[13/08/2024] Darktrace ha publicado su reporte titulado "First 6: Half-Year Threat Report 2024”, en el que identifica las principales amenazas y métodos de ataque a los que se enfrentan las empresas en el primer semestre del 2024. Según lo señalado en el comunicado de prensa, estos datos, observados por el equipo de Investigación de Amenazas de Darktrace utilizando su IA de autoaprendizaje en toda su flota de clientes, arrojan luz sobre la naturaleza persistente de las ciberamenazas y las nuevas técnicas adoptadas por los atacantes que intentan eludir las defensas tradicionales.
"El panorama de amenazas continúa evolucionando, pero las nuevas amenazas a menudo se basan en cimientos antiguos en lugar de reemplazarlos. Si bien hemos observado la aparición de nuevas familias de malware, muchos ataques son llevados a cabo por los sospechosos habituales que hemos visto en los últimos años, todavía utilizando técnicas familiares y variantes de malware", sostuvo Nathaniel Jones, director de Amenazas Estratégicas y Compromiso de Darktrace. "La persistencia de los modelos de servicio MaaS/RaaS junto con la aparición de nuevas amenazas como el ransomware Qilin subraya la necesidad continua de medidas de seguridad adaptables e impulsadas por el aprendizaje automático que puedan seguir el ritmo de un panorama de amenazas en rápida evolución".
El cibercrimen como servicio sigue planteando un riesgo significativo para las organizaciones
El ejecutivo anotó que los hallazgos muestran que el cibercrimen como servicio continúa dominando el panorama de amenazas, con las herramientas de malware como servicio (MaaS) y ransomware como servicio (RaaS) que constituyen una parte significativa de las herramientas maliciosas utilizadas por los atacantes. "Los grupos de ciberdelincuencia como servicio, como Lockbit y Black Basta, proporcionan a los atacantes de todo, desde malware prefabricado hasta plantillas para correos electrónicos de phishing, lo que reduce la barrera de entrada para los ciberdelincuentes con conocimientos técnicos limitados”.
Las amenazas más comunes que Darktrace observó de enero a junio del 2024 fueron:
- Malware que roba información (29% de las primeras investigaciones clasificadas)
- Troyanos (15% de las amenazas investigadas)
- Troyanos de acceso remoto (RAT) (12% de las amenazas investigadas)
- Botnets (6% de las amenazas investigadas)
- Cargadores (6% de las amenazas investigadas)
El informe también revela la aparición de nuevas amenazas junto con las persistentes. "En particular, el aumento del ransomware Qilin, que emplea tácticas refinadas como reiniciar las máquinas infectadas en modo seguro para eludir las herramientas de seguridad y dificultar que los equipos de seguridad humanos reaccionen rápidamente”, indicó el Jones.
Según el informe, los métodos de doble extorsión ahora prevalecen entre las cepas de ransomware. "Dado que el ransomware sigue siendo una de las principales preocupaciones de seguridad para las organizaciones, el equipo de investigación de amenazas de Darktrace ha identificado tres cepas de ransomware predominantes que afectan a los clientes: Akira, Lockbit y Black Basta. Los tres han sido observados utilizando métodos de doble extorsión”, anotó Jones.
Aumentan el phishing por correo electrónico y las sofisticadas tácticas de evasión
El phishing sigue siendo una amenaza importante para las organizaciones. Darktrace detectó 17,8 millones de correos electrónicos de phishing en toda su flota de clientes entre el 21 de diciembre del 2023 y el 5 de julio del 2024. "De manera alarmante, el 62% de estos correos electrónicos eludieron con éxito las comprobaciones de verificación de autenticación, informes y conformidad de mensajes basados en dominios (DMARC), que son protocolos de la industria diseñados para proteger los dominios de correo electrónico del uso no autorizado, y el 56% pasó a través de todas las capas de seguridad existentes”, comentó el ejecutivo.
El informe destaca cómo los ciberdelincuentes están adoptando tácticas, técnicas y procedimientos (TTP) más sofisticados diseñados para evadir los parámetros de seguridad tradicionales. Darktrace observó un aumento en los atacantes que aprovechan servicios y sitios de terceros populares y legítimos, como Dropbox y Slack, en sus operaciones para mezclarse con el tráfico de red normal. Además, ha habido un aumento en el uso de mecanismos encubiertos de comando y control (C2), incluidas las herramientas de monitoreo y administración remotos (RMM), túneles y servicios de proxy.
El compromiso de la infraestructura perimetral y la explotación de vulnerabilidades críticas son las principales preocupaciones
Darktrace observó un aumento en la explotación masiva de vulnerabilidades en dispositivos de infraestructura periférica, en particular las relacionadas con Ivanti Connect Secure, JetBrains Team City, FortiClient Enterprise Management Server y Palo Alto Networks PAN-OS. Estos compromisos a menudo sirven como trampolín para otras actividades maliciosas.
"Es imperativo que las organizaciones no pierdan de vista las tendencias de ataque y CVE existentes: los ciberdelincuentes pueden recurrir a métodos anteriores, predominantemente inactivos, para engañar a las organizaciones. Entre enero y junio, en el 40% de los casos investigados por el equipo de investigación de amenazas, los atacantes explotaron vulnerabilidades y exposiciones comunes (CVE)”, finalizó Jones.
Franca Cavassa, CTOPerú