días. En cambio, con MDR, el tiempo de permanencia medio fue de solo un día para todos los tipos de incidentes y de tres días para ataques de ransomware.
- Servidores de Active Directory comprometidos cerca del fin de su vida útil: Los servidores de Active Directory más frecuentemente comprometidos fueron las versiones 2019, 2016 y 2012. Estas versiones ya no cuentan con soporte principal de Microsoft y están próximas a llegar al fin de su vida útil (EOL). Además, el 21% de los servidores AD comprometidos ya se encontraban en estado EOL.
Para más información sobre los comportamientos, herramientas y técnicas de los atacantes, lee «La Mordida Desde Adentro: El Informe de Sophos sobre Adversarios Activos» en Sophos.com.
