• Cambio de táctica: Sandworm, conocido tradicionalmente por el potencial destructivo de sus ciberoperaciones, muestra un acusado incremento de las detecciones (1669 %), con una variación de contribución proporcional del 40 %. Este impresionante crecimiento es indicativo de una escalada sin precedentes de las ciberactividades de este grupo vinculado a Rusia.

• Incremento agresivo de la operaciones: APT29, un grupo con un amplio historial de ciberespionaje, mostró un aumento destacado de la actividad. Las detecciones aumentaron un 124 %. De la misma forma, APT34 y Covellite también mostraron un aumento de detecciones, del 97 y el 85 % respectivamente, lo que indica un aumento del ritmo de las operaciones o bien el inicio de nuevas campañas.

• Homeostasis: en cambio, grupos como Mustang Panda, Turla y APT28 mostraron pocos cambios en sus niveles de actividad. Mustang Panda sufre un ligero descenso de -2 % y Turla un modesto aumento del 3 % en las detecciones.

• Surgen nuevos actores: es de destacar la aparición de UNC4698, con un aumento del 363 % de detecciones, lo que puede ser indicio de la incorporación al panorama de las APT de un nuevo actor con un gran peso potencial.

Las detecciones en el caso de los grupos menos conocidos o no identificados aumentaron un 62 %, síntoma de que existe una gama variada y creciente de amenazas, además de las entidades de APT bien documentadas. El incremento del 8 % en su contribución proporcional al total de detecciones pone de manifiesto la evolución constante y la diversificación de las ciberamenazas.

Grupos de APT y países de origen

Los grupos de amenazas vinculados a China siguen siendo los más prolíficos en cuanto a actividades de APT

Cuando se analizan los países de origen, la telemetría de Trellix desde octubre de 2023 hasta marzo de 2024 también indica cambios destacados en cuanto a las ciberactividades patrocinadas por Estados.

• Escalada importante de las operaciones: las motivaciones geopolíticas y la ciberseguridad están evolucionando en distintos países. Esto es lo que ha observado nuestra telemetría:

  • Los grupos de amenazas vinculados a Rusia han mostrado un considerable incremento de detecciones de APT, hasta un 31 %, y su contribución proporcional ha subido un 4 %. Esto representa una notable escalada de las ciberoperaciones, que posiblemente refleje objetivos estratégicos más amplios o respuestas a la dinámica de la ciberseguridad a nivel mundial.

  • Los grupos de amenazas vinculados a Irán también han incrementado enormemente las ciberactividades; un 8 % en las detecciones y un 3,89 % en la contribución proporcional. Esto pone de relieve una clara ampliación de las ciberoperaciones de Irán, en línea con sus objetivos geopolíticos y su implicación en la guerra entre Israel y Hamás.

• Una mayor diversificación: China sigue siendo el principal origen de actividades de APT, aunque las detecciones solo han aumentado un 1 %. Sin embargo, su contribución proporcional al total de las detecciones se ha reducido ligeramente (-1 %), lo que podría indicar una mayor diversificación de orígenes de APT durante este período. En febrero de este año aparecieron también informes sobre acciones importantes de Volt Typhoon, un grupo de APT financiado por China, contra infraestructuras críticas de Estados Unidos. En la siguiente sección se incluye más información sobre este tema.

• Giro en la estrategia: por el contrario, los grupos ligados a Corea del Norte, Vietnam e India han experimentado descensos significativos en sus actividades de APT. Las detecciones relacionadas con Corea del Norte han caído un -82 %, las de Vietnam un -80 % y las de India un -82 %. Es de destacar la importante disminución de la contribución proporcional de Corea del Norte (-6 %), posiblemente debida a un cambio en prioridades, estrategia o capacidades.

• Surgen más países: se ha observado un aumento considerable de las actividades de APT en grupos vinculados a Paquistán y Bielorrusia. Las detecciones han aumentado un 55 % y un 2019 %, respectivamente. Estos aumentos, en particular el incremento exponencial de Bielorrusia, subrayan la aparición de actores nuevos o desconocidos hasta ahora en el espacio de las APT.

  La categoría "Otras" muestra un aumento del 121 % en las detecciones, lo que indica que las actividades de APT no se limitan a los países que se citan con más frecuencia. Esta diversidad refleja el carácter global de las ciberamenazas y la necesidad de contar con una postura de ciberseguridad de amplio alcance y adaptable.

En los próximos meses haremos un seguimiento exhaustivo de estos nuevos patrones de ataque.

Países y regiones atacados por actividades APT

Turquía ha experimentado un aumento sin precedentes en detecciones relacionadas con APT

Esta sección se centra en las regiones en las que Trellix detectó actividad de grupos de APT entre el 4.º trimestre de 2023 y el primer trimestre de 2024 y revela cambios importantes en las prioridades y la estrategia de estos sofisticados ciberdelincuentes.

