A pesar de la intervención del gobierno, LockBit dominó los casos de Respuesta a Incidentes en la primera mitad de 2024
Ciudad de México – 06 de enero de 2024 – Sophos, líder mundial en innovación y prestación de servicios de ciberseguridad, presentó «La Mordida Desde Adentro: El Informe de Sophos sobre Adversarios Activos«, un análisis detallado sobre el comportamiento cambiante y las técnicas de ataque utilizadas por los ciberdelincuentes durante la primera mitad de 2024. Los datos, recopilados de casi 200 casos de respuesta a incidentes de ciberseguridad (IR) realizados por los equipos de Sophos X-Ops IR y Sophos X-Ops Managed Detection and Response (MDR), revelan que los ciberdelincuentes están utilizando aplicaciones y herramientas reconocidas como apps de confianza en sistemas Windows, llamadas binarios living off the land (LOLbins), para realizar exploraciones en los sistemas y mantener la persistencia. Comparado con 2023, Sophos detectó un aumento del 51% en el abuso de LOLbins; desde 2021, el incremento es del 83%.
Entre los 187 LOLbins únicos de Microsoft detectados en la primera mitad del año, la aplicación confiable más utilizada fue el protocolo de escritorio remoto (RDP). En el análisis de casi 200 casos de IR, los atacantes abusaron de RDP en el 89% de ellos. Esta tendencia continúa la observada en el informe de adversarios activos de 2023, en el que el abuso de RDP se detectó en el 90% de los casos investigados.
“El uso de herramientas living-off-the-land no solo ofrece sigilo a las actividades de un atacante, sino que también parece validar tácitamente estas acciones. Mientras que el abuso de algunas herramientas legítimas puede levantar sospechas y generar alertas, el abuso de un binario de Microsoft suele tener el efecto contrario. Muchas de estas herramientas de Microsoft son fundamentales para Windows y tienen usos legítimos, pero depende de los administradores de sistemas comprender cómo se utilizan en sus entornos y qué constituye abuso. Sin una conciencia contextual y matizada del entorno, incluidas la vigilancia continua de nuevos eventos en la red, los equipos de TI sobrecargados corren el riesgo de no detectar actividades clave que a menudo derivan en ransomware”, comenta John Shier, CTO de campo en Sophos.
Además, el informe descubrió que, a pesar de la desarticulación por parte del gobierno del principal sitio web de filtraciones y de la infraestructura de LockBit en febrero, LockBit fue el grupo de ransomware más frecuentemente encontrado, representando aproximadamente el 21% de las infecciones en la primera mitad de 2024.
Otros hallazgos clave del informe de adversarios activos:
- Causa Raíz de los Ataques: Continuando con la tendencia observada en el informe anterior para líderes tecnológicos, las contraseñas comprometidas siguen siendo la principal causa raíz de los ataques, representando el 39% de los casos. Sin embargo, esto supone una disminución respecto al 56% registrado en 2023.
- Dominio de las Brechas de Red en MDR: En los casos gestionados por el equipo MDR de Sophos, las brechas de red fueron el incidente más común encontrado.
- Tiempos de Permanencia Más Cortos en MDR: En los casos gestionados por el equipo de Respuesta a Incidentes de Sophos, el tiempo de permanencia (tiempo desde el inicio de un ataque hasta su detección) se mantuvo en aproximadamente ocho días. En cambio, con MDR, el tiempo de permanencia medio fue de solo un día para todos los tipos de incidentes y de tres días para ataques de ransomware.
- Servidores de Active Directory Comprometidos Cerca del Fin de su Vida Útil: Los servidores de Active Directory más frecuentemente comprometidos fueron las versiones 2019, 2016 y 2012. Estas versiones ya no cuentan con soporte principal de Microsoft y están próximas a llegar al fin de su vida útil (EOL). Además, el 21% de los servidores AD comprometidos ya se encontraban en estado EOL.
Para más información sobre los comportamientos, herramientas y técnicas de los atacantes, lee «La Mordida Desde Adentro: El Informe de Sophos sobre Adversarios Activos« en Sophos.com.
Consulta más información sobre:
- El abuso del protocolo de escritorio remoto (RDP) por parte de atacantes
- Técnicas, tácticas y procedimientos (TTPs) de atacantes en informes anteriores de adversarios activosv
- Las capacidades de detección y respuesta gestionada (MDR) de Sophos
- Sophos X-Ops y su innovadora investigación en amenazas, suscribiéndose a los blogs de Sophos X-Ops
Acerca de SophosSophos es un líder global e innovador en soluciones de seguridad avanzadas para combatir ciberataques, incluidas capacidades de detección y respuesta gestionada (MDR), servicios de respuesta a incidentes y una amplia cartera de tecnologías de seguridad para endpoints, redes, correos electrónicos y la nube. Como uno de los mayores proveedores dedicados exclusivamente a la ciberseguridad, Sophos protege a más de 600,000 organizaciones y más de 100 millones de usuarios en todo el mundo contra adversarios activos, ransomware, phishing, malware y más. Sus servicios y productos están integrados a través de la consola de gestión Sophos Central y son potenciados por Sophos X-Ops, la unidad de inteligencia de amenazas de Sophos. Esta inteligencia optimiza el Ecosistema de Ciberseguridad Adaptativa de Sophos, que incluye un lago de datos centralizado y un conjunto completo de APIs abiertas disponibles para clientes, socios, desarrolladores y otros proveedores de ciberseguridad y tecnología de la información. Sophos ofrece ciberseguridad como servicio a organizaciones que necesitan soluciones de seguridad totalmente gestionadas. Los clientes también pueden gestionar su ciberseguridad directamente mediante la plataforma de operaciones de seguridad de Sophos o utilizar un enfoque híbrido complementando sus equipos internos con los servicios de Sophos, incluyendo búsqueda de amenazas y remediación. Sophos comercializa sus soluciones a través de socios distribuidores y proveedores de servicios gestionados (MSPs) en todo el mundo. Sophos tiene su sede en Oxford, Reino Unido. Más información disponible en www.sophos.com.
Para más noticias del mundo, cultura geek & tech, sigue en: GeekandLife.com.mx | Si quieres noticias Anime, Videojuegos y diversión, visita MultiAnime.com.mx
Fuente: PR