Una amenaza persistente avanzada (APT) se encuentra entre las ciberamenazas más peligrosas que una empresa puede enfrentar. Estos ataques son difíciles de detectar y permiten que un intruso se esconda dentro de una red durante meses. Mientras los hackers permanecen en el sistema, la empresa sufre pérdidas de datos y cortes regulares sin conocer la causa de los problemas.
Este artículo es una introducción a los ataques APT. Explicamos qué son las APT, enseñamos a reconocer las señales de infección y mostramos formas de prepararse para este tipo de ataque.
¿Qué es un ataque APT?
Una Advanced Persistent Threat (APT) (amenaza persistente avanzada) es un ciberataque en el que un intruso obtiene y mantiene una presencia a largo plazo dentro de una red. Las consecuencias de un ataque APT son vastas e incluyen:
- Pérdida de datos y propiedad intelectual.
- Sabotaje de infraestructura.
- Interrupción del servicio.
- Tomas totales del sitio.
Las APT son ataques multietapa que tardan semanas en configurarse y duran meses o incluso años. Una APT es diferente de los ciberataques comunes en cuatro aspectos críticos:
- Una APT es más compleja que una amenaza online habitual. Los ataques requieren equipos a tiempo completo para mantener una presencia oculta en la red de destino.
- Las APT no son ataques de golpe y fuga. Una vez que los hackers acceden a una red, su objetivo es permanecer dentro el mayor tiempo posible.
- Una APT es principalmente un ataque manual que no se basa en la automatización.
- Las APT no son una amenaza para un gran grupo de objetivos. Los ataques van dirigidos a una empresa específica, por lo que cada violación tiene un plan personalizado que se adapta solo a las defensas del objetivo.
Un ataque APT requiere una gran cantidad de esfuerzo y recursos. Los hackers suelen dirigirse a objetivos de alto valor, como empresas y corporaciones. Sin embargo, los atacantes de APT con frecuencia se dirigen a pequeñas empresas en la cadena de suministro de organizaciones más grandes.
Los hackers usan empresas menos defendidas como punto de entrada, por lo que las empresas de todos los tamaños deben saber cómo reconocer un ataque APT.
¿Cuál es el objetivo principal de un ataque APT?
El objetivo de un ataque APT es entrar en la red sin alarmar el sistema y pasar suficiente tiempo dentro para robar datos. Todos los datos valiosos son un objetivo potencial para una APT, incluyendo:
- Propiedad intelectual.
- Información de identificación personal (PII) del usuario.
- Datos clasificados.
- Datos de infraestructura.
- Credenciales de acceso.
- Comunicaciones sensibles.
Además de robar datos, el objetivo de una APT también puede incluir sabotear la infraestructura, destruir sistemas individuales o completar tomas de sitios. Cada ataque tiene un propósito único, pero el objetivo siempre es una mezcla de violaciones de datos, espionaje cibernético y sabotaje.
Detección de ataques APT: ¿Cuáles son las señales de un ataque APT?
Los hackers APT utilizan métodos avanzados para ocultar su actividad, pero ciertas anomalías del sistema pueden indicar que se está produciendo un ataque.
Señales de un ataque APT:
- Inicios de sesión inesperados: Las credenciales de inicio de sesión robadas son una de las principales formas en que los atacantes APT obtienen acceso a la red. Los inicios de sesión frecuentes en servidores a horas extrañas pueden indicar un ataque APT en curso. Los hackers podrían estar trabajando en una zona horaria diferente o operando por la noche para disminuir la posibilidad de detección.
- Aumento de troyanos de puerta trasera: Si las herramientas detectan más troyanos de puerta trasera de lo habitual, un ataque APT podría ser la causa. Los atacantes APT utilizan troyanos de puerta trasera para garantizar el acceso continuo en caso de que cambien las credenciales de inicio de sesión.
- Correos electrónicos de spear-phishing: Los correos electrónicos de spear-phishing son una clara señal de una posible APT. Los hackers pueden estar enviando estos correos electrónicos a empleados de alta gerencia con la esperanza de acceder a datos restringidos.
- Paquetes de datos: Los atacantes APT a menudo copian y almacenan los datos que desean robar en otra ubicación de la red. Una vez aislados y en un paquete, los archivos son un objetivo de transferencia más fácil. Los atacantes colocan paquetes en lugares donde el equipo no suele almacenar datos. Escanea y inspecciona regularmente cualquier archivo de datos fuera de lugar o inusual.