Tras las evaluaciones, el Trellix Advanced Research Center ha concluido con un moderado nivel de confianza que los siguientes factores afectan a la actividad detectada en determinados países y regiones: 

• Objetivos operativos: las detecciones de amenazas dirigidas contra Turquía sufrieron un impresionante aumento (1458 %), lo que implica un ascenso del 16 % en su contribución proporcional al total de detecciones. Este asombroso incremento indica un cambio significativo en el enfoque de las ciberamenazas contra Turquía, que probablemente refleje tensiones geopolíticas más amplias u objetivos operativos concretos de los grupos de APT.

• Importancia estratégica: India e Italia también han experimentado aumentos importantes en las detecciones, que alcanzan el 614 % y el 308 %, respectivamente. Es posible que la mayor prevalencia de estos países en la lista de objetivos de ataque esté relacionada con su creciente importancia estratégica en el ciberdominio, ya sea debido a factores económicos, políticos o tecnológicos..

• Ampliación del panorama: es curioso destacar que Vietnam y Estados Unidos, aunque continúan generando detecciones de APT significativas, muestran tendencias diferentes. Las detecciones de Vietnam aumentaron un 9 %, sin embargo su contribución proporcional descendió un -9 %, lo que indica un aumento de objetivos de ataques. Estados Unidos experimentó un moderado incremento de las detecciones (15 %), pero una caída del -7 % en la contribución proporcional, lo que indica una diversificación de las estrategias de los grupos de APT.

• Acontecimientos geopolíticos: en Alemania, China, Papúa Nueva Guinea y Brasil se observan incrementos en las detecciones, y en Alemania y China, cambios significativos en la contribución proporcional. Esta diversificación en los objetivos refleja los ajustes estratégicos y oportunísticos que aplican los grupos de APT como repuesta al estado de la ciberseguridad mundial y a los acontecimientos geopolíticos.

• Mejora de la seguridad nacional: por el contrario, Indonesia ha experimentado un notable descenso de las detecciones (48 %), junto con una caída del -4 % de la contribución proporcional. Esta caída podría ser indicio de un cambio de prioridades temporal o síntoma de una mejora de las medidas de ciberseguridad nacional.

• Consolidación del enfoque: la categoría "Otros", que representa a un colectivo de otros países distintos en los generación detecciones con las APT, muestra un descenso del 23 % en las detecciones y del 21 % en la contribución proporcional. Este descenso posiblemente se deba a una consolidación del enfoque por parte de los grupos de APT en determinados objetivos que concentran un gran nivel de interés durante este período.

Observamos potencial para que el panorama siga cambiando rápidamente impulsado por las tendencias geopolíticas.

Herramientas maliciosas

El análisis de la herramientas maliciosas utilizadas en campañas de APT entre el 4.º trimestre de 2023 y el primer trimestre de 2024 revela tendencias claras en cuanto a las preferencias y tácticas operativas de los ciberdelincuentes. La variación de las tasas de detección y su contribución proporcional ofrece datos sobre la evolución del panorama de las ciberamenazas y la dinámica de uso de las herramientas entre estos sofisticados grupos.

Se observaron las siguientes tendencias:

• Se refuerza la eficacia de las herramientas de ataque: Cobalt Strike sigue siendo la herramienta preferida para muchos grupos de amenazas, a pesar del descenso del 17 % en las detecciones. El descenso relativamente pequeño que muestra en la variación de contribución proporcional (-1 %) es síntoma de su popularidad y eficacia en ciberoperaciones, y subraya el reto que supone defenderse contra herramientas de ataque versátiles y de uso generalizado.

• Dependencia de shells web, PowerShell y ataques de acceso remoto: las detecciones de las herramientas China Chopper, PowerSploit y Gh0st RAT también sufrieron un marcado descenso, 23 %, 24 % y 24 %, respectivamente. A pesar de esto, los ligeros cambios que muestran en la variación de contribución proporcional indican que siguen siendo parte integral del kit de herramientas del actor de amenazas. Estas herramientas, conocidas por su eficacia en ataques de shells web, PowerShell exploits y acceso remoto, son prueba de que se sigue confiando en herramientas versátiles de eficacia demostrada para las ciberoperaciones.

• Herramientas menos detectables: Empire, Derusbi, BADFLICK, JJdoor/Transporter, JumpKick y MURKYTOP experimentaron tendencias a la baja similares en las detecciones. Todas ellas superan un 25 % de disminución. Este retroceso uniforme podría reflejar un cambio más amplio en la preferencia de herramientas entre los grupos de amenazas o bien una adaptación a las contramedidas y técnicas de detección que impone la necesidad de utilizar nuevas herramientas, menos detectables.

• Innovación constante: las detecciones de la categoría de herramientas maliciosas "Otras" se incrementaron considerablemente (30 %) y la variación de contribución proporcional aumentó de forma importante (6 %). Este incremento subraya la innovación constante y la adaptación entre los ciberdelincuentes, que exploran nuevas herramientas y técnicas para evitar ser detectados y lograr sus objetivos.

