RAÚL GORDILLO

Regional Sales Manager Spain & Portugal

En el informe Global Threat Report 2019, los equipos de CrowdStrike^®Intelligence, Falcon OverWatch™ de caza gestionada de amenazas y los servicios CrowdStrike de respuesta a incidentes presentaron un análisis que destaca los incidentes y tendencias más relevantes del año pasado en relación a la actividad de las ciberamenazas. Este análisis, que incluye detallados casos de estudio, pone de manifiesto cómo la inteligencia sobre amenazas, la caza proactiva y la aplicación anticipada de medidas permiten conocer mejor las motivaciones, objetivos y actividades de los atacantes, así como saber utilizar esta información para defender mejor los datos fundamentales en el futuro.

En muchos aspectos, 2018 parecía un año claramente diferente a cualquier otro año anterior. Sin algunos de los incidentes prominentes que se observaron en 2017, como WannaCry y NotPetya, en 2018 los titulares han estado marcados por una serie de acusaciones del Departamento de Justicia de Estados Unidos contra individuos concretos ligados a la ciberdelincuencia patrocinada por Estados. Posiblemente debido al efecto de estas divulgaciones públicas, la actividad continua de desarrollo de herramientas y los cambios en tácticas, técnicas y procedimientos (TTP) muestran el año 2018 como un período de transición para muchos ciberdelincuentes. Pero hay algo de lo que no cabe duda: las medidas aplicadas por las fuerzas de seguridad no han detenido ni impedido las actividades patrocinadas por naciones.

Intrusiones selectivas: los ciberdelincuentes patrocinados por Estados no dan un respiro

Los ciberdelincuentes patrocinados por naciones han estado permanentemente activos a lo largo de 2018. Han dirigido sus ataques a disidentes, opositores regionales y potencias extranjeras con el fin de obtener inteligencia para la toma de decisiones:

• Corea del Norte (República Popular Democrática de Corea, o RPDC) ha seguido activa en cuanto a recopilación de inteligencia y planes de generación de divisas, a pesar de su participación en iniciativas diplomáticas.
• Irán ha seguido centrado en las operaciones contra otros países de Oriente Medio y el Norte de África, especialmente sus enemigos regionales del Consejo de Cooperación del Golfo (CCG). Además, se sospecha que los ciberdelincuentes iraníes están desarrollando nuevo malware para móviles contra disidentes y minorías étnicas.
• En cuanto a China, CrowdStrike ha observado un incremento significativo en los ataques a Estados Unidos, probablemente relacionados con un aumento de la tensión entre los dos países.
• Los ciberdelincuentes rusos se han mostrado activos en todo el mundo en distintas operaciones de obtención de inteligencia e información.

Hay otros ciberdelincuentes auspiciados por Estados, vigilados por CrowdStrike, que aunque no ocupan un lugar destacado en este informe, también siguieron activos durante 2018:

• Los ciberdelincuentes ligados a Pakistán e India siguen mostrando interés en los asuntos de la región, con un incremento de actividad en el subcontinente indio durante el verano de 2018.
• La banda de ciberdelincuentes OCEAN BUFFALO, radicada en Vietnam, parecía centrada en operaciones nacionales —posiblemente internas de aplicación de la ley—, sin embargo, CrowdStrike también ha identificado posibles objetivos en Camboya, así como actividades contra los sectores de fabricación y la industria hotelera.
• Según análisis técnicos recientes, así como informes del uso de la vulnerabilidad de día cero CVE-2018-8174, el grupo SHADOW CRANE, en Corea del Sur, sigue desarrollando su toolkit. Parece que el objetivo fundamental de las campañas de esta banda eran víctimas en China, Japón, Corea del Sur, Rusia, India y la RPDC, especialmente relacionadas con el gobierno, think tanks, medios de comunicación, el ámbito académico y ONG.

