A medida que el año-que-no-debe-nombrarse llega a su fin, decidimos mirar atrás y repasar algunas de las tácticas y técnicas de hacker más interesantes — e innovadoras — que vimos durante estos últimos 12 meses.
También cubrimos este tema en nuestro episodio más reciente de Tradecraft Tuesday — míralo aquí si prefieres repasar el año en video. Si no, sigue leyendo para conocer las principales tácticas, técnicas y procedimientos (TTPs) que captaron nuestra atención en 2020!
No es ningún secreto que este año trajo cambios — pero también trajo algunas de las mismas TTPs de siempre, solo que con diferentes actores. Y eso es importante señalarlo, porque si no te proteges de lo que sigue igual, probablemente te atrapen las cosas que sí cambiaron.
En el espíritu de lo viejo contra lo nuevo, veamos qué ha (o no ha) evolucionado en cuanto a estas amenazas y tácticas.
Los hackers se vuelven más tácticos con el ransomware
Si eres un hacker en 2020, el ransomware sigue siendo uno de esos regalos básicos que no dejan de dar. El comienzo de este año arrancó justo después del pico en que se atacaba a los MSP y sus herramientas mediante campañas de ransomware. 2019 fue un año despiadado para los MSP porque los hackers los usaban como arma para distribuir ransomware a su base de clientes. Incluso descubrimos cómo un criminal intentó vender acceso a un MSP en la dark web.
Pero a medida que avanzaba el año, estos incidentes de ransomware que involucraban a MSP empezaron a disminuir levemente. No me malinterpretes, los atacantes seguían usando ransomware para monetizar sus ataques, pero los MSP ya no eran el objetivo del momento.
Este año, vimos a los atacantes desplazar su enfoque hacia víctimas de mayor valor, en lo que se conoce como “caza de grandes presas”. Básicamente, los adversarios ponen la mira en objetivos donde la probabilidad de un gran pago es mayor — como en junio, cuando varias empresas de la lista Fortune 500 fueron blanco de ataques, o en octubre, cuando las víctimas fueron hospitales y proveedores de salud.
Otro cambio importante en cuanto al ransomware fue cuándo se usaba dentro del ciclo del ataque. Allá por 2019, solíamos ver que, apenas un atacante obtenía acceso inicial y lograba entrar, soltaba de inmediato el ransomware de su elección y el cifrado ocurría en cuestión de minutos.
Más recientemente, los atacantes han estado tardando un poco más en iniciar el cifrado y comenzar el rescate. En cambio, mantienen un punto de apoyo persistente, realizan su enumeración y exploran más a fondo. Una vez que entran a una máquina, empiezan a ver qué hay en ella, a qué tienen acceso, qué datos están disponibles y si dieron con un objetivo que podría pagar mucho. Básicamente, encuentran lo valioso, lo descargan y después inician el cifrado. ¿Por qué? Porque ahora tienen una ventaja adicional para otra tendencia que se ha hecho más común este año: la doble extorsión.
La doble extorsión es un cruel golpe doble. La primera extorsión ocurre cuando el hacker cifra tus archivos y tienes que pagar para recuperar el acceso. Pero luego te golpean de nuevo con: “tenemos una copia de tus archivos y vamos a venderla, divulgarla o decirles a los auditores que fuiste comprometido, a menos que nos pagues otra vez”.
Y para colmo, los atacantes se dieron cuenta de que una doble extorsión exitosa implica encontrar y destruir cualquier copia de seguridad que tengas — así que algunos ahora apuntan específicamente a los servidores donde están esas copias, para eliminar esa opción de recuperación.
Persistencia: Acumulando capas de indirección
La persistencia consiste en que un adversario simplemente intenta mantener su punto de apoyo persistente. Como insinuamos antes, los atacantes establecen persistencia para poder husmear silenciosamente en una máquina antes de soltar el ransomware o tomar otra acción. Y en cuanto a la persistencia, los métodos probados y comprobados siguen siendo los más comunes.
Seguimos viendo tantas tareas programadas, servicios, accesos directos en la carpeta de inicio y otros puntos de apoyo como los que cubrimos en nuestro episodio de Tradecraft Tuesday dedicado a la persistencia. Pero los hackers están sumando más capas de ofuscación e indirección — como ejecutar un archivo batch desde un VBScript que luego llama al payload real. Es la misma técnica, pero con la ofuscación justa para evitar ser detectados.
Para seguir en la pelea, los atacantes buscan constantemente formas de ampliar su punto de apoyo persistente. De hecho, vimos esto recientemente con TrickBot, que lanzó una nueva funcionalidad diseñada para inspeccionar el firmware UEFI/BIOS de los sistemas objetivo, a la que se bautizó como TrickBoot. Esta nueva funcionalidad es como persistencia para tu persistencia. Si hay capacidades de escritura disponibles, TrickBoot tiene la oportunidad de implantar persistencia en el UEFI/BIOS, lo que le da la capacidad de reinfectar el dispositivo incluso después de borrar el sistema operativo.
Esto demuestra hasta dónde llegan los atacantes para adaptar sus esfuerzos de persistencia y esconderse a plena vista con tal de evadir la detección… lo que nos lleva a la siguiente sección.
Evasión de defensas: el mismo juego, distintos jugadores
La evasión de defensas consiste en técnicas que los adversarios usan para evitar ser detectados durante todo su compromiso. En pocas palabras: el adversario intenta no ser detectado.
A lo largo de 2020, la evasión de defensas se mantuvo igual y, a la vez, cambió. Se mantuvo igual en cuanto a cómo la usan los atacantes — evitando la detección al esconderse en procesos confiables, usando aplicaciones legítimas para ofuscar scripts maliciosos y deshabilitando software de seguridad, entre otras cosas. Pero también cambió, porque los atacantes siguen rotando y buscando diferentes aplicaciones para usar en su evasión.
Tomemos App Installer, por ejemplo. El usuario de Twitter @notwhickey descubrió que, en realidad, podía usar App Installer para descargar un archivo desde Pastebin y luego ejecutarlo.
Los atacantes usan constantemente técnicas como esta y adaptan sus tácticas para confundir y evadir los productos de seguridad. Pero el lado positivo es que ahora los sistemas operativos están incorporando mecanismos para mantenerse actualizados o ayudar a mitigar algunos de estos ataques.
• • •
Año tras año, los atacantes nos han demostrado cómo siguen aprendiendo y madurando (y algunos incluso están empezando a unir fuerzas). Para nosotros, los defensores, debemos responder resolviendo estos problemas en comunidad, elevando nuestro conocimiento de ciberseguridad y evolucionando antes que las amenazas que nos rodean.
Entonces, ¿qué nos deparará 2021? Después de este año, es difícil saberlo — pero algo sí sabemos: mientras los hackers sigan hackeando, nosotros seguiremos cazando.
Si te interesa saber más sobre la evolución de las técnicas de tradecraft de los hackers, mira nuestro episodio en YouTube! También puedes unirte a un futuro Tradecraft Tuesday (los organizamos mensualmente).
