Amenazas persistentes avanzadas: qué son y cómo protegerse

Las amenazas persistentes avanzadas se alzan como uno de los modelos de ciberataque más dañino y complejo a día de hoy. 

Su definición básica permite hacerse una primera idea de su potencial dañino: se trata de ataques continuados en el tiempo, extremadamente sofisticados y, a menudo, dirigidos a una víctima u organización específica y de perfil alto.

¿Su objetivo? Obtener información confidencial de alto valor para, en última instancia, causar un daño estratégico a la entidad atacada. Todo ello teniendo en cuenta el profundo impacto de un ciberataque en las organizaciones, tanto a nivel económico como reputacional.

Para ello, las amenazas persistentes avanzadas son planificadas de forma meticulosa y en ellas se invierten grandes recursos. Unas características que implican que la protección contra este tipo de ataques (también conocidos como advanced persistent threats o APT) también deba contar con un alto nivel de sofisticación. Lo analizamos.

¿Qué es una amenaza persistente avanzada (APT)?

Una amenaza persistente avanzada es un tipo de ciberamenaza que se distingue por ser altamente sofisticado y por su capacidad de prolongarse en el tiempo. 

Así, el foco de las APT está puesto en permanecer dentro de la red objetivo sin ser detectado durante largos períodos, manteniendo acceso continuo a sistemas críticos a través de un punto de apoyo interno. Esto permite obtener disponibilidad a material confidencial crítico durante un tiempo extendido, con el aumento de la gravedad en el daño que esto implica.

Generalmente, este tipo de ataque está dirigido a organizaciones de alto perfil y entidades gubernamentales con el objetivo de robar información confidencial y/o causar daños. En este sentido, a menudo requieren de malware altamente avanzado, en vistas a tratar de eludir las medidas de seguridad de la organización objetivo.

Las consecuencias de una APT exitosa pueden ser devastadoras: desde la pérdida de propiedad intelectual, a daños en la reputación y costes financieros vinculados a la recuperación tras el incidente, además de potenciales multas regulatorias o demandas a la organización.

Algunos casos de amenazas persistentes avanzadas bien conocidos incluyen la infiltración del grupo norcoreano Lazarus en la organización Sony Pictures, o el ataque al Comité Nacional Demócrata estadounidense en 2016.

Características de las amenazas persistentes avanzadas

• Se trata de ataques planteados para mantener la infiltración en el largo plazo (de ahí la palabra “persistentes”). La intrusión y la extracción de datos sistemática pueden durar meses o incluso años.
• Se dirigen a objetivos concretos y de alto valor, incluyendo grandes empresas y organizaciones, además de actores gubernamentales. Entre los actores privados, se pueden destacar energía, telecomunicaciones y finanzas como sectores especialmente vulnerables a este tipo de ataques, por su carácter de infraestructura crítica. 

En general, las amenazas persistentes avanzadas forman parte de estrategias que buscan el sabotaje o el espionaje corporativo. Es más, es común que los atacantes estén vinculados de algún modo con un estado específico o con grandes organizaciones criminales que operan en el ciberespacio.

• Los ataques presentan un alto nivel de sofisticación. Se incluye aquí la explotación de vulnerabilidades de día cero (también conocidas como zero-day, basadas en explotar vulnerabilidades no conocidas públicamente), y el uso de estrategias y herramientas de primer nivel y personalizadas, capaces de evadir los sistemas de ciberseguridad convencionales. 

Como ejemplo, las APT son capaces de emplear malware que modifica su comportamiento de acuerdo con las medidas de seguridad que encuentra; generar túneles de datos que crean canales difícilmente detectables; o de imitar el tráfico de red legítimo.

• A menudo se apoyan en técnicas de ingeniería social para obtener un primer acceso a las redes. Por ejemplo, son capaces de diseñar correos electrónicos que parecen legítimos (spear-phishing), manipulando a los empleados para lograr sus objetivos.