La evolución de la economía de la ciberdelincuencia

Los ciberdelincuentes vigilados por CrowdStrike Intelligence llevaron a cabo una serie de operaciones delictivas, como la distribución de crimeware, troyanos bancarios, ataques a puntos de venta (Pdv) y campañas de phishing selectivo (o spearphishing).

• La tendencia más destacable en la ciberdelincuencia durante 2018 ha sido el aumento continuo de la conocida como "caza mayor", que combina TTP selectivos de tipo intrusión, con el despliegue de ransomware en grandes empresas, todo con el objetivo de conseguir un rédito financiero mayor. BOSS SPIDER (Samas, SamSam), INDRIK SPIDER (Dridex) y GRIM SPIDER (Ryuk) cosecharon enormes ganancias en estas campañas.
• Otra prueba de la evolución del ecosistema de la ciberdelincuencia fue la prolífica actividad del ransomware como servicio (RaaS) PINCHY SPIDER (GandCrab) y la consolidación de MUMMY SPIDER (Emotet) como operación profesional de distribución de malware.
• Mientras tanto los grupos de ciberdelincuentes COBALT SPIDER (CobaltGroup) y CARBON SPIDER (Carbanak) siguen activos, a pesar de los arrestos de personas vinculadas a sus operaciones.

Hablemos de telemetría: seguimiento del "tiempo de propagación" y otros indicadores clave

El informe Global Threat Report del año pasado destacaba un nuevo parámetro de gran importancia que está registrando CrowdStrike, el "tiempo de propagación", que mide lo que tardan los ciberdelincuentes en efectuar el desplazamiento lateral en el entorno de la víctima a partir del compromiso inicial. El tiempo de propagación es importante, ya que representa el límite de tiempo que tienen los defensores para responder, contener y remediar una intrusión antes de que se propague por todo el entorno y genere una brecha mayor. 

Este año, el equipo de CrowdStrike ha decidido profundizar en el concepto de tiempo de propagación, y determinar la velocidad de los principales agresores a los que ha atribuido intrusiones en 2018. La velocidad es un factor esencial en ciberseguridad, tanto en ataque como en defensa. En muchos sentidos, lo que determina la capacidad del ciberdelincuente no es tanto el grado de sofisticación de sus herramientas —que puede comprar o robar—, como su habilidad operativa y la rapidez a la que consigue sus objetivos en la red atacada.

El tiempo de propagación medio global que ha observado CrowdStrike en 2018 en todas las intrusiones y atacantes ha sido de 4 horas y 37 minutos, sin embargo esta estadística no refleja toda la realidad: CrowdStrike observó diferencias importantes entre grupos de ciberdelincuentes, desde una media de 9 horas y 42 minutos para los ciberdelincuentes, hasta un extraordinario tiempo de 18 minutos en el caso de los autores de amenazas radicados en Rusia.  

Si bien no es el único parámetro que permite juzgar el grado de sofisticación del agresor, el tiempo de propagación constituye un medio interesante de evaluar su capacidad operativa. Resulta igualmente útil para los profesionales de la seguridad que desean evaluar el tiempo medio para la detección, la investigación y la reparación (lo que se conoce como "la regla 1-10-60). Estos indicadores de defensa clave se explican más detalladamente en la sección Global Threat Predictions and Recommendations (Predicciones y recomendaciones sobre amenazas globales) del informe. Las organizaciones pueden ajustar su objetivo de tiempos de repuesta según sus propias necesidades, en función en parte de los tipos de atacantes a los que tienen más probabilidades de enfrentarse, dado su sector empresarial y el área geográfica en la que se centran sus operaciones.

Descargue el informe completo

El informe completo Global Threat Report de 2019 de CrowdStrike incluye un profundo análisis que destaca los incidentes y tendencias más relevantes en materia de ciberamenazas durante el año pasado. Puede descargar una copia gratuita de este importante informe sobre el estado de la ciberseguridad en http://crowdstrike.com/gtr.