Una continua incertidumbre: Informe anual de ciberseguridad 2020 de Trend Micro

Ransomware

Comparación del número total de nuevas familias de ransomware en 2019 y 2020

Los 10 principales sectores atacados con ransomware en 2020

El reciente Egregor, el cual destacó en los últimos meses del año, empleó especialmente la técnica de doble extorsión dado que atacó objetivos de perfil alto, incluidas grandes organizaciones de venta minorista, juego y recursos humanos.

Ataques a la cadena de suministro

Si bien es posible que las organizaciones hayan mejorado su seguridad, los agentes maliciosos siguen encontrando maneras de colarse en sus sistemas comprometiendo sus partners localizados en su cadena de suministro. Al provecharse de relaciones estables y de confianza entre la organización atacada y sus partners, los atacantes de la cadena de suministro podían hacerse un hueco en los sistemas de la organización.

Uno de los ataques a la cadena de suministro más difundidos recientemente apareció en diciembre bajo la forma del ataque que implicaba a Orion, un software de sistema de gestión de red ampliamente utilizado y desarrollado por SolarWinds. Los agentes maliciosos detrás del ataque insertaron una vulnerabilidad en determinadas compilaciones de Orion que permitían a los atacantes comprometer los servidores que ejecutaban el software. Una vez que la actualización pertinente pasó a los clientes, los atacantes pudieron implementar puertas traseras que les dieron total acceso a las redes afectadas y les permitieron realizar numerosas actividades maliciosas. Dada la naturaleza de algunos de los objetivos, incluidas las principales agencias gubernamentales de EE. UU., el ataque podría haber tenido graves consecuencias.

Estafas de COVID-19

Desafíos del trabajo remoto

A medida que las organizaciones implementaban estructuras de trabajo remoto como respuesta a la pandemia, las redes privadas virtuales (VPN) se convirtieron en valiosas herramientas en la protección de conexiones de red frente a amenazas externas. No obstante, como ocurre con cualquier software, las soluciones de VPN también pueden albergar vulnerabilidades, las cuales, si se aprovechan, podrían permitir a los atacantes robar información patentada y llevar a cabo una vigilancia de los sistemas de sus objetivos. Una vulnerabilidad de VPN, CVE-2019-11510, contabilizó casi 800 000 detecciones en 2020 solo y participó en ataques en 2020 donde se utilizó para enviar ransomware. Los agentes maliciosos también encontraron otras formas de incorporar la VPN en sus ataques: en septiembre, descubrimos una instancia donde un atacante empaquetó un instalador de VPN con una puerta trasera a Bladabindi, el cual se podía utilizar para recopilar información procedentes de los equipos infectados.

El auge del trabajo remoto también se tradujo en un aumento del uso de herramientas de comunicación como Zoom, Slack y Discord. A cambio, esto produjo un incremento de los ataques que aprovechaban estas aplicaciones: desde las bromas de «Zoombombing» e instaladores maliciosos de Zoom hasta una variante de ransomware que utilizaba webhooks de Slack y una campaña de email de spam que utilizaba Discord para entregar malware.

Recuento de detecciones de vulnerabilidades importantes de VPN en 2020.

Amenazas en la nube

En 2020, la nube se convirtió en un componente incluso más integral de las operaciones de numerosas organizaciones. No obstante, la correcta configuración de los servicios y activos en la nube siguen siendo todo un desafío. En abril, por ejemplo, se tuvo conocimiento que atacantes habían introducido mineros de criptomoneda en los puertos API de daemon de Docker mediante el malware Kinsing. En octubre, se notificó un ataque en API de Docker expuestas que implicaron el uso de shellcode de Metasploit Framework (MSF) como carga, la primera vez que observamos el uso de esta técnica.

En 2020, también publicamos nuestros hallazgos sobre cómo los agentes maliciosos aprovechan la infraestructura de nube clandestina. En la clandestinidad, los cibercriminales realizan transacciones e interactúan regularmente entre ellos. En ocasiones, delegan tareas para los trabajos frecuentes, mercantilizando los servicios clandestinos. Algunos participantes clandestinos también venden acceso a colecciones de datos robados publicitados como «nubes de registros».

Cadena de infección del malware Kinsing.

Forma en la que el shellcode de MSP se utilizó para atacar API de contenedor mal configuradas.

Ataques de IoT

Los cibercriminales también tomaron nota del aumento de la resiliencia de organizaciones y empleados sobre el internet de las cosas (IoT). Este podría ser una gran preocupación dado que los atacantes podrían utilizar las redes y dispositivos domésticos para obtener acceso a redes corporativas a las que están conectados. Los routers son especialmente vulnerables, sobre todo porque la seguridad en el hogar del empleado no es tan sólida como lo es en un espacio de trabajo empresarial.

En 2020, observamos un repunte en el número total de eventos de ataques entrantes, el cual fue más del triple del registro en 2019, y en el número total de eventos de ataques salientes, el cual se duplicó respecto a 2019.