El cambio en las preferencias en cuanto a uso de herramientas maliciosas pone de relieve la capacidad de adaptación de los ciberdelincuentes para responder a los avances en ciberseguridad.

El cambio hacia una gama más amplia de herramientas, como indica el aumento de detecciones en la categoría "Otras", confirma la necesidad de investigaciones continuas, inteligencia sobre amenazas y estrategias de defensa adaptables para mitigar el riesgo que implican estas ciberamenazas en evolución.

Herramientas no maliciosas

El empleo de herramientas no maliciosas en las ciberoperaciones por parte de grupos de APT entre el 4.º trimestre de 2023 y el primer trimestre de 2024 revela un importante aspecto de las ciberamenazas modernas: el aprovechamiento de herramientas del sistema legítimas para fines malintencionados. Esta práctica, conocida como aprovechamiento de recursos locales (Living of The Land, LOTL), complica las tareas de detección y demuestra lo sofisticados que son estos ciberdelincuentes. Las estadísticas relevan variaciones significativas en el uso de estas herramientas, lo que refleja su importancia estratégica en las ciberoperaciones.

• Versatilidad: las detecciones de PowerShell han aumentado considerablemente, hasta un 105 %, con una variación de contribución proporcional del 1 %. Este aumento subraya su versatilidad y capacidad al automatizar una amplia variedad de actividades maliciosas, desde el reconocimiento hasta la entrega de la carga útil.

• La manipulación de las redes en el punto de mira: las detecciones de Netsh y IPRoyal Pawns han aumentado enormemente, 99 % y 102 %, respectivamente. Estas herramientas suelen utilizarse para la configuración de la red y el tráfico proxy, lo que indica una tendencia estratégica hacia las técnicas de evasión y manipulación de la red.

• Automatización a gran escala: Schtasks.exe ha experimentado el máximo porcentaje de varianza entre las herramientas que se incluyen (un 138 %). Esto refleja un mayor uso de las tareas programadas para la persistencia y ejecución de cargas útiles maliciosas, sin la intervención directa del usuario.

• Giros tácticos: por el contrario, en el caso de Rundll32 y WMIC, se ha observado un aumento de uso, acompañado de descensos en la variación de contribución proporcional, lo que indica un giro en las preferencias tácticas de los grupos de APT, a pesar de que estas herramientas siguen siendo útiles.

• Diversificación de herramientas: el uso de Cmd, el legendario  intérprete de línea de comandos de los sistemas Windows, también experimentó un incremento sustancial, con un aumento de las detecciones de hasta el 65 %. A pesar del aumento de uso, su variación de contribución proporcional ha descendido (-2,5 %), probablemente debido a una mayor diversificación de las herramientas utilizadas por los grupos de APT.

  En el caso de la categoría "Otras", que representa una variedad de herramientas que se usan menos o son más especializadas, las detecciones aumentaron un 42 %. Sin embargo, esta categoría experimentó un descenso importante de la variación de contribución proporcional (-21 %), que indica la ampliación del arsenal de herramientas a disposición de los ciberdelincuentes.

La evolución del uso de herramientas no maliciosas por parte de grupos de APT ilustra la complejidad de detectar y proteger frente a ciberamenazas sofisticadas. La selección estratégica de estas herramientas y su posterior aplicación revela un profundo conocimiento de los entornos atacados y el esfuerzo por evitar ser detectados.

CONSEJO PARA LOS CISO: las defensas de la ciberseguridad no pueden limitarse a la tradicional detección de malware y tienen que incluir análisis comportamentales y detección de anomalías a fin de contrarrestar el uso ilícito de herramientas legítimas en las ciberoperaciones.

Los datos que se obtienen de los sensores globales Trellix ATLAS, junto con la información estratégica procedente del análisis de informes del sector, que proporciona el Trellix Advanced Research Center permiten a nuestros clientes identificar a los ciberdelincuentes que tienen en el punto de mira a sus respectivos sectores y utilizar nuestro análisis comportamental para detectar comportamientos anómalos en su entorno.

Conclusión

El análisis de actividades de amenazas persistentes avanzadas (APT) entre el 4.º trimestre de 2023 y el primer trimestre de 2024 arroja luz sobre el carácter dinámico y cada vez más complejo del panorama de las ciberamenazas. Nuestro examen de las estadísticas relacionadas con los orígenes, países atacados y herramientas maliciosas y no maliciosas utilizadas por los grupos de APT revela varias tendencias clave que subrayan la evolución de las estrategias empleadas por los ciberdelincuentes.

Los grupos de APT siguen mostrando un alto grado de:

1. Adaptabilidad y sofisticación

2. Aprovechamiento de una combinación de herramientas maliciosas

3. Uso de funciones legítimas de los sistemas para llevar a cabo acciones de espionaje, interrumpir las operaciones y robar información confidencial.

