El crimen cibernético es cada vez más sencillo y dañino

Websense, líder global en la protección de organizaciones contra los ataques cibernéticos y el robo de datos, ha presentado el Informe de Amenazas 2015 de Websense Security Labs, el cual analiza la evolución de las tendencias de ataque, las tácticas y las vulnerabilidades de las defensas.

El Informe analiza la manera en que los autores de las amenazas están ganando capacidades mediante la adopción de herramientas de vanguardia en lugar de hacerlo a través del conocimiento técnico. Las cadenas de redireccionamiento, el reciclaje de código y otras técnicas están permitiendo que estos criminales permanezcan en el anonimato, lo que hace que la atribución sea retardada, difícil y poco confiable. El uso generalizado de estándares más antiguos en lugar de opciones más recientes y seguras sigue dejando a los sistemas más vulnerables y expuestos. Asimismo, una infraestructura frágil permite que las amenazas se expandan al marco de la red, incluyendo la base de código de Bash, OpenSSL y SSLv3.

“En 2014, las amenazas cibernéticas combinaron nuevas técnicas con las antiguas, lo que dio lugar a ataques altamente evasivos que plateaban un riesgo importante para el robo de datos” afirma Charles Renert, vicepresidente de investigación de seguridad de Websense. “En una época en la que el malware como servicio significa que más autores de amenazas disponen de las herramientas y las técnicas para romper las defensas de una compañía, contar con la detección en tiempo real dentro de la cadena de ataques es una necesidad”.

El Informe de Amenazas 2015 de Websense Security Labs describe las ocho principales tendencias basadas en comportamientos y técnicas como son:

El crimen cibernético se vuelve más sencillo

En esta era del MaaS (Malware como Servicio), incluso los autores de amenazas principiantes pueden crear y lanzar con éxito ataques de robo de datos gracias a que hoy tienen un mayor acceso a los kits de explotación, al MaaS y tienen la posibilidad de comprar o subcontratar partes de un ataque complejo integrado por múltiples etapas. Además de tener un fácil acceso a herramientas de última generación, los creadores de malware también están combinando las técnicas nuevas con las antiguas, lo que da origen a técnicas altamente evasivas. Si bien el código fuente y la explotación pudieran ser únicos y avanzados, los criminales reciclan y reutilizan mucha de la infraestructura utilizada en un ataque. Por ejemplo:

• En 2014, 99.3% de los archivos maliciosos utilizaron una URL de comando y control que había sido utilizada previamente por una o más muestras de malware. Además, 98.2% de los autores de malware utilizaron C&Cs encontrados en otros cinco tipos de malware.

¿Es Algo Nuevo o un Déjà Vu?

Los creadores de amenazas están combinando viejas tácticas, como las macros, en los correos electrónicos no deseados con nuevas técnicas de evasión. Las viejas amenazas están siendo “recicladas” en las nuevas amenazas lanzadas mediante el correo electrónico y los canales Web, desafiando a las políticas defensivas más robustas. El correo electrónico, el vector de ataque principal hace una década, sigue siendo un vehículo potente para lanzar amenazas, a pesar del actual papel dominante de la web en los ciberataques. Por ejemplo:

• En 2014, el 81% de todo el correo electrónico que Websense analizó, fue identificado como malicioso. Este número es un 25% más alto que el año anterior. Asimismo, Websense también detectó un 28% de mensajes de correo electrónico maliciosos antes de que estuviera disponible una firma de antivirus.

• Websense Security Labs identificó más de 3 millones de archivos adjuntos de correos electrónicos que incluían macros,  esto tan solo en los últimos 30 días del 2014.

Darwinismo digital: sobreviviendo a la evolución de las amenazas

Los creadores de amenazas se han concentrado en la calidad de sus ataques y no en la cantidad. Websense Security Labs observó 3.960 millones de amenazas a la seguridad en 2014, lo que fue 5.1% menos que en 2013. Pero las numerosas brechas en las organizaciones de alto perfil que han hecho enormes inversiones en seguridad dan fe de la efectividad de las amenazas del año pasado.

Los atacantes han reestructurado la metodología de los ataques para reducir el perfil de sus amenazas. Y logran hacerlo al no seguir de manera lineal la cadena de ataques tradicional. Éstos son más difíciles de detectar, pues se saltan etapas, se repiten o se aplican sólo parcialmente, reduciendo así el perfil de las amenazas. La actividad en una etapa de la cadena de ataques varió considerablemente. Al igual que la actividad de sondeo de spam se enfoca en las primeras etapas de la cadena de ataques, otras etapas tuvieron niveles de actividad variables. Aunque algunas etapas tuvieron más actividad, otras tuvieron mucho menos actividad que el año anterior.

• Por ejemplo, los correos electrónicos sospechosos aumentaron un 25% de un año al otro, los archivos dropper disminuyeron un 77%, la actividad de call home (llamar a casa) se elevó un 93% y el uso de kits de explotación se redujo un 98%, mientras que la actividad de redireccionamiento malicioso permaneció sin cambios.

Evite la trampa de la atribución

Es especialmente complicado hacer la atribución, dada la facilidad con la que los hackers pueden falsificar la información, esquivar el inicio de sesión y ser rastreados o permanecer en el anonimato. Con frecuencia el análisis de la misma evidencia circunstancial puede llevar a conclusiones muy diferentes.

Otros temas que aborda el reporte

Elevando el IQ de TI: Ya que para 2017 se anticipa un déficit global de 2 millones de profesionales de seguridad capacitados, son necesarias nuevas formas de utilizar los recursos y adoptar la tecnología. De lo contrario, será inevitable que las organizaciones sean superadas por sus adversarios.

El enemigo en casa: Las amenazas internas siguen figurando entre los factores de riesgo para el robo de datos, debido a las acciones accidentales y maliciosas de los empleados.

Infraestructura frágil: En 2014, el panorama de amenazas se expandió a la infraestructura de red, pues se descubrieron vulnerabilidades ocultas dentro de lo más profundo de la base de código de Bash, OpenSSL, SSLv3 y otros cuyo uso ha sido popular durante décadas.

El Internet de las Cosas, el multiplicador de amenazas: El Internet de las Cosas (IoT) aumentará las oportunidades de explotación y se prevé que para el año 2020 haya entre 20 y 50 mil millones de dispositivos conectados. El IoT ofrece conectividad y aplicaciones que no se imaginaron antes, pero la facilidad de implementación y el deseo de innovar a menudo ignoran las preocupaciones sobre la seguridad.

La información del Informe de Amenazas 2015 de Websense Security Labs se recopiló y se evalúo usando la ThreatSeeker Intelligence Cloud, y se recibieron hasta cinco mil millones de respuestas diariamente provenientes de todo el mundo. Websense Security Labs estuvo a cargo de su interpretación de acuerdo con las entrevistas y las investigaciones realizadas por los investigadores e ingenieros de Europa, Medio Oriente, Asia y Norteamérica, quienes examinaron la actividad y el impacto de los ataques en la Cadena de Ataques completa.