- Actividad extraña de la base de datos: La actividad extraña de la base de datos puede ser un indicador de una APT. Ten en cuenta los aumentos repentinos en las operaciones de la base de datos que involucran volúmenes masivos de datos.
- Comportamiento sospechoso de las cuentas de administrador: Toma nota de cualquier cambio en el comportamiento de las cuentas de administrador. Los hackers APT dependen de los derechos de administrador para moverse lateralmente a través de la red e infectar superficies más grandes. La creación de nuevas cuentas con padres extraños también es una señal de una posible APT.
Ciclo de vida del ataque APT: Las 4 etapas de un ataque APT
Un ataque APT implica múltiples fases y una variedad de técnicas de ataque. Un ataque típico tiene cuatro etapas: planificación, infiltración, expansión y ejecución.
Ciclo de vida del ataque APT:
Etapa 1: Planificación
Cada proyecto APT requiere un plan personalizado sobre cómo vencer los sistemas de protección del objetivo. Los hackers deben realizar los siguientes pasos durante la etapa de planificación:
- Definir el objetivo y el objetivo de la operación.
- Identificar las habilidades necesarias y contratar a los miembros del equipo.
- Encontrar (o crear) las herramientas adecuadas para el trabajo.
- Aprender sobre la arquitectura del objetivo, los controles de acceso y todas las soluciones de hardware y software.
- Definir la mejor manera de diseñar el ataque.
Una vez que reúnen toda la información, los atacantes implementan una versión pequeña del software. Este programa de reconocimiento ayuda a probar las alarmas e identificar los puntos débiles del sistema.
Etapa 2: Infiltración
El atacante obtiene acceso a la red. La infiltración suele producirse a través de una de las tres superficies de ataque:
- Activos web.
- Recursos de red.
- Usuarios humanos autorizados.
Para obtener acceso inicial, los hackers APT utilizan varios métodos de ataque, incluyendo:
- Explotaciones avanzadas de vulnerabilidades de día cero.
- Técnicas de ingeniería social.
- Spear phishing de alto objetivo.
- Inclusión de archivos remotos (RFI).
- RFI o inyecciones SQL.
- Scripting entre sitios (XSS).
- Infección física de malware.
- La explotación de las debilidades de la aplicación (especialmente los errores de día cero).
- Tunelización del sistema de nombres de dominio (DNS).
Una táctica común durante la infiltración es lanzar un ataque DDoS simultáneo. DDoS distrae al personal y debilita el perímetro, facilitando la violación de la red.
Una vez que logran el acceso inicial, los atacantes instalan rápidamente un malware de puerta trasera que otorga acceso a la red y permite operaciones remotas.
Etapa 3: Expansión
Después de establecer un punto de apoyo, los atacantes expanden su presencia dentro de la red. La expansión implica ascender en la jerarquía de usuarios y comprometer a los miembros del personal con acceso a datos valiosos. Los ataques de fuerza bruta son una táctica habitual durante esta etapa.
El malware es fundamental para APT, ya que permite a los hackers mantener el acceso sin detección. El malware ayuda al atacante a:
- Ocultarse de los controles del sistema.
- Navegar entre segmentos de red.
- Recopilar datos sensibles.
- Monitorear la actividad de la red.
- Detectar nuevos puntos de entrada en caso de que los existentes se vuelvan inaccesibles.
En esta etapa, el atacante tiene un acceso confiable y a largo plazo a la red. Los controles de seguridad desconocen el peligro, y el intruso puede comenzar a completar el objetivo del ataque. Si el objetivo es robar datos, los atacantes almacenan la información en paquetes y la ocultan en una parte de la red con poco o ningún tráfico.
Etapa 4: Ejecución
Una vez que recopilan suficientes datos, los ladrones intentan extraer la información. Una táctica de extracción típica es utilizar ruido blanco para distraer al equipo de seguridad. La transferencia de datos ocurre mientras el personal de la red y las defensas del sistema están ocupados.
Los equipos APT suelen intentar completar la extracción sin revelar su presencia. Los atacantes a menudo dejan una puerta trasera después de salir del sistema con el objetivo de acceder nuevamente al sistema en el futuro.
Si el objetivo del ataque APT es sabotear un sistema, la fase de ejecución actúa de manera diferente. Los hackers obtienen sutilmente el control de las funciones críticas y las manipulan para causar daños. Por ejemplo, los atacantes pueden destruir bases de datos completas y luego interrumpir las comunicaciones para evitar los servicios de recuperación ante desastres.
