Los atacantes están dejando de reconocer de malware fácilmente detectable para optar por el uso de accesos legítimos que les permiten acontecer desapercibidos y sortear los controles de seguridad.

Según un fresco documentación general de Kaspersky Security Services, el robo y alcaldada de credenciales, así como los ataques basados en el uso de cuentas válidas, se encuentran entre las tácticas más efectivas utilizadas por los ciberdelincuentes. Esta tendencia refleja un cambio importante en el comportamiento de los atacantes, quienes están dejando de reconocer de malware fácilmente detectable para optar por el uso de accesos legítimos que les permiten acontecer desapercibidos y sortear los controles de seguridad.

“Anatomy of a Cyber World” es un documentación general basado en datos recopilados por los servicios de Managed Detection and Response (MDR), Incident Response (IR), Compromise Assessment y SOC Consulting de Kaspersky. El reporte analiza las técnicas, herramientas y escenarios de detección más utilizados por los actores maliciosos, por otra parte de identificar las principales características de los incidentes observados a nivel mundial.

Según el documentación, una parte significativa de las técnicas de ataque más frecuentemente detectadas viaje en torno a la administración de credenciales e identidades. El observación realizado examina las tasas de conversión de diversos indicadores de ataque (IoA) y destaca las siguientes tácticas maliciosas más frecuentes:

Adivinar las contraseñas (34.8%)

Esta técnica consiste en que los atacantes prueban sistemáticamente diferentes combinaciones de contraseñas hasta conquistar lograr a una cuenta. Encabeza la tira de métodos más efectivos adecuado a su frecuente aparición tanto en ataques reales como en evaluaciones de seguridad autorizadas, lo que la convierte en una amenaza persistente en el panorama coetáneo de ciberseguridad. El uso de contraseñas débiles, predecibles o reutilizadas por parte de las organizaciones sigue facilitando el éxito de esta logística, una de las más antiguas, pero aún vigentes.

Creación de cuentas locales (34.7%)

Una vez que logran ingresar a un sistema, los atacantes suelen crear nuevas cuentas locales para amparar el ataque incluso si el punto de entrada llamativo es detectado y eliminado. Esta técnica se observa con frecuencia tanto en incidentes reales como en ejercicios de seguridad y puede ser identificada, pero solo cuando las organizaciones cuentan con los mecanismos adecuados de monitoreo y visibilidad, poco que aún sigue siendo una carencia global en muchas infraestructuras.

Abuso de cuentas válidas (34.5%)

En emplazamiento de desplegar malware, los atacantes utilizan credenciales robadas o comprometidas para iniciar sesión y mezclarse con la actividad regular de los usuarios. Esto dificulta considerablemente su detección, ya que el ataque parece seguro. La inscripción efectividad de esta técnica demuestra por qué las credenciales comprometidas continúan siendo uno de los vectores de ataque más peligrosos para las organizaciones.

Manipulación de cuentas (32%)

Los atacantes modifican cuentas existentes para consolidar y ampliar su ataque al entorno comprometido. Esto puede incluir la activación de cuentas deshabilitadas, cambios en los grupos de usuarios o la elevación de privilegios. Esta maña refuerza una tendencia cada vez más global: en emplazamiento de introducir nuevas herramientas o malware, los ciberdelincuentes aprovechan los bienes y accesos que ya existen en el interior de la ordenamiento para vigorizar su control y acontecer desapercibidos.

Reconocimiento de la red (31.2%).

Antes de exhalar un ataque más profundo, los ciberdelincuentes exploran la infraestructura de la ordenamiento para identificar sistemas vulnerables y rutas de ataque. Detectar estas señales tempranas puede marcar la diferencia entre un incidente contenido y una brecha de seguridad de maduro impacto.

Además, el documentación clasifica las técnicas utilizadas por los atacantes según la frecuencia con la que las actividades observadas derivaron en incidentes maliciosos confirmados. De acuerdo con los expertos de Kaspersky, si correctamente el ámbito MITRE ATT&CK® documenta una amplia variedad de tácticas empleadas por los actores de amenazas, una detección efectiva requiere priorizar aquellos comportamientos con maduro probabilidad de representar una actividad maliciosa, evitando al mismo tiempo ocasionar un exceso de falsos positivos.

“El reporte resalta cuatro técnicas relacionadas con abuso de credenciales y una relacionada con descubrimiento en el top 5. El abuso de credenciales sigue siendo efectivo porque aprovecha una brecha crítica en la seguridad de las organizaciones: la dificultad para distinguir entre un acceso legítimo y uno malicioso. Cuando un atacante entra con una cuenta válida, sus movimientos pueden parecer parte de la actividad normal del negocio, lo que le permite pasar desapercibido, escalar privilegios y mantenerse dentro del entorno comprometido. Este escenario demuestra que proteger una organización ya no consiste únicamente en bloquear malware, sino en entender cómo se comportan los usuarios, detectar anomalías y reaccionar antes de que un acceso comprometido se convierta en un incidente mayor”, asegura Eduardo Chavarro, director para Américas del Equipo Global de Respuestas a Incidentes en Kaspersky.

Para ceñir este aventura, los expertos de Kaspersky recomiendan:

Fortalecer la administración de identidades y accesos: no baste con crear usuarios y contraseñas. Las organizaciones deben revisar periódicamente qué cuentas siguen activas, qué permisos tienen, si existen usuarios inactivos o privilegios excesivos, y aplicar el principio de insignificante privilegio para que cada persona acceda sólo a lo que necesita para cumplir sus funciones.
Reforzar los controles de autenticación: la autenticación multifactor, anejo con políticas robustas de contraseñas, ayuda a ceñir el impacto del robo o reutilización de credenciales. Incluso si un atacante obtiene una contraseña, una segunda capa de comprobación puede impedir que acceda a los sistemas críticos de la ordenamiento.
Contar con capacidades avanzadas de detección y respuesta: servicios como Managed Detection and Response, Incident Response y el soporte de un SOC permiten monitorear de forma continua el comportamiento en el interior de la red, identificar actividades sospechosas, reponer rápidamente frente a incidentes y contener amenazas antaño de que escalen. Esto es esencia porque, frente al alcaldada de credenciales, el batalla no siempre es detectar un archivo desconfiado, sino distinguir comportamientos anómalos realizados desde cuentas aparentemente legítimas.

Para conocer más sobre las tácticas y técnicas utilizadas por los ciberdelincuentes, las características de los incidentes detectados y su distribución por regiones y sectores industriales, consulte el informe completo.