Sophos, líder global en innovación y ciberseguridad como servicio, ha publicado su informe “The Bite from Inside: The Sophos Active Adversary Report”, que analiza en profundidad las técnicas de ataque y los comportamientos cambiantes de los adversarios durante la primera mitad de 2024. El informe, basado en casi 200 casos de respuesta a incidentes (IR) investigados por los equipos de Sophos X-Ops, tanto el de Incident Response (IR) como el de Managed Detection and Response (MDR), revela un preocupante aumento en el uso de aplicaciones y herramientas legítimas de sistemas Windows, conocidas como binarios “living off the land” (LOLBins), para explorar sistemas y mantener la persistencia.
En comparación con 2023, Sophos ha registrado un incremento del 51% en el abuso de estos LOLBins, una cifra que asciende al 83% desde 2021. Entre los 187 LOLBins únicos de Microsoft identificados en la primera mitad de 2024, la herramienta más explotada fue el Protocolo de Escritorio Remoto (RDP). De los casi 200 casos analizados, los atacantes abusaron de RDP en el 89% de ellos, consolidando una tendencia ya observada en el Active Adversary Report de 2023, donde el abuso de esta herramienta alcanzó el 90% de los incidentes investigados.
“Living off the land no sólo ofrece discreción a las actividades de un atacante, sino que también proporciona un respaldo tácito a sus actividades. Mientras que abusar de algunas herramientas legítimas puede levantar las cejas de algunos defensores, y con suerte algunas alertas, abusar de un binario de Microsoft a menudo tiene el efecto contrario. Muchas de estas herramientas de Microsoft de las que se abusa son parte integral de Windows y tienen usos legítimos, pero depende de los administradores de sistemas entender cómo se utilizan en sus entornos y qué constituye un abuso. Sin un conocimiento matizado y contextual del entorno, que incluya una vigilancia continua de los sucesos nuevos y en desarrollo dentro de la red, los equipos de TI actuales corren el riesgo de pasar por alto actividades de amenazas clave que a menudo conducen al ransomware”, afirma John Shier, CTO Field en Sophos.
Además, el informe ha descubierto que, a pesar de que el gobierno interrumpió la actividad del sitio web principal de filtraciones y la infraestructura de LockBit en febrero, LockBit ha sido el grupo de ransomware con más ataques detectados, representando aproximadamente el 21% de las infecciones en la primera mitad de 2024.
Otras conclusiones clave del último Active Adversary Report
Causa principal de los ataques: continuando con una tendencia que se observó por primera vez en el Active Adversary Report for Tech Leaders, las credenciales comprometidas siguen siendo la causa principal de los ataques, representando el 39% de los casos. Sin embargo, este porcentaje es inferior al 56% observado en 2023.
Las brechas en la red dominan el MDR. Al examinar únicamente los casos del equipo de MDR de Sophos, las brechas en la red fueron el incidente dominante con el que se enfrentó el equipo.
Los tiempos de permanencia son más cortos para los equipos MDR. En los casos del equipo de Incident Response de Sophos, el tiempo de permanencia (el tiempo que transcurre desde que se inicia un ataque hasta que se detecta) se ha mantenido en aproximadamente ocho días. Sin embargo, con MDR, el tiempo medio de permanencia es de sólo un día para todos los tipos de incidentes y de sólo tres días para los ataques de ransomware.
Los servidores de Active Directory más frecuentemente comprometidos se acercan al final de su vida útil. Los atacantes comprometieron con mayor frecuencia las versiones de servidor 2019, 2016 y 2012 de Active Directory (AD). Estas tres versiones ya no son compatibles con Microsoft, el paso previo a que lleguen al final de su vida útil (EOL) y sean imposibles de parchear sin el soporte de pago de Microsoft. Además, el 21% de las versiones de servidor de AD comprometidas ya eran EOL.