Una vez más, el objetivo es causar daño sin que el equipo de seguridad se dé cuenta de los intrusos. Este enfoque sigiloso permite ataques repetidos.
Cómo prevenir un ataque APT
Las medidas de seguridad estándar, como los programas antivirus, no pueden proteger eficazmente a una empresa de un ataque APT. La detección y protección APT requieren diversas tácticas de defensa y la colaboración entre administradores de red, equipos de seguridad y todos los usuarios.
Monitorear el tráfico
El monitoreo del tráfico es fundamental para:
El monitoreo del tráfico interno también es vital. Los firewalls de red ofrecen una descripción general de las interacciones del usuario y ayudan a identificar inicios de sesión irregulares o transferencias de datos extrañas. El monitoreo interno también permite a una empresa vigilar los recursos compartidos de archivos y las honeypots del sistema mientras detecta y elimina shells de puerta trasera. Utiliza herramientas de monitoreo de servidores para garantizar la salud y seguridad de tus servidores.
Lista blanca de dominios y aplicaciones
La lista blanca es un método para controlar qué dominios y aplicaciones son accesibles desde una red. La lista blanca reduce la tasa de éxito de APT al minimizar la cantidad de superficies de ataque. Para que la lista blanca funcione, un equipo debe seleccionar cuidadosamente los dominios y aplicaciones aceptables. Las políticas de actualización estrictas también son necesarias, ya que debes asegurarte de que los usuarios siempre estén ejecutando la última versión de todas las aplicaciones.
Establecer controles de acceso estrictos
Los empleados suelen ser el punto más vulnerable de un perímetro de seguridad. Los intrusos APT a menudo intentan convertir a los empleados en una puerta de entrada fácil para eludir las defensas. El mejor método para proteger a una empresa de intrusos maliciosos es confiar en la política de confianza cero. La seguridad de confianza cero limita los niveles de acceso de cada cuenta, otorgando acceso solo a los recursos que un usuario necesita para realizar el trabajo. En un entorno de confianza cero, una cuenta comprometida limita la capacidad del intruso para moverse a través de la red. Otra medida de seguridad útil es utilizar la autenticación de dos factores (2FA). 2FA requiere que los usuarios proporcionen una segunda forma de verificación al acceder a áreas sensibles de la red. Una capa adicional de seguridad en cada recurso ralentiza a los intrusos que se mueven a través del sistema.
Mantén las actualizaciones de seguridad al día
Mantener las actualizaciones al día es vital para prevenir un ataque APT. Asegurarse de que el software de red tenga las últimas actualizaciones de seguridad reduce la posibilidad de puntos débiles y problemas de compatibilidad.
Prevenir intentos de phishing
Los fraudes de phishing son un punto de entrada habitual para un ataque APT. Capacita a los empleados para que reconozcan los intentos de phishing y enséñales qué hacer cuando se encuentren con uno. El filtrado de correo electrónico ayuda a prevenir la tasa de éxito de los ataques de phishing.
El filtrado y el bloqueo de enlaces o archivos adjuntos maliciosos en los correos electrónicos detienen los intentos de penetración.
Realiza análisis regulares de puertas traseras
Los hackers APT dejan puertas traseras en toda la red después de obtener acceso ilegal. Escanear y eliminar puertas traseras es un método eficaz para detener los intentos APT actuales y prevenir futuros intentos.
- Los expertos sugieren buscar:Shells de comandos (WMI, CMD y PowerShell) que establecen conexiones de red.
- Herramientas de administración de servidores o redes remotas en sistemas que no son de administrador.
- Incidentes de documentos de Microsoft Office, Flash o Java que invocan nuevos procesos o generan shells de comandos.
Recuerda escanear los dispositivos de punto final en busca de puertas traseras y otro malware. Los ataques APT a menudo implican la toma de control de un dispositivo de punto final, por lo que la detección y respuesta a un compromiso es una prioridad.
Conoce la gravedad de las APT y prepárate para un ataque
Las consecuencias de un ataque APT pueden ser extremas. La pérdida de datos y reputación es casi una garantía, así que haz todo lo que esté a tu alcance para prevenir un ataque. Afortunadamente, ahora sabes qué es una APT y cómo reconocer una, por lo que estás listo para reforzar y proteger tus cargas de trabajo.
Aprende sobre la cyber kill chain, que puede ayudarte a comprender y predecir las diferentes etapas de un ciberataque. Saber cómo trabajan los hackers permite a una empresa seleccionar las herramientas y estrategias adecuadas para limitar las violaciones, responder a los ataques en curso y minimizar los riesgos.
