Las lecciones a aprender del ciberataque de Darkside al oleoducto Colonial Pipeline
Las lecciones a aprender del ciberataque de Darkside al oleoducto Colonial Pipeline
Un grupo de ciberdelincuentes muy organizado y con un modelo totalmente innovador
Según el FBI, el ataque fue organizado por el grupo de ciberdelincuentes ruso Darkside, un grupo especializado en ataques a infraestructuras críticas. En los comunicados hechos públicos por este grupo, se refieren a sí mismos como un “grupo apolítico”, si bien cuentan con un claro objetivo de seguir captando rescates.
Su estructura, muy profesionalizada, se basa en la búsqueda de nuevos “socios” en los foros a través de un programa de afiliados a los que ofrecen su software para realizar ataques repartiendo luego beneficios entre los mismos. De esta forma, los socios obtienen entre un 15 –25% de la suma total de cada rescate (si bien algunas fuentes indican que puede llegar al 75% dependiendo de la importancia del ataque).
Con este modelo, el grupo ha seguido perfeccionando sus ciberataques, financiando sus operaciones a través de sus asociados y consolidando lo que ya podríamos denominar como la industria del ciberataque.
¿Qué medidas son aconsejables para evitar un ataque de ransomware de este estilo en infraestructuras críticas?
1. SECURIZAR EL ESLABÓN DÉBIL: LOS USUARIOS
• No podemos olvidarnos que, en la mayoría de los ciberataques, los usuarios han sido partícipes de una manera u otra. Por ello es importante realizar una auditoría de ingeniería social y formación en ciberseguridad.
Conocer el grado de concienciación y madurez en ciberseguridad de estos es vital para poder preparar planes de formación específicos.
✓ En Sofistic ofrecemos servicios de auditoría en ingeniería social y distintos tipos de formación en ciberseguridad. Consúltanos para más información.
2. PROTEGER LOS ENDPOINTS DE FORMA AVANZADA
• La mejor forma de proteger los dispositivos es a través de un antivirus de última generación que permita un nivel de protección que cubra incluso los ataques que aún no se conocen, y respondiendo de forma autónoma (Endpoint Detection and Response – EDR). Para ello, este antivirus ha de analizar qué procesos son o no lícitos (incluso analizando el comportamiento) en lugar de basarse en una única base de conocimiento. Este nuevo enfoque resulta ser mucho más efectivo y ágil para luchar contra lo que se conoce como ataques de día cero.
✓ En Sofistic ayudamos a nuestros clientes en la securización de Microsoft 365 e incluso implantamos soluciones como Crowdstrike, un avanzado antivirus EDR con Inteligencia Artificial que aplica una protección combinada, basada en el comportamiento del usuario y la detección mediante firmas de malware.
3. DETECTAR CUALQUIER VULNERABILIDAD
• Es importante realizar tests de intrusión externos e internos. En estos tests, de forma similar a como actúa un ciberdelincuente, intentaremos obtener la mayor cantidad de información disponible de los equipos y aprovechar las vulnerabilidades para acceder a los sistemas de la empresa.
✓ Sofistic ofrece servicios de pentest interno y externo como primer paso para la detección de vulnerabilidades. Detecta además de las amenazas inmediatas, los defectos de configuración, puertas traseras y configuraciones peligrosas.
4. CONTROLAR EL PERÍMETRO TECNOLÓGICO RESPONDIENDO EN SEGUNDOS
• A medida que crecen las empresas, es más complicado poder controlar la infraestructura de red y todos los dispositivos conectados a esta. Sólo mediante sistemas avanzados dotados de Inteligencia Artificial, aprendizaje automático y con capacidades de respuesta de forma autónoma, nos va a permitir controlar y minimizar los riesgos que encontremos en nuestra red.
✓ En SOFISTIC somos especialistas en la implementación de Darktrace, un sistema de detección de amenazas que actúa en segundos sobre cualquier amenaza que pueda ocurrir en la red, incluso las que están aún por descubrir.
