Saber qué es el malware no necesariamente te preparará para cómo ocurren estos ataques en situaciones y entornos reales. Ver cómo otras empresas fueron víctimas de actores de amenazas astutos y ciberdelincuentes engañosos te ayudará a entender diferentes vulnerabilidades, así que cuando eventualmente te encuentres con una amenaza, estarás mejor preparado para detenerla de inmediato.
Los tipos de malware más comunes son ransomware, troyanos y ataques sin archivos. La mayoría de los hackers usan una o más de estas tácticas para crear vulnerabilidades y aprovecharlas.
Aquí tienes algunos ejemplos conocidos de software malicioso que les ayudó a lograrlo.
En mayo de 2017, el criptogusano WannaCry—una peligrosa combinación de ransomware que cifra datos con un gusano informático autorreplicante—infectó más de 230.000 dispositivos Windows usando un exploit llamado EternalBlue que permitía a los hackers acceder a todos los equipos conectados a una red. Microsoft ya había parcheado el exploit varias veces, por lo que lo consideraban obsoleto. Pero cualquiera que no hubiera mantenido al día sus actualizaciones de seguridad era vulnerable.
Por suerte, un investigador informático británico llamado Marcus Hutchins encontró un “interruptor de apagado” en línea que detuvo la propagación. Te lo agradecemos, señor Hutchins.
Ryuk fue otra cepa de ransomware particularmente virulenta que afectó a sistemas escolares, firmas de consultoría e incluso editoriales de periódicos como Los Angeles Times. El programa malicioso cifraba datos, y luego los atacantes exigían grandes cantidades de Bitcoin para liberar los archivos infectados. No se detuvo hasta que alguien encontró el script controlado manualmente que lo hacía funcionar.
Ahora que los defensores entienden mejor las tácticas de Ryuk, las soluciones administradas de gestión de eventos e información de seguridad (SIEM) como Huntress Managed SIEM pueden usar correlación de registros y detecciones sobre infraestructura y comportamiento sospechosos para identificar señales tempranas de un ataque, de modo que puedas detenerlo rápido.
Emotet es un programa de puerta trasera que da entrada a ransomware y otro software malicioso. Apareció por primera vez en 2014 como malware bancario diseñado para robar información confidencial almacenada en los equipos. Como una moneda falsa, Emotet sigue reapareciendo, un poco distinto cada vez. Hoy en día, incluso puede detectar cuándo está en un sandbox virtual y permanecer inactivo para engañar los escaneos.
Lo único que no ha cambiado es cómo se distribuye: siempre llega en correos de phishing que incitan a los usuarios a hacer clic en un enlace o abrir un archivo adjunto. Es otro recordatorio de la importancia del security awareness training (SAT), que educa a los empleados sobre vulnerabilidades comunes y técnicas de hacking, y cómo pueden hacer su parte para evitarlas.
TrickBot
TrickBot es una plaga persistente que ha estado abriendo puertas a ataques de malware desde 2016. Su propósito original era recopilar datos financieros, pero desde entonces evolucionó a un punto de acceso de malware como servicio que entrega los sistemas de las víctimas en bandeja.
Por suerte, la Detección y respuesta para endpoints (EDR) administrada y Managed SIEM pueden revelar el comportamiento malicioso de procesos, los intentos de robo de credenciales y otra actividad sospechosa de la que depende TrickBot, para que tu equipo y el Huntress SOC puedan responder rápidamente.
Los ataques sin archivos y de vivir de la tierra son un tipo de malware común que usa tus propios scripts y endpoints en tu contra. Desde 2021, los ataques de Volt Typhoon han afectado infraestructura crítica en Guam y otras partes de EE. UU. desde entonces, especialmente organizaciones que dependen de endpoints mal protegidos. Una vez que los hackers obtienen acceso, se mueven en silencio, archivando archivos y preparándolos para extraerlos después.
Como usan credenciales válidas, el acceso parece auténtico, lo que hace que estos ataques sigilosos y lentos sean difíciles de detectar. Para identificarlos, hay que dejar de pensar solo en la protección de archivos y pasar a la protección de identidad, asegurando que los hackers nunca lleguen a obtener credenciales.
La detección y respuesta de amenazas de identidad administrada (ITDR) y la gestión de la postura de seguridad de endpoints (ESPM) son las mejores formas de detectar vulnerabilidades y defenderte de las aplicaciones fraudulentas que hacen posibles estos ataques de vivir de la tierra.
A veces, los atacantes usan herramientas legítimas para ejecutar ataques maliciosos. A estas plataformas se las llama “traitorware”. Splunk es una herramienta capaz de ejecutar ataques de vivir de la tierra pese a no haber sido diseñada para eso.
El propósito principal de Splunk es analizar grandes volúmenes de datos en distintos entornos. Permite a los usuarios personalizar sus archivos de configuración para definir a dónde envía el sistema los registros de datos. Los actores maliciosos podrían configurar un servidor malicioso, crear nuevas configuraciones y enviar los registros a su servidor sin ser detectados. El truco está en las capas: los equipos de seguridad probablemente notarán si alguien edita archivos existentes, pero los archivos nuevos se pierden rápido entre los demás.
Hay varias formas de evitar que esto suceda, como segmentar la red, usar contraseñas de administrador generadas aleatoriamente y limitar el tráfico saliente.
Conocer los patrones de ataque comunes es clave para detectar incidentes a tiempo y expulsar a los actores de amenazas y sus herramientas antes de que puedan causar un daño grave.
Veamos algunos de los patrones de ataque más fáciles de identificar.
Las puertas traseras, los ataques de phishing y las credenciales comprometidas dejan rastros en tu entorno. Usa Managed SIEM para detectar eventos sospechosos de autenticación y acceso en los datos de registro, y Huntress Managed EDR para identificar comportamientos inusuales en los endpoints relacionados con ese acceso inicial.
