¿Recuerdas esas representaciones de hackers en los 80 y los 90 donde simplemente sabías cuando te habían hackeado?
Una pantalla azul de la muerte, un mensaje aterrador, un intercambio de mensajes con un hacker: si te hackeaban en una película de los 80 o los 90, lo sabías de inmediato.
Qué lástima que los hackers de hoy hayan aprendido a mantenerse en silencio al infiltrarse en un entorno.
Claro, los ataques “ruidosos” como el ransomware todavía existen, pero los actores de amenazas han aprendido que si se mantienen ocultos, por lo general pueden causar mucho más daño. Para los hackers, un poco de sigilo rinde mucho.
Algunas tácticas de ataque son silenciosas por naturaleza, lo que las hace posiblemente más peligrosas, ya que pueden ser más difíciles de detectar. Aquí tienes cuatro de estas tácticas de ataque que deberías conocer.
1. Abuso de aplicaciones confiables
Los atacantes saben que muchas personas tienen aplicaciones en las que confían por naturaleza, lo que convierte a esas aplicaciones confiables en la plataforma de lanzamiento perfecta para los ciberataques.
Los actores de amenazas saben que los defensores y las herramientas que usan suelen estar a la caza de nuevo malware que aparece en los entornos. Lo que no es tan fácil de detectar es cuando el malware se hace pasar por aplicaciones legítimas.
El malware sin archivos es un gran ejemplo de abuso de aplicaciones confiables. En el caso del malware sin archivos, no se instala ningún malware nuevo en el sistema (de ahí su nombre). En cambio, el malware trabaja para manipular aplicaciones que conoces y en las que confías, tomando control de ellas y usándolas para realizar actividad maliciosa.
Y eso es lo que convierte al abuso de aplicaciones confiables en una de las tácticas de evasión más sigilosas.
2. Abuso de infraestructura confiable
Al igual que el abuso de aplicaciones confiables, el abuso de infraestructura confiable es el acto de usar servicios y herramientas legítimos y alojados públicamente (como Dropbox o Google Drive) como parte de la infraestructura del ataque.
Los actores de amenazas saben que la gente tiende a confiar en Dropbox y Google Drive. Como resultado, esto convierte a estas herramientas en un medio ideal para que los actores de amenazas lleven a cabo actividad maliciosa. Los actores de amenazas suelen encontrar fácil el abuso de infraestructura confiable porque estos servicios por lo general no están bloqueados en la puerta de enlace de una empresa. A su vez, las comunicaciones salientes pueden ocultarse a plena vista.
Lamentablemente, esto hace que sea mucho más fácil para los actores maliciosos establecer persistencia en un entorno, de lo cual hablaremos en breve.
3. Ofuscación
Aunque la ciberseguridad tiene más que su parte justa de siglas tediosas, la buena noticia es que muchos términos se pueden entender a partir de sus definiciones genéricas de diccionario.
Según dictionary.com, esto es lo que significa ofuscar:
Hacer que algo no esté claro, sea oscuro o difícil de entender.
Y eso es exactamente lo que significa en ciberseguridad: encontrar formas de ocultar un comportamiento malicioso. A su vez, esto hace que sea más difícil para los analistas y las herramientas que usan detectar actividad sospechosa o maliciosa.
Por ejemplo, una táctica de ataque que vemos a menudo en el campo es ocultar código malicioso dentro de un archivo que no levanta sospechas. Crees que estás abriendo un PDF (.pdf), pero en realidad estás abriendo un ejecutable (.exe) que ejecuta código malicioso en segundo plano. Esta es una forma de ofuscación porque te engañan para que abras un ejecutable bajo la apariencia de un PDF inofensivo.
4. Persistencia
Imagina que estás redactando documentación usando tu computadora, algo que probablemente hagas en tu rol. Has pasado muchísimo tiempo haciendo la investigación necesaria, encontrando las fuentes correctas y recopilando toda tu información en un documento.
Ahora, imagina no presionar guardar en ese documento y perderlo tan pronto como reinicias tu computadora.
¿Suena a pesadilla, o quizás a una experiencia real y angustiante que ya has vivido? Los actores de amenazas están de acuerdo.
Y por eso establecen persistencia. No quieren que todo el esfuerzo que les tomó entrar en tus sistemas sea en vano solo porque reinicias tu computadora. Establecen persistencia para asegurarse de poder seguir presentes incluso después de que reinicies.
Aunque hemos ampliado nuestras ofertas aquí en Huntress, la persistencia fue nuestro pan de cada día cuando recién empezamos. Eso se debe a que muchas herramientas se enfocaban en medidas preventivas, pero no tanto en lo que pasa una vez que los actores de amenazas sí logran entrar. Y seamos honestos: es solo cuestión de tiempo antes de que superen en astucia a las mejores herramientas de hoy.
Más información
¿Quieres aprender más sobre la evasión de defensas? Revisa nuestra serie de blogs donde abrimos la bóveda de Huntress para explorar algunas técnicas de evasión de defensas que hemos visto en el mundo real.