Los importantes cambios observados en cuanto a tácticas operativas y de ataque de estos grupos no solo reflejan sus objetivos estratégicos, sino también su respuesta ante los avances en las medidas de defensa y ciberseguridad a nivel mundial.

Los cambios drásticos en las prácticas de ataque, con un incremento notable de actividades relacionadas con las APT en determinados países, denotan las motivaciones geopolíticas de estas ciberoperaciones. Asimismo, los cambios en las herramientas utilizadas, con un evidente aumento de tácticas que aprovechan los recursos existentes (LOTL), ponen de relieve la dificultad permanente de detectar y combatir las amenazas APT en un panorama en el que las actividades legítimas y las maliciosas están cada vez más interrelacionadas.

Además, la diversificación de orígenes de APT y la ampliación de sus estrategias de ataque son síntoma de la proliferación mundial de las cibercapacidades y la necesidad de contar con un enfoque de la ciberseguridad unificado y cooperativo.

Tácticas, técnicas y procedimientos (TTP)

Nuestros datos de detecciones indican que desde que retomó las operaciones a mediados de enero de 2024, Volt Typhoon ha aprovechado sistemáticamente algunas herramientas y funciones nativas de Windows para ejecutar comandos con fines maliciosos. El uso malintencionado de herramientas y funciones legítimas del sistema, lo que se conoce como Living of The Land (LOTL), es cada vez más popular entre los grupos de atacantes asociados con China, como Volt Typhoon. Netsh.exe es una de estas herramientas de uso dual, que se puede usar para distintos fines maliciosos, como desactivar la configuración del firewall o configurar un túnel proxy para permitir el acceso remoto a un host infectado. Ldifde es otra herramienta que utiliza Volt Typhoon para recopilar información.

Tras lograr el acceso a un controlador de dominio, los atacantes pueden usar Ldifde.exe para exportar datos confidenciales o para realizar cambios autorizados en el directorio. Asimismo, los actores de amenazas de Volt Typhoon usan ntdsutil con fines malintencionados. Ntdsutil es una herramienta legítima que permite a los administradores realizar tareas de mantenimiento de bases de datos. Sin embargo, también sirve para crear un volcado de Active Directory con el fin de obtener credenciales y filtrar datos confidenciales.

Volt Typhoon siguió utilizando en sus operaciones herramientas de código abierto, como FRP, Impacket y Mimikatz. La telemetría de Trellix detectó también que Volt Typhoon utilizó las herramientas y comandos LOTL siguientes, entre febrero y marzo de 2023:

• Comsvcs

• Dnscmd

• Ldifde

• MiniDump 

• Net

• Netsh

• ntdsutil

• Reg

• ping

• PowerShell

• PsExec

Según nuestra telemetría, estas son las herramientas de MITRE ATT&CK que utilizó Volt Typhoon:

• Acceso inicial – T1190: Exploit de aplicaciones públicas

• Ejecución – T1106: API nativa

• Persistencia – T1546: Ejecución desencadenada por evento

• Elevación de privilegios - T1546: Ejecución desencadenada por evento

• Evasión de defensas – T1070.001:  Borrado de registros de eventos de Windows

• Evasión de defensas – T1070: Eliminación de archivos

• Evasión de defensas – T1027: Ofuscación de archivos o información

• Acceso a credenciales – T1003.003: NTDS

• Acceso a credenciales – T1003: Volcado de credenciales de SO

• Acceso a credenciales – T1110: Fuerza bruta

• Acceso a credenciales – T1555: Credenciales extraídas de almacenes de contraseñas

• Descubrimiento – T1069.002: Grupos de dominios

• Descubrimiento – T1069.001: Grupos locales

• Descubrimiento – T1083: Descubrimiento de archivos y directorios

• Descubrimiento – T1057: Descubrimiento de procesos

• Descubrimiento – T1010: Descubrimiento ventanas de aplicaciones 

• Recopilación – T1560: Archivado de datos recopilados

• Recopilación – T1560.001: Archivado mediante utilidad

• Mando y control – T1090.002: Proxy externo

• Mando y control – T1105: Transferencia de herramientas a la entrada

• Mando y control – T1132: Codificación de datos

El año pasado, nuestro informe de febrero identificó al ransomware LockBit como el más agresivo en cuanto a las peticiones de rescate. Los ciberdelincuentes utilizan una gran variedad de técnicas para lanzar sus campañas, incluida la explotación de vulnerabilidades encontradas incluso en 2018. A lo largo de 2023, LockBit siguió siendo en todo momento el grupo de ransomware más prevalente con el mayor número de víctimas publicadas en su sito de divulgación. Su objetivo principal fueron organizaciones europeas y norteamericanas en distintos sectores, siendo el de los bienes y servicios industriales el más afectado. En 2023, LockBit continuó evolucionando continuamente e introduciendo nuevas herramientas y métodos a su programas de ransomware. En particular, el grupo ha estado trabajando en el desarrollo de la herramienta de cifrado LockBit Green, basado en el código filtrado del ransomware Conti, así como variantes de LockBit dirigidas a macOS. Además, en 2023 observamos que LockBit RaaS ofrecía refugio a miembros de otros programas RaaS, como ALPHV y NoEscape, cuyas operaciones había sido desmanteladas.