Si bien un atacante podría obtener acceso a través de una cuenta de bajo nivel, no se quedará ahí: los hackers escalarán sus privilegios de forma constante mediante ingeniería social o inyectando código malicioso. Reduce el radio de impacto de las cuentas comprometidas con Huntress Managed ITDR y controles sólidos de la postura de seguridad de identidad (como Managed ISPM), que ayudan a detectar cambios de configuración riesgosos y actividad de identidad sospechosa antes de que los atacantes puedan convertir un acceso de bajo nivel en control total del dominio.
Una vez que los atacantes logran un punto de apoyo persistente, se mueven lateralmente: pasan a nuevos endpoints, abusan de herramientas legítimas y establecen persistencia para sobrevivir a los reinicios. Huntress Managed EDR ayuda a detectar esta actividad posterior al compromiso en los endpoints, mientras que Managed SIEM agrega el contexto de registro más amplio que necesitas para entender hasta dónde se ha propagado el ataque y dónde comenzó. Con Huntress Managed Response, nuestro SOC puede contener activamente las amenazas confirmadas, eliminar la persistencia del atacante y guiar a tu equipo en la remediación de endpoints e identidad.
Lo ideal es que ningún ataque llegue al punto en que los hackers cifren archivos para pedir rescate o filtren datos sensibles. Si un incidente llega hasta ahí, deberás activar tu plan de respuesta a incidentes y ejecutarlo rápidamente, desde contener los sistemas y cuentas afectados hasta coordinar con los socios de respuesta a incidentes y comenzar la recuperación.
Puedes aprender mucho de los ejemplos pasados de malware e incidentes, pero los atacantes se adaptan constantemente. Huntress Managed SIEM combina la recopilación centralizada de registros con Smart Filtering y nuestro SOC disponible las 24/7, de modo que monitoreamos, correlacionamos e investigamos eventos relevantes de seguridad en todo tu entorno, reduciendo la fatiga por alertas y ayudando a tu equipo a detectar señales tempranas de malware o movimiento lateral que de otro modo podrían pasar desapercibidas.
Con un equipo de expertos del centro de operaciones de seguridad (SOC) disponible las 24/7 que monitorea y cruza datos de registro, Managed SIEM de Huntress te mantiene un paso adelante de las tácticas maliciosas al filtrar las señales de ataque. Esto te ayuda a evitar la fatiga de ataque que hace que los equipos pasen por alto las señales tempranas de advertencia de malware.
Aprender sobre las principales amenazas de malware y a partir de ejemplos reales de ataques es la mejor manera de aprender a cerrar las brechas en tus defensas de ciberseguridad. No solo identificarás las señales a las que debes prestar atención, sino que también verás cómo vulnerabilidades aparentemente aisladas pueden dejar la puerta abierta a un ataque sofisticado.
El Huntress SOC combina Smart Filtering con análisis humano disponible las 24/7, de modo que las detecciones se validan antes de llegar a tu cola y solo ves incidentes que reflejan un riesgo real. Nuestros analistas usan su experiencia en tácticas del mundo real, basada en millones de eventos, para distinguir la actividad de ataque genuina del ruido inofensivo. Cuando estés listo para agregar un SIEM gestionado y un SOC disponible las 24/7 a tu stack, explora Huntress Managed SIEM y solicita una demo.
Cuando estés listo para la tranquilidad que brinda un SOC gestionado de primer nivel a precios accesibles, conoce nuestra solución Managed SIEM y agenda una demo gratis.
Varios de los ataques de malware más peligrosos de la historia han sido ataques patrocinados por estados contra naciones rivales. El ataque Stuxnet de 2010, por ejemplo, se ganó la reputación de ser el primer ciberataque en causar daño físico. Provocó que las centrifugadoras de una instalación nuclear iraní giraran fuera de control.
Ataques de malware con nombre propio de grupos de hackers privados, como el ataque ILOVEYOU (o Love Bug) en 2000 y el ataque WannaCry de 2017, fueron lo suficientemente extendidos como para llegar a las noticias, pero al final fueron breves y poco impactantes. Los actores de amenazas privados pueden tener su momento de protagonismo de vez en cuando, pero sus ataques palidecen en comparación con la profundidad y escala de las operaciones cibernéticas militares.
Las amenazas de malware sin archivos, también llamadas ataques living-off-the-land, usan tus propios scripts y ejecutables en lugar de inyectar otros nuevos. Los hackers manipulan scripts dándoles nuevos objetivos o comandos. Un script o programa secuestrado de esta manera conserva sus privilegios de autorización y de firewall, de modo que los escaneos y las herramientas antivirus no se dan cuenta.
SIEM implica centralizar y analizar datos de registro para identificar señales que EDR podría pasar por alto. Muchos de los rastros que dejan los ataques de malware son sutiles, y algunos, como TrickBot, incluso eliminan la evidencia a su paso. Los datos de registro suelen ser la única evidencia que queda, y se necesita un conjunto de herramientas sofisticado y un equipo de profesionales con conocimiento para analizarlos a fondo.
También te puede interesar
Entérate sin filtros por qué los proveedores de servicios administrados son blancos principales del ransomware y los ataques a la cadena de suministro, además de consejos para defenderte de ellos.
Descubre cómo los MSP pueden apoyar el cumplimiento de HIPAA protegiendo los datos de los pacientes, gestionando los controles de acceso y garantizando el monitoreo continuo. Conoce estrategias para cumplir eficazmente con los estándares de seguridad del sector salud.
Una guía práctica para defender tu negocio contra el ransomware con defensas en capas, copias de seguridad y monitoreo 24/7.