5. ESTABLECER MONITORIZACIÓN Y UN PLAN DE RESPUESTA DE INCIDENTES
• Teniendo en cuenta la criticidad de la empresa, resulta de vital importancia contar con el servicio de un centro de monitorización de operaciones de seguridad (Atlantis SOC) que ofrezca monitorización de amenazas 24×7 y servicio de respuesta a incidentes, con especialistas preparados para resolver cualquier problema.
✓ En Sofistic contamos con un SOC de atención continua gestionado entre Panamá y España, lo que proporciona mayor eficiencia al evitar turnos nocturnos de baja productividad. La distribución en dos ubicaciones minimiza todo tipo de riesgos, como los meteorológicos, ataques masivos, catástrofes en puntos concretos, etc. Además, proporciona contacto cercano con los CSIRT / CERT según la ubicación del incidente.
6. AMPLIAR LA MALLA DE SEGURIDAD, INCLUSO FUERA DE LA EMPRESA
• En la línea de las últimas tendencias de ciberseguridad, se busca proteger todos los dispositivos que interactúan con la organización y con los que se acceden a los datos de esta, incluyendo a todos dentro de la malla de ciberseguridad de la empresa para que no existan interacciones sin protección. En muchas ocasiones los dispositivos que suelen quedar fuera de esta malla de seguridad son los teléfonos móviles con los que se accede al correo de la empresa y se visualiza incluso información confidencial.
✓ En este sentido, SOFISTIC ha desarrollado UareSAFE, una app que permite la protección de los móviles mediante el análisis de los riesgos más comunes en cada S.O, malware en Android y configuraciones inseguras en iOS.
Otros ataques a infraestructuras críticas:
🏭 Febrero 2021: Ataque a planta potabilizadora de aguas en Florida
La empresa notificó que algunos equipos de la planta, los cuales operaban en una versión desactualizada de Windows 7, se vieron comprometidos por un equipo de ciberdelincuentes que también pudo acceder a los sistemas hackeando las contraseñas que el personal utilizaba en aplicaciones como Teamviewer. Los ciberdelincuentes tuvieron acceso al sistema de tratamiento de las aguas, lo que podría haber provocado un incidente de seguridad de mayor alcance.
🏭 Agosto 2017: Ataque a planta petroquímica saudí de Petro Rabigh
El 4 de agosto dos sistemas de cierre de emergencia pudieron evitar la liberación de gases tóxicos de sulfuro de hidrógeno que habría ocurrido como consecuencia de un malware conocido como Triton, el cual inutilizó sistemas de control clave de la empresa. Lejos de buscar un rendimiento económico, la investigación demostró que el ataque buscaba provocar una explosión en la planta, lo que no ocurrió debido a un error en el código. (Fuente: NY Times) .
☢️ Septiembre 2010: Ataque de gusano Stuxnet a instalaciones nucleares en Irán
Este malware gusano atacaba los sistemas SCADA de control industrial aprovechando una serie de vulnerabilidades de los sistemas Siemens. Si bien las autoridades iraníes no quisieron darle importancia, el virus afectó a 1.000 máquinas (la mayoría, centrifugadoras) de la central nuclear de Natanz. El ataque tuvo lugar a través de una memoria de USB infectada, y consiguió reprogramar las máquinas para su propia destrucción.
Artículos Relacionados
El otro riesgo de un ciberataque: la reacción en cadena
Toda empresa debe contemplar la situación de que su ciberseguridad va a ser vulnerada en algún momento, y evitar la improvisación cuando esto ocurra, preparando un plan de respuesta tanto a nivel técnico como en la comunicación del ataque.
Sextorsión, ¿qué hacer cuando te extorsionan a través del email?
La sextorsión está viviendo un nuevo auge alrededor de todo el mundo, un problema frente al cual, las víctimas tienen poco tiempo para reaccionar y no saben cómo actuar. ¿Sabes qué debes hacer si te ocurre a ti?
El malware Ginp usa las personas infectadas con coronavirus como cebo para robar tarjetas de crédito
El troyano Ginp está robando tarjetas de crédito con la promesa de mostrar las personas infectadas por coronavirus que hay a tu alrededor. Descubre como protegerte es este artículo.
0 comentarios