A raíz de las acciones de desmantelamiento, observamos a LockBit intentando por todos los medios salvar las apariencias y restablecer la actividad lucrativa. Esto era de esperar dada la publicidad de las actividades delictivas de LockBit. Sin embargo, en el submundo de la ciberdelincuencia es más fácil restaurar un servidor que años de confianza. Queda por ver la cantidad de información que las fuerzas de seguridad han conseguido obtener de las operaciones, el perfil y los afiliados de LockBit.

Las acciones de las fuerzas de seguridad dejaron bien a las claras que la ciberdelincuencia es un mundo de todos contra todos. El Trellix Advanced Research Center observó que otros ciberdelincuentes utilizaban la versión filtrada de LockBit Black para suplantar a la conocida marca para su propio beneficio económico.

Impostores o no, las víctimas que generaron eran reales; sin duda los eventos de estos dos últimos trimestres dan para un guion cinematográfico.

Una mirada global al ransomware

Durante nuestra investigación sobre la actividad de ransomware en el primer trimestre de 2023, investigamos múltiples fuentes: sitios de filtraciones, telemetría, e informes públicos. Breves comentarios sobre cada una de las categorías.

• Sitios de filtraciones: estos sitios están diseñados para mostrar pruebas de víctimas extorsionadas que no han pagado el rescate exigido, ofreciendo así una perspectiva de la actividad de la banda de ciberdelincuentes. Además, es importante destacar que los sitios de filtraciones no necesariamente reflejan fielmente el panorama de ciberamenazas. El hecho de que estén controlados por delincuentes, hace imposible fiarse de todas las afirmaciones. Además, si las bandas son fieles a su palabra, las víctimas que pagan el rescate no aparecen en los sitios, lo que deja una imagen incompleta de la situación. Los datos que se utilizan en este informe se refieren a las tendencias globales de los sitios de filtraciones y sí ofrece una imagen significativa.

• Telemetría: la telemetría se extrae del ecosistema de sensores de Trellix y las detecciones se producen cuando uno de nuestros productos detecta un archivo, URL, dirección IP u otro indicador y nos informa al respecto. Esto no quiere decir que cada detección sea una infección, ya que los clientes prueban la detección de determinados archivos para ajustar sus reglas internas, lo que también se reflejan en el registro agregado. Por lo tanto, estos datos siguen siendo útiles al considerar el panorama general, ya que las tendencias siguen estando ahí.

• Informes públicos: informes de proveedores y de particulares procesados por nuestro Advanced Research Center para analizar funciones e identificar tendencias. Cada informe tiene un sesgo inherente, debido por ejemplo a la presencia dominante de un proveedor en una región geográfica sobre otra. Esta diferencia también se reflejará en los tipos de incidentes notificados. Debido a los diferentes sesgos de los informes incluidos, no aplicamos un filtro específico.

Grupos de ransomware activos

Muchas de las publicaciones agregadas de los sitios de filtraciones del primer trimestre de 2024 muestran signos de actividad. A veces, vemos que los sitios publican anuncios generales, pero la mayoría son "pruebas" de extorsiones o filtraciones de datos de la víctima. También suelen publicar una víctima varias veces, lo que puede provocar que se inflen las cifras porque se contará más de una vez en los datos.

Regiones y países atacados

Dada la actividad constante de las bandas de ransomware, podemos observar las detecciones de ransomware en la telemetría de Trellix. Estados Unidos genera la mayor parte de las detecciones, seguido de Turquía, Hong Kong, India y Brasil.

Puesto que el ransomware representa una amenaza para todos los sectores en prácticamente cualquier parte del mundo, las métricas de detección son representativas en relación con la base de clientes.

En el trimestre anterior, la telemetría era similar, excepto por el aumento de detecciones en India y China. No tenemos constancia de que hubiera una campaña específica contra estas regiones y sospechamos que el mayor número de detecciones en dichas áreas podría deberse a pruebas de malware.

Sectores atacados

La agregación de la telemetría mundial por sector muestra que la mitad de las detecciones provienen del sector del transporte y la distribución (logística), y poco más de una cuarta parte proviene de los servicios financieros. Estos dos sectores acumulan más del 72 % de todas las detecciones, lo que no deja de ser lógico: la disponibilidad de sus servicios es de vital importancia. Si una empresa de transporte no puede operar debido a un ataque de ransomware que bloquea el movimiento de mercancías, podría sufrir enormes pérdidas económicas. De igual forma, sector financiero se basa en la confianza, y la filtración de datos confidenciales y/o la paralización de la actividad de la empresa debido a un ataque de ransomware, perjudican fundamentalmente a las empresas del sector.

