Desglosando el secuestro de sesión

Esta es la verdad aterradora. Los atacantes son mucho más astutos hoy en día para obtener acceso inicial. Esa es la nueva realidad que enfrentamos con el secuestro de sesión. Hola, soy Amelia, analista de operaciones de seguridad en el Huntress SOC. Entonces, ¿qué es el secuestro de sesión? El secuestro de sesión es una técnica sigilosa de acceso inicial que usa tokens de autenticación robados para obtener acceso no autorizado a las cuentas de los usuarios en sitios web o aplicaciones. Es un cambio radical porque significa un acceso más fácil y rápido a los objetivos. ¿Qué son los tokens de autenticación de sesión? Cuando inicias sesión en un servicio, tu navegador guarda un archivo, como una cookie o un token de autenticación, que demuestra que estás autenticado. Estos son los tokens de autenticación de sesión, y son valiosos para los cibercriminales. Los atacantes han robado tokens de autenticación de sesión. ¿Qué significa esto para quienes defienden los sistemas? Los tokens de autenticación de sesión dan a los atacantes acceso total a una cuenta mientras la sesión siga activa. Los servidores reconocen los tokens de autenticación de sesión como prueba válida de identidad, así que no se activan alertas de inicio de sesión con contraseña ni solicitudes de MFA. Y si un usuario restablece su contraseña, no importa mucho, porque muchos tokens de autenticación de sesión siguen siendo válidos a menos que se revoquen explícitamente o venzan por políticas de seguridad. Veamos cómo funciona un ataque de secuestro de una sesión de comunicación. Paso uno, un actor de amenazas compra un token de autenticación de sesión robado en un foro de la dark web o roba tokens de autenticación directamente mediante phishing. Paso dos, aquí es cuando ocurre el secuestro de sesión. El atacante usa la repetición de sesión, una técnica que simula una solicitud de acceso al servidor que originalmente autenticó el token de autenticación robado. Esto reemplaza el token de autenticación de sesión del atacante por el robado de los registros del infostealer. El atacante quiere que el servidor crea que la actividad proviene del usuario legítimo. Paso tres, y lo logra. Lamentablemente, este atacante acaba de anotarse una victoria. El servidor reconoce el token de autenticación como el del usuario legítimo dentro de la misma sesión activa en la que ya estaba autenticado. El inicio de sesión y la autenticación de la cuenta objetivo se omiten por completo, dando al atacante acceso total a tu cuenta. En menos de una hora, el secuestro de sesión da a los atacantes acceso inicial a todo tipo de entornos, abriendo la puerta para moverse en silencio por tu sistema y tus redes, robar tus datos y lanzar ataques más grandes, como ransomware. En resumen, el secuestro de sesión es una táctica sigilosa de acceso inicial. Los atacantes usan tokens de autenticación robados para secuestrar las sesiones de los usuarios, evadiendo los inicios de sesión con contraseña y el MFA. El secuestro de sesión es más sigiloso y rápido que las tácticas tradicionales de robo de credenciales, como el phishing. Las sesiones activas y los tokens de autenticación robados son las llaves que abren el acceso a la cuenta y al entorno de la víctima durante una peligrosa ventana de oportunidad. Y así es como los atacantes secuestran tus sesiones para obtener acceso inicial a tu entorno.