Mientras que el cambio al trabajo remoto el año pasado nos dio comodidades como trabajar en pijama y estar a 10 pasos del refrigerador, ha sido una especie de pesadilla para quienes trabajan en ciberseguridad.
El Instituto para la Seguridad y la Tecnología informa que en 2020, las víctimas de ataques de ransomware pagaron $350M en rescates—un aumento de más del 300% respecto al año anterior. Para fines de este año, se predice que el cibercrimen le costará al mundo $6 billones. Si bien el cibercrimen es un negocio lucrativo para los hackers, resulta costoso para el resto de nosotros—y lamentablemente, solo empeora con el trabajo remoto.
En muchos sentidos, el trabajo remoto ha eliminado muchas de las medidas de seguridad que las organizaciones suelen implementar para mantener seguros sus datos y redes. Por ejemplo, las redes corporativas generalmente solo permiten conectarse a dispositivos de confianza, lo que las hace más seguras que las redes domésticas típicas. Mientras tanto, las redes domésticas a menudo prescinden de algunas medidas de seguridad para facilitar la configuración y el uso—y aunque esto no siempre provoca un desastre, sí pone uno más al alcance de los actores de amenazas actuales, que son cada vez más astutos. Un ejemplo claro: cuatro de las vulnerabilidades más explotadas afectaron al trabajo remoto en 2020.
Estas son algunas de las principales Vulnerabilidades y Exposiciones Comunes (CVE) que los atacantes explotaron el año pasado, incluyendo lo que cada una puede hacer y cómo puedes proteger tus entornos contra ellas.
CVE-2019-19781: Citrix | Ejecución arbitraria de código
Qué es: Esta amenaza afecta el controlador de entrega de aplicaciones (ADC) de Citrix, que es una aplicación de balanceo de carga que reside en servidores usados con frecuencia en todo Estados Unidos. Debido a la popularidad y el uso generalizado del ADC de Citrix, y a la facilidad de explotación, esta vulnerabilidad ha sido una de las favoritas entre los actores de amenazas.
Según un análisis técnico realizado por el Gobierno Federal de EE. UU., CVE-2019-19781 fue la falla más explotada en 2020. Esta vulnerabilidad permite a los actores de amenazas obtener acceso para realizar ejecución remota de código (RCE) no autorizada en un sistema objetivo.
Por qué es peligrosa: En esencia, la ejecución arbitraria de código (ACE) comienza con una falla que existe en el software o hardware. Es una táctica de ataque peligrosa debido a su intención inherentemente maliciosa. Una vez que los actores de amenazas descubren estas fallas, pueden usarlas a su favor. Les permite ejecutar comandos en un dispositivo objetivo—por ejemplo, pueden usar comandos para escalar sus privilegios en una máquina y obtener derechos de administrador. Con este nivel elevado de privilegios, los hackers pueden básicamente hacer lo que quieran.
Cómo defenderte: Citrix tiene una serie de pasos que los profesionales de ciberseguridad pueden seguir para mitigar la vulnerabilidad CVE-2019-19781. Los pasos de remediación incluyen ejecutar una serie de comandos desde la interfaz de línea de comandos del ADC.
En general, defenderse de los ataques de ejecución arbitraria de código comienza por dificultar que los atacantes exploten las fallas. Mantener tu software y hardware actualizados con los últimos parches puede ayudarte a defenderte de los ataques ACE. Además, respalda regularmente tus datos en un dispositivo que esté desconectado de tu red y máquina con frecuencia—por si acaso lo peor sí llega a ocurrir.
CVE-2019-11510: Pulse | Lectura arbitraria de archivos
Qué es: Esta amenaza afecta los servidores de Red Privada Virtual (VPN) de Pulse Secure. Los actores de amenazas que explotan esta vulnerabilidad pueden obtener todas las credenciales no cifradas y no autorizadas que residen en un servidor comprometido—incluso después de que los servidores sean parchados.
Por qué es peligrosa: La lectura arbitraria de archivos permite a los actores de amenazas acceder y leer cualquier archivo que deseen una vez que han obtenido acceso a un sistema. En el caso de CVE-2019-11510, la vulnerabilidad da a los actores de amenazas la capacidad de acceder a los servidores VPN de Pulse Secure. A partir de ahí, los atacantes pueden realizar un ataque de lectura arbitraria de archivos, lo que les permite obtener información confidencial—incluyendo archivos de configuración de bases de datos, que amenazan la seguridad de un sitio web.
Esta amenaza es particularmente peligrosa porque puede seguir causando estragos incluso después de que los servidores sean parchados. Por esto, no solo deben parcharse los servidores, sino que también deben cambiarse todas las credenciales que residen en un servidor comprometido. Este es un escenario en el que parchar no basta para garantizar la remediación.
Cómo defenderte: Hay un parche disponible para mitigar este ataque; sin embargo, es igual de crítico que se cambien todas las contraseñas en un servidor comprometido. Los usuarios deben completar las actualizaciones del sistema requeridas para defenderse de CVE-2019-11510.
CVE-2018-13379: Fortinet | Path Traversal
Qué es: Esta vulnerabilidad crítica afecta la VPN de Secure Sockets Layer (SSL) de Fortinet. Permite a los atacantes obtener acceso a un archivo confidencial mediante path traversal. Esto le da efectivamente a los actores de amenazas la capacidad de obtener nombres de usuario y contraseñas en texto claro.
Por qué es peligrosa: Los ataques impulsados por path traversal son peligrosos porque permiten a los actores de amenazas acceder arbitrariamente a archivos y directorios, incluyendo aquellos fuera de la carpeta raíz web. En otras palabras, los actores de amenazas pueden aventurarse fuera de la carpeta raíz web e infiltrarse en otros archivos almacenados en un sistema, como el código fuente de aplicaciones.
Cómo defenderte: Al igual que con CVE-2019-11510, los defensores pueden mitigar este ataque aplicando un parche y cambiando las contraseñas.
CVE-2020-0787: Microsoft | Elevación de privilegios
Qué es: Esta vulnerabilidad aprovecha las situaciones en las que el Servicio de Transferencia Inteligente en Segundo Plano (BITS) de Windows maneja incorrectamente enlaces simbólicos, o archivos que apuntan a otros archivos, de manera similar a un acceso directo. Una vez que los atacantes explotan esta vulnerabilidad, pueden sobrescribir un archivo objetivo y escalar sus privilegios.
Por qué es peligrosa: Los ataques de escalada de privilegios son inherentemente peligrosos ya que, en esencia, permiten a los actores de amenazas obtener el acceso necesario para darse a sí mismos los derechos necesarios para hacer lo que quieran en tu entorno, ya sea obtener acceso a archivos confidenciales o ejecutar código malicioso. Dado que implica acceso no autorizado, es fundamental mitigar estos ataques lo antes posible para minimizar el daño.
Cómo defenderte: Hay un parche disponible para corregir el problema. En general, una buena práctica para evitar los ataques de escalada de privilegios es otorgar a los usuarios el nivel de privilegios más bajo posible, de modo que si este tipo de ataque sí llega a ocurrir, los atacantes tengan que esforzarse más para escalar sus privilegios.
• • •
Hay muchas más vulnerabilidades que sacudieron el panorama de la ciberseguridad en 2020; sin embargo, estas cuatro CVE comunes dan una buena idea de lo que los atacantes actuales son capaces de hacer—y de cómo puedes proteger tus entornos contra varios tipos de ataques comunes.
¿Quieres ver si algo—o alguien—está acechando en tu entorno? Regístrate para una prueba gratuita de Huntress.