Durante el último trimestre de 2023, los principales sectores atacados fueron ligeramente distintos, aunque sin diferencias en los dos primeros. Ambos fueron responsables de una proporción aún mayor, sumando un total combinado del 78 % de todas las detecciones durante el período mencionado. La incidencia en los sectores de la tecnología y la atención sanitaria disminuyó durante el primer trimestre de 2024 respecto al trimestre anterior, pero la diferencia en sí no puede atribuirse a uno o varios de estos incidentes específicos.

Herramientas y técnicas

Las última de las tres fuentes mencionadas son los informes públicos. Según los informes recopilados, pueden identificarse las técnicas MITRE, las herramientas asociadas y las líneas de comandos.

CONSEJO PARA LOS CISO: los equipos azules de las organizaciones, responsables de la protección frente a ataques, pueden utilizar esta información desde una perspectiva de detección: al centrarse en las técnicas  y herramientas más utilizadas, se pueden mitigar múltiples tipos de ataques de diferentes actores de amenazas, comenzando por los más eficaces. Asimismo, los ejercicios de los equipos de ataque y coordinación de defensa (red-teaming y purple teaming) pueden orientarse hacia estas técnicas para comprobar las medidas de detección en vigor.

La tabla muestra las técnicas más frecuentes, en orden descendente.

Debido al objetivo del ransomware, las técnicas de cifrado de datos y descubrimiento de archivos y directorios, se encuentran, como era de esperar, en los primeros lugares. La comparación de estas técnicas con las más prevalentes del cuarto trimestre de 2023, revela que la mayoría de las principales técnicas en la lista son similares, aunque su posición específica puede variar.

Al igual que en la sección anterior sobre las ATP, los ciberdelincuentes siguen aprovechando herramientas legítimas para sus actividades delictivas. Las herramientas utilizadas influyen en las técnicas observadas, en la medida en que una herramienta es un medio para un fin, que en este caso es una herramienta. Por ejemplo, PowerShell y el Windows Command Shell se suelen utilizar para ejecutar comandos adicionales en el sistema, como la eliminación de instantáneas, que es el factor determinante de la técnica "Inhibición de la recuperación del sistema". Esta es también la razón por la que son las herramientas más utilizadas, como se muestra en la imagen siguiente.

El uso de VSSAdmin, BCDEdit, y WevUtil son indicios de que el ransomware se está asegurando de que el sistema de la víctima no pueda recuperarse a un estado normal, tal y como estaba antes del ataque. El uso de la herramienta reg muestra los cambios realizados en el Registro, que pueden realizarse por varias razones. El malware suele utilizar el Registro para asegurar la persistencia, pero al ransomware le da importancia, ya que su función concluye cuando finaliza el cifrado. En cambio, puede ajustar otras configuraciones para permitir ciertas acciones que de otro modo no serían posibles. Rundll32 se utiliza a menudo para cargar y ejecutar una DLL, pero también es blanco de inyección de procesos.

Al igual que en el trimestre anterior, PowerShell y el símbolo de comandos encabezan la lista precisamente por la misma razón. VSSAdmin y BCDEdit también están presentes, aunque la utilidad de eventos de Windows (wevtutil) no se encuentra en la lista de principales herramientas. Dada la escasa presencia de todas las herramientas mencionadas, con una frecuencia máxima de 13 en cada uno de los trimestres, no sorprende que no todas las campañas utilicen las mismas herramientas . Una ligera variación puede dar lugar a la exclusión de esas herramientas.

Campaña de enero que utilizaba la herramienta Terminator de Spyboy

Una técnica habitual, bautizada como BYOVD (Bring Your Own Vulnerable Driver) consiste en explotar controladores vulnerables para ejecutar código con privilegios elevados.

Un ejemplo de este método es la herramienta de anulación de EDR "Terminator", desarrollada por el actor de amenazas llamado Spyboy. La herramienta "Terminator" aprovecha un controlador de Windows legítimo pero vulnerable que pertenece a la herramientas antimalware Zemana para ejecutar código arbitrario dentro del kernel de Windows probablemente explotando la vulnerabilidad CVE-2021-31728. Terminator apareció online a mediados de 2023 y Trellix publicó un artículo detallado en su base de datos de conocimientos sobre los productos afectados, que puede leerse aquí.

Del 11 al 17 de enero de 2023, el Trellix Advanced Research Center detectó un conjunto inusual de detecciones de Terminator de Spyboy en la telemetría de Trellix, lo que sugiere el lanzamiento de una nueva campaña. Esta campaña de Terminator alcanzó su punto máximo durante tres días y se detectó varias veces en un organismo gubernamental, una empresa de servicios públicos y una empresa de comunicaciones por satélite. Dado los objetivos específicos, Trellix considera con un alto nivel de confianza que el ataque está relacionado con el conflicto ruso-ucraniano.

