¿Es el APT malware?

APT vs. malware es una fuente común de confusión. Los APT usan malware (y a veces hasta malware diseñado a medida) en su arsenal, pero es solo un medio para un fin. También usan ingeniería social, credenciales robadas, correos de phishing y ataques sin archivos que aprovechan herramientas legítimas del sistema Windows. Los nombres de usuario y contraseñas válidos, y tus propias herramientas administrativas, también son lo que usan para entrar y quedarse.

Tipos de malware vs. objetivos de los APT

El malware se presenta de muchas formas: las comunes incluyen virus (código autorreplicante), gusanos (malware independiente que se propaga automáticamente), troyanos (programas que se hacen pasar por software legítimo) y ransomware (te bloquea el acceso y exige un pago). Otros tipos incluyen spyware, adware, rootkits y keyloggers. 

Los APT persiguen objetivos distintos. Los atacantes quieren acceso continuo, no un golpe rápido de ransomware por unos cuantos bitcoins. Quieren tu propiedad intelectual más valiosa. Usan varios mecanismos de persistencia en diferentes redes, lanzan ataques desde dentro usando cuentas legítimas, crean perfiles de usuario duplicados o configuran nuevas cuentas de administrador.

Vivir de los recursos del entorno y abuso de herramientas legítimas

Los APT evitan cada vez más instalar aplicaciones maliciosas independientes. En cambio, usan software legítimo que ya está en tu entorno: PowerShell, Windows Management Instrumentation (WMI), el Programador de tareas y PsExec. Estas funcionan como herramientas comunes de administración de sistemas que los equipos de TI usan a diario y que los APT usan para moverse por las redes, escalar permisos y desplazarse lateralmente sin activar alarmas. Esto se llama “vivir de los recursos del entorno”.

Persistencia en capas y rotación de C2

Los APT usan múltiples mecanismos de persistencia. Más allá de credenciales válidas y nuevas cuentas de administrador, crean puertas traseras que abren accesos incluso cuando aseguras tu red contra otros ataques.

Un ejemplo claro es APT29 (también conocido como Cozy Bear), que llevó a cabo el ataque a la cadena de suministro de SolarWinds al inyectar el malware SUNBURST en las compilaciones del software Orion. Esto les dio puntos de apoyo sigilosos y persistentes en miles de organizaciones.

Los APT también rotan entre software de terceros comprometido, servicios legítimos en la cloud y "algoritmos de generación de dominios" (DGA), creando múltiples nombres de dominio para organizar ataques en servidores de todo el mundo. Para cuando descubres lo que está pasando y cierras esos huecos, los atacantes ya se mudaron a nuevos "hogares" con redes distintas desde las cuales atacar.

Otros grupos de ataque pueden usar dos o tres vías para acceder repetidamente. Los grupos APT tienen tantas que probablemente nunca logres cerrarles el paso por completo.

Monitoreo de identidades y análisis del comportamiento de endpoints

Si los APT usan tus herramientas en tu contra y se convierten en residentes de largo plazo, ¿qué puedes hacer? Empieza con la gestión de identidad y acceso.

El monitoreo de identidades resulta clave: cuando una cuenta accede a algo a lo que nunca ha accedido antes, en momentos en los que nunca antes ha iniciado sesión, desde ubicaciones IP desde las que nunca se ha conectado antes—revísalo. Una herramienta de análisis del comportamiento de endpoints monitorea qué programas se ejecutan en qué sistemas, cómo los usuarios los inician, y desde dónde se conectan.

Aquí es donde entran en juego Huntress Managed Endpoint Detection and Response (EDR) e ITDR (Identity Threat Detection and Response). Necesitas soluciones que entiendan el comportamiento normal y marquen las desviaciones, no solo firmas de amenazas conocidas. La tecnología ha avanzado desde finales de los 90 y principios de los 2000. Ya no necesitamos aplicaciones separadas de "antivirus" y "anti-malware". Huntress ofrece soluciones EDR integrales que manejan amenazas conocidas, monitoreo de comportamiento e inteligencia de amenazas, respaldadas por un SOC disponible 24/7 listo para detectar amenazas avanzadas como los APT y responder en tiempo real.

Correlación de registros y contención rápida

Reúne todos tus registros y busca patrones. Aquí es donde entra en juego Huntress Managed SIEM. Los APT son pacientes, así que las soluciones de seguridad también deben serlo, observando sistemas y procesos que se comunican durante períodos prolongados.

Un script de PowerShell inesperado podría ser inocente o la primera señal de un APT. Al observar todo tu entorno a través de Huntress Managed SIEM en lugar de hacerlo en silos, detectas a los atacantes a tiempo y neutralizas las amenazas antes de que causen daños significativos.

Esto es la contención rápida: en el momento en que te das cuenta de que tienes un problema de seguridad, actúa rápido para detener la marea o enfrentar una inundación.

Necesitas que tus herramientas estén a la altura del trabajo. El filtrado de correo y la seguridad básica de endpoint funcionan para el malware común, pero no para los APT. Los APT persisten. Si tus soluciones no persisten, tarde o temprano te alcanzarán.

Las soluciones de Huntress para Managed EDR, Managed SIEM y Managed ITDR monitorean tu entorno y están respaldadas por un SOC experto que caza atacantes y APT para detener las amenazas a tiempo.