Un agente de acceso inicial es un cibercriminal cuyo papel principal es, bueno, obtener acceso inicial a las redes. Una vez que tienen acceso, a los IAB normalmente no les importa lo que pase después. 

Roban credenciales, comprometen sesiones de VPN, roban información de inicio de sesión del protocolo de escritorio remoto (RDP), implementan web shells, capturan credenciales de acceso a la cloud y luego venden lo que encuentran al mejor postor en foros y mercados de la dark web. Como su negocio es el acceso, suelen dar documentación detallada sobre a quién lleva ese acceso: el tamaño de la empresa, su industria, los ingresos estimados, el nivel de acceso robado, y así sucesivamente. Los compradores pueden "comprar" acceso en foros de cibercrimen, revisando los listados de agentes de acceso como si fuera un catálogo.

Si los agentes de acceso inicial venden acceso, quizás te preguntes cómo encajan exactamente en una operación de ransomware. Antes, los actores de ransomware tenían que encontrar el acceso ellos mismos. Eso significaba pasar semanas o meses buscando vulnerabilidades, lanzando campañas de phishing, estableciendo una cabeza de playa, moviéndose para lograr una escalada de privilegios y persistencia, y recién entonces comenzar con las herramientas de extorsión necesarias para un ataque de ransomware. Es un proceso costoso y que consume mucho tiempo.

Los agentes de acceso cambiaron eso. En lugar de pasar tiempo buscando acceso, los afiliados de ransomware simplemente pueden comprar el acceso e ir directo al trabajo, escalando privilegios, moviéndose lateralmente por el entorno y desplegando su payload de ransomware. Como puedes imaginar, esto acelera drásticamente los plazos de los ataques.

En pocas palabras: los agentes de acceso no solo habilitan las operaciones modernas de ransomware, las potencian.

Para entender el ecosistema moderno de ransomware as a service (RaaS), es importante reconocer que tiene capas. Primero están los grupos de ransomware as a service en sí mismos: organizaciones criminales que crean herramientas de ransomware y las alquilan a afiliados, hackers que ejecutan ataques usando las herramientas del grupo RaaS. Los afiliados normalmente comparten un porcentaje de cualquier pago de rescate exitoso con la operación RaaS.

Los afiliados de ransomware pueden comprar acceso a los IAB, lo que les da una base confiable dentro de la red objetivo. De repente, tienes tres capas operando juntas: desarrolladores que escriben y venden ransomware, agentes que venden acceso a los afiliados de esos desarrolladores, y afiliados actuando sin control.

Como cualquier mercado con demanda, el mercado de agentes de acceso inicial ha pulido muchas asperezas a lo largo de los años. Compradores y vendedores han establecido precios consistentes para lo que vale el acceso: el acceso a una red más grande costará más que el acceso a una operación más pequeña. El acceso con privilegios de nivel administrador costará más que el acceso de usuario básico. Ciertas industrias, como la salud, las finanzas y la infraestructura crítica, tienen precios más altos en general.

El volumen también ha aumentado, ya que los afiliados de ransomware han podido operar con muchas menos habilidades de las que antes se requerían. Hoy, todo lo que necesitas para ejecutar un ataque de ransomware es dinero y una cuenta en un foro criminal. Los IAB han hecho del descubrimiento y el acceso algo rutinario.

Para empezar, un compromiso no es "limpio" solo porque no involucre ransomware. Los atacantes que venden acceso a tu red podrían no molestarse con costosas rutinas de exfiltración y cifrado posterior a la explotación si todo lo que quieren es dinero. Para cuando un grupo de ransomware concreta el acceso que compró, tu adversario ya ha estado en tu entorno el tiempo suficiente como para recopilar técnicas, tácticas y procedimientos (TTPs) sobre cómo operas.

Necesitas monitorear las señales más sutiles de que algo anda mal: autenticación anómala, sesiones de acceso remoto sospechosas, patrones inusuales de abuso de credenciales y movimientos laterales en endpoints. Herramientas como Huntress Managed ITDR y Huntress Managed EDR están diseñadas para detectar esas señales de identidad y endpoint, para que no tengas que esperar a que los archivos empiecen a cifrarse para darte cuenta de que algo anda mal.

Muchos de los puntos de acceso que aprovechan los IAB son prácticamente tan estándar que resultan triviales.

Las credenciales robadas, quizás de un ataque anterior de malware infostealer o de un ataque de credential stuffing por fuerza bruta, les dan a los atacantes acceso a la cuenta de un usuario válido, especialmente si esa cuenta carece de MFA. Los servicios RDP expuestos en internet son un regalo para los atacantes. Lo mismo ocurre con los sistemas sin parchear: si estás ejecutando software expuesto con vulnerabilidades conocidas, ya estás en desventaja. Los cibercriminales y los IAB buscan activamente sistemas como estos.

Y luego están los servidores VPN. Un acceso que, para alguien dentro de la organización, parece una sesión legítima de trabajo remoto, es increíblemente valioso. Con o sin credenciales, si tu servidor VPN está expuesto a internet y sin parchear, podrías estar en problemas.

Aplica parches rápidamente. Si tienes sistemas expuestos a internet, un ciclo de parches lento es como poner un cartel de "hackéame" en tu red. Refuerza tus protocolos de acceso remoto. El RDP expuesto a internet nunca es buena idea. Si debes exponerlo a internet (no deberías), asegúrate de haber habilitado la MFA y la autenticación a nivel de red. Las credenciales de usuario por sí solas nunca deberían ser suficientes para moverse por tu entorno. 

Monitorea en busca de evidencia de abuso de credenciales. Ubicaciones de inicio de sesión inusuales, actividad extraña fuera de horario y escaladas de privilegios repentinas son solo algunas de las señales que debes vigilar después de que un acceso vendido por un agente llegue a tu red.

 
Huntress Managed EDR y Managed ITDR están diseñados para detectar este tipo de señales. Obtén una demo de la plataforma Huntress, porque una detección tardía no es detección.