Los 3 principales sectores más afectados durante el ataque de anulación de EDR de enero:

Más herramientas de anulación de EDR observadas

A principios de 2023, Sophos describió una herramienta con un propósito similar: AuKill. También utilizaba un controlador vulnerable (BYOVD). Los controladores que se utilizaban en los casos de EDR Terrminator  y AuKill son diferentes, pero ambos son inofensivos. Sin embargo, en algunas campañas de 2022 se emplearon herramientas similares con controladores maliciosos personalizados que había que cargar.

La explotación de controladores inofensivos para este fin complica la detección de estos ataques, y coincide con el uso de archivos LOLBin mencionado anteriormente. Aunque un archivo binario y un controlador son técnicamente distintos, la intención y las motivaciones son similares, sino idénticas. El malware HermeticWiper, aparecido en 2022, es otro ejemplo de uso de un controlador inofensivo. En ese caso, el controlador se utilizó para borrar una máquina, en lugar para desactivar el antivirus. Otra coincidencia entre la herramienta Terminator mencionada anteriormente, y HermeticWiper, es que ambos se atribuyen a un actor de amenazas prorruso.

También hemos observado un ejemplo de uso de la red Discord para la distribución de malware en uno de nuestros clientes en Latinoamérica. Nuestro equipo ha observado que Discord sigue utilizándose de esta forma en ataques de malware.

CONSEJO PARA LOS CISO:: es absolutamente esencial que todos los SOC supervisen de cerca su solución EDR. Es necesario configurar alertas y registros para que, en caso de que se desactiven las herramientas EDR, se notifique al SOC inmediatamente y se actúe de manera adecuada. La desactivación de herramientas EDR puede ser un indicio de manipulación, y una respuesta rápida es clave para limitar el acceso del atacante a su red. También es de suma importancia utilizar una estrategia de defensa en profundidad, permitiendo que otras herramientas, como su plataforma de detección y respuesta para red (NDR), detecten posibles incidentes.

Phishing fiscal

En el contexto de los impuestos, los ataques de phishing son especialmente preocupantes. Los estafadores se hacen pasar por agencias gubernamentales, autoridades fiscales o servicios de preparación de impuestos de buena reputación para engañar a las personas y conseguir que divulguen información personal. Es posible que usen como pretexto que debe impuestos atrasados, tiene declaraciones no presentadas o que le corresponde una devolución de impuestos. Su objetivo final es conseguir el número del documento nacional de identidad o los detalles de la cuenta bancaria, u otros datos valiosos. El mensaje contiene enlaces que parecen dirigir a sitios web oficiales de la administración o servicios fiscales, pero en realidad lo hacen a sitios fraudulentos diseñados para robar datos.

Trellix también observó un aumento de este tipo de mensajes supuestamente procedentes de la autoridad tributaria de Australia en el primer trimestre de 2024, y consiguió detectarlos correctamente.

A continuación puede ver una muestra de la campaña donde queda claro que los atacantes dan la sensación urgencia para convencer a los destinatarios a hacer clic en el enlace relacionado con el reembolso de impuestos.

El 31 de enero de 2024, xatab ofreció 2000 dólares por su proyecto "ChatGPT in Jabber’ en el foro XSS. Si creemos las alegaciones sobre XSS del ciberdelincuente germans, que había desarrollado el bot solicitado pero que fue inicialmente ignorado por xatab, parece que germans aceptó finalmente desarrollar un bot por 1500 dólares. El bot se creó para los servidores Jabber de los foros Exploit (@exploit[.]im) y XSS (@thesecure[.]biz), y fue publicado por xatab en los foros clandestinos Exploit y XSS, supuestamente para probarlo y recibir comentarios de los miembros del foro. El robot podría basarse en el proyecto xmppgpt.

En los mensajes publicados en los foros Exploit y XSS, xatab se presenta como un equipo de APT (conocidos en algunos círculos como especialistas en pruebas de penetración) interesado en contratar un agente de acceso a empresas de EE. UU./Reino Unido/Canadá/Australia para una colaboración fructífera. Ofreció pagar el 20 % de los ingresos generados por cada acceso y depositó un bitcoin en cada foro de Exploit y XSS para demostrar la seriedad de su oferta.

Ofreciendo una herramienta gratuita ChatGPT 4.0 a la comunidad de ciberdelincuentes, xatab consigue dos objetivos:

1. Actúa como catalizador y facilitador, deseoso de ayudar a los actores de amenazas a innovar y adoptar la IA generativa en sus operaciones.

2. Pretende crear un caldo de cultivo/base de conocimientos de IA generativa para beneficiarse de los conocimientos de otros ciberdelincuentes, o incluso apropiarse de sus ideas y herramientas innovadoras.

Trellix ha probado el proyecto "ChatGPT in Jabber" de acuerdo con las instrucciones proporcionadas , y parece que funciona según lo previsto por el actor de amenazas.

