¿Por qué 2022 fue un año de 'creatividad sin precedentes' para el cibercrimen?

Sus datos revelan que los ciberdelincuentes han tenido que perfeccionar sus habilidades de ingeniería social, mercantilizando técnicas de ataque hasta entonces consideradas como sofisticadas y buscando creativamente otras oportunidades en escenarios insospechados. Esto ha dado como resultado que hayan conseguido avances significativos en varios frentes, desde la escalada de ataques de fuerza bruta dirigidos a inquilinos cloud, el aumento de los ataques de smishing conversacional, o la proliferación de elusiones de la autenticación multifactor (MFA).

Para Ryan Kalember, vicepresidente ejecutivo de estrategia de ciberseguridad de la firma, el amplio abuso de Microsoft 365, con macros de Office o documentos de OneNote, ocupando un gran porcentaje de la superficie de ataque de las organizaciones, ha establecido las líneas generales del panorama de amenazas. "A medida que los controles de seguridad han ido mejorando poco a poco, las amenazas también han ido innovando y ampliando sus métodos de evasión. Algunas técnicas que antes eran propiedad de red teams, como saltarse la MFA o los ataques telefónicos, son ahora de lo más habituales; y, aunque muchos ciberdelincuentes siguen experimentando, lo que no cambia es que los atacantes explotan a las personas, siendo estas la variable más crítica en la actual cadena de ataque”, ha subrayado.

Ya sea mediante técnicas complejas con las que eludir la MFA, ataques telefónicos o amenazas conversacionales en las que los atacantes despliegan todos sus encantos, 2022 fue un año con una creatividad sin precedentes dentro de la ciberdelincuencia, con importantes variaciones en las cadenas de ataque y en el que se probaron o descartaron mecanismos de entrega de manera acelerada.

Estas son las principales conclusiones del informe:

- El uso de macros de Office se ha reducido a raíz de que Microsoft desplegara controles para bloquearlas: tras casi tres décadas siendo un método popular de distribución de malware, las macros de Office finalmente comenzaron a disminuir en uso después de que Microsoft actualizara la forma en que su software maneja los archivos descargados de la web. Los cambios desencadenaron una oleada de experimentación por parte de los ciberdelincuentes en busca de técnicas alternativas para comprometer a sus objetivos.

- Los ciberdelincuentes, además de ingeniosos, son más precisos y pacientes que antes: en 2022 aumentaron las amenazas de smishing conversacional y de “pig butchering”, las cuales comienzan con el envío de mensajes aparentemente inofensivos. De hecho, en el entorno móvil, estos fueron los ataques con el crecimiento más rápido del año, multiplicando por doce su volumen. Además, la entrega de ataques orientados al teléfono (TOAD) alcanzó un máximo de 13 millones de mensajes al mes. También se detectaron varios grupos de amenazas persistentes avanzadas (APT) financiados por algún gobierno que pasaron semanas, o incluso meses, intercambiando mensajes de forma apacible con sus objetivos para lograr establecer una relación de confianza con ellos.

- Los kits de phishing “listos para usar” que pueden eludir la MFA se han extendido más: estos kits permiten que incluso delincuentes sin muchos conocimientos técnicos puedan poner en marcha una campaña de phishing. En el caso de marcos para sortear la MFA, como EvilProxy, Evilginx2 y NakedPages, son responsables de más de un millón de mensajes de phishing al mes.

- La infraestructura legítima desempeña un papel clave en la ejecución de muchos ataques basados en la nube y muestra las limitaciones de las protecciones basadas en reglas: la mayoría de las organizaciones se enfrentó a amenazas procedentes de los conocidos gigantes cloud Microsoft y Amazon, cuya infraestructura alberga innumerables servicios legítimos en los que confían las empresas.

- Los nuevos métodos de distribución han situado a SocGholish en el top cinco de malwares por volumen de mensajes: con una novedosa técnica de propagación que incluye ataques “drive-by downloads” y falsas actualizaciones del navegador, el grupo de ciberdelincuentes TA569, que está detrás de SocGholish, ha sido capaz de infectar sitios web para distribuir este malware, engañando a las víctimas para que lo descarguen. Muchos de los sitios que alojan el malware SocGholish no son conscientes de ello, lo que aumenta su poder de transmisión.

- Las amenazas cloud se han vuelto omnipresentes: el 94% de los usuarios de la nube es objeto cada mes de un ataque de precisión o de fuerza bruta, lo que indica una frecuencia equiparable a los ataques por correo electrónico y móviles. El número de ataques de fuerza bruta, especialmente los que usan “password spraying”, aumentó de una media mensual de 40 millones en 2022 a casi 200 millones a principios de 2023.

- Abusar de la familiaridad y la confianza que dan las grandes marcas es una de las formas más sencillas de ingeniería social: los productos y servicios de Microsoft ocuparon cuatro de los cinco primeros puestos de marcas suplantadas, siendo Amazon la marca de la que más se aprovechan los ciberdelincuentes.

- Un acceso inicial exitoso puede conducir rápidamente a ataques que afectan a todo un dominio, como una infección de ransomware o robo de datos: hasta el 40% de las identidades de administradores mal configuradas o “en la sombra” puede explotarse con un solo paso como restablecer una contraseña para aumentar los privilegios. También se ha descubierto que el 13% de los administradores en la sombra ya tenía privilegios de administrador de dominio, lo que permite a los atacantes obtener credenciales y acceder a los sistemas corporativos. Alrededor del 10% de los endpoints tiene una contraseña de cuenta privilegiada desprotegida, y el 26% de esas cuentas expuestas está vinculada a administradores de dominio.

- Emotet volvió a ser el malware más predominante del mundo un año después de que las fuerzas de seguridad desconectaran la botnet en enero de 2021: a pesar de haber enviado más de 25 millones de mensajes en 2022 (más del doble que la segunda amenaza más destacada), la presencia de Emotet ha sido intermitente y ha dado muestras de letargo a la hora de adaptarse al panorama de amenazas posmacro.

-  Aunque la delincuencia por motivos económicos domina en gran medida el panorama de amenazas, un único ataque atípico de APT puede tener un impacto enorme: una amplia campaña de TA471, unos ciberdelincuentes prorrusos que se dedican tanto al espionaje corporativo como al gubernamental, consiguió propulsarlos a la cima de amenazas APT por su alto volumen de mensajes. Por otro lado, el grupo TA416, alineado con el Estado chino, fue uno de los más activos. En particular, las nuevas campañas de TA416 coincidieron con el inicio de la guerra entre Rusia y Ucrania y tuvieron en el punto de mira a entidades diplomáticas europeas dedicadas a los servicios de refugiados e inmigrantes.

Este estudio está basado en uno de los conjuntos de datos globales sobre ciberseguridad más amplios y diversos de la industria, abarcando el correo electrónico, la nube y la informática móvil, y que incluye más de 2.600 millones de mensajes por email, 49.000 millones de URLs, 1.900 millones de archivos adjuntos, 28 millones de cuentas cloud, 1.700 millones de SMS sospechosos, etc.