Integración de la IA generativa en los ladrones de información

El 21 de febrero de 2024, el ciberdelincuente MetaStealer anunció una nueva versión renovada de MetaStealer en el foro XSS. MetaStealer es una herramienta para robar de información (infostealer) que apareció por primera vez en 2021; se cree que es una variante del célebre Redline. Se han observado muchas versiones de MetaStealer en entornos reales. Sin embargo, la n nueva versión identificada por Trellix cuenta con una función basada en IA generativa para eludir la detección.

En la captura de pantalla siguiente, el texto naranja bajo el punto 35) significa "Generación de firmas únicas para cada compilación, se utiliza inteligencia artificial, la compilación permanece clara (o no detectada) durante más tiempo", lo que sugiere que los desarrolladores de MetaStealer incorporaron una nueva función basada en IA generativa en su programa para crear compilaciones únicas de MetaStealer, con el fin de evadir la detección y permanecer fuera del alcance de los sistemas de antivirus/detección y respuesta ante amenazas durante más tiempo.

Otro ejemplo es un ladrón de información arraigado LummaStealer. Desde agosto de 2023, hemos observado al equipo de LummaStealer probando una función basada en IA que permite a los usuarios de su ladrón de información detectar bots entre la lista de registros. El sistema basado en IA integrado en LummaStealer puede ser una red neuronal personalizada entrenada para detectar si un registro de usuario sospechoso es un bot o no. LummaStealer utiliza una etiqueta AI!Bot. para clasificar el registro detectado como un bot. La variable , cuyo rango parece estar entre 0 y 100, representa la certeza de detección de un bot:

LummaStealer anunció a sus usuarios que la red neuronal seguía en proceso de entrenamiento y que llevará tiempo mejorar la precisión en la detección. Además, en enero de 2024, LummaStealer informó que la función basada en IA generativa está desactivada de manera predeterminada ya que ralentiza el trabajo del panel de LummaStealer.

Proyecto "Telegram Pro Poster"

A principios de marzo de 2024, el ciberdelincuente pepe publicó su proyecto "Telegram Pro Poster " en el foro XSS como parte de un concurso de herramientas/software malicioso. Telegram Pro Poster es un bot destinado a "la automatización avanzada de los mensajes de Telegram". Este robot, desarrollado con Python, permite a los usuarios gestionar un gran número (o incluso ilimitado) de canales de Telegram de forma autónoma, copiando automáticamente los mensajes de los canales de Telegram "distribuidores" a los canales de destino. Entre sus muchas funciones de filtrado de mensajes, este robot tiene incorporadas dos funciones de IA generativa, diseñadas para traducir mensajes de Telegram y parafrasear un mensaje dado utilizando ChatGPT.

Trellix ha obtenido el código fuente de la herramienta Telegram Pro Poster y ha identificado los segmentos de código que se indican a continuación, que son los responsables de traducir los mensajes copiados de los canales de los distribuidores a través de la API ChatGPT a los ocho idiomas indicados antes de enviarlos a los canales de Telegram de destino:

La segunda función, diseñada para personalizar el mensaje, está desactivada por defecto. Sin embargo, cuando está activada, utiliza OPEN_AI_KEY para solicitar a ChatGPT parafrasear el texto en el idioma deseado y, si es necesario, añadir un emoji.

Los comentarios de la comunidad de ciberdelincuentes XSS son muy positivos sobre el proyecto "Telegram Pro Poster", afirmando que es interesante y que, en las manos adecuadas, sin duda será útil. En un hilo del foro XSS, otro ciberdelincuente informó de que se había percatado de la adopción de este bot en varios canales de Telegram.

Conclusiones

La carrera contrarreloj

La inteligencia sobre amenazas operativa proporciona información sobre la naturaleza, la intención y los periodos de actividad de ciberamenazas específicas. Es más detallada y contextual que la inteligencia sobre amenazas táctica, ya que proporciona información relevante sobre las tácticas, técnicas y procedimientos (TTP) utilizados por los ciberdelincuentes'

Las organizaciones pueden utilizar la inteligencia operativa para comprender el contexto general de los ciberataques, como las motivaciones o los métodos utilizados, lo que ayuda a los equipos de seguridad a anticiparse y prepararse para tipos específicos de ataque.

Mi trabajo con los clientes me ha demostrado que el objetivo primordial de un CISO es limitar el riesgo para su organización. El uso de inteligencia sobre amenazas operativa es una forma tangible de limitar este riesgo, ya que permite a los CISO y a sus equipos de SecOps anticiparse y sentar las bases necesarias. Les permite identificar las vulnerabilidades de sus medidas de seguridad en toda la superficie de ataque de la empresa y ponerse en la piel de sus adversarios para desestabilizarlos mejor.

Compartimos nuestra inteligencia sobre amenazas para ofrecerle una plataforma sólida y basada en hechos que respalde algunas de las decisiones más importantes que tomará. Nuestro propósito es ayudarle a mejorar sustancialmente sus capacidades de ciberdefensa e ir un paso por delante de los ciberdelincuentes.

¡Vamos!

Ashok Banerjee
director de Tecnología, Trellix