Qué convierte a una amenaza convencional en una amenaza persistente avanzada

Las características que acabamos de describir definen algunas de las diferencias clave entre un ciberataque convencional y uno que puede ser descrito como APT. En resumen, las amenazas persistentes avanzadas lo son por alguno de los siguientes motivos: 

• Uso de grandes recursos y tecnología de vanguardia para infiltrarse.
• Capacidad de mantener la infiltración en el tiempo y adaptarse a las medidas de defensa que se encuentren.
• Gracias a tácticas de espionaje y reconocimiento, el ataque se diseña para superar las defensas de un objetivo específico. Esto implica no solo el diseño a nivel de herramientas tecnológicas a utilizar, sino también técnicas de ingeniería social.
• Perpetradas por atacantes especializados y altamente cualificados. Se trata de cibercriminales profesionales y, a menudo, actores patrocinados por estados y otras organizaciones con grandes recursos.

Diferentes etapas de un ataque de una APT

El ataque de una APT tiene diversas etapas, y las tácticas empleadas pueden variar según si el objetivo es una empresa o un Sistema de control industrial (ICS). A continuación, revisaremos algunas de ellas:

Fase de reconocimiento

En el mundo físico, un ladrón que desea acceder a una vivienda o inmueble estudia primero los hábitos de los inquilinos y sus sistemas de seguridad (las cerraduras, el tipo de ventana…). Esta investigación es, en gran medida, la que le va a permitir lograr su objetivo con éxito y sin ser detectado.

Del mismo modo, las advanced persistent threats comienzan antes de lanzar cualquier herramienta tecnológica. En un primer momento, los atacantes se centran en estudiar a la organización con el objetivo de identificar sus vulnerabilidades, tanto humanas como digitales.

En vistas a la información obtenida en esta fase, los hackers desarrollan exploits y herramientas específicas que puedan aprovechar las vulnerabilidades descubiertas.

Fase de infiltración

Es el momento del lanzamiento del ataque para conseguir el acceso inicial. Siguiendo con la analogía del ladrón que desea infiltrarse en un entorno físico, esta fase se refiere a las herramientas específicas que va a utilizar para lograr acceso (por ejemplo, una palanqueta). 

Para las APTs,  y aunque existe un gran número de métodos disponibles: destacan las siguientes estrategias de infiltración avanzada: 

• Spear-phishing: a diferencia del phishing tradicional (que suele ser masivo), esta estrategia se basa en la recopilación de información personalizada sobre el objetivo para aumentar la credibilidad del mensaje y, en consecuencia, también las posibilidades de engañar a la víctima. La amenaza también se basa en la redacción de correos electrónicos altamente específicos que sirven como parte del engaño.
• Exploits de día cero: se trata de un tipo de vulnerabilidad de software que es desconocida para el fabricante del software o los usuarios y, por lo tanto, no cuenta con un parche o una solución específica. Así, se convierte en una puerta de entrada valiosa para los atacantes.
• Técnicas de ingeniería social: utilizando técnicas de espionaje y reconocimiento (por ejemplo, consultando información disponible públicamente en internet o en redes sociales, también conocido como OSINT), los atacantes pueden lograr accesos clave, incluyendo credenciales.

Fase de post explotación

Conseguido el acceso inicial, los atacantes se mueven por la red para llegar a los recursos objetivo, lograr la extracción y robo de datos o la manipulación del sistema, dependiendo del propósito del ataque.

Movimiento lateral

Los atacantes están intentando entrar y controlar sistemas remotos en una red. En ocasiones pueden instalar sus propias herramientas de acceso remoto para llevar a cabo el movimiento lateral o utilizar credenciales legítimas con herramientas nativas de la red y del sistema operativo, que pueden ser más sigilosas.

Exfiltración

El objetivo es lograr la extracción y robo de datos. Una vez que han recopilado los datos, los atacantes suelen empaquetarlos para evitar que los detecten mientras los eliminan. Esto puede incluir compresión y cifrado. Las técnicas para extraer datos de una red objetivo suelen incluir la transferencia de los mismos a través de su canal de comando y control o un canal alternativo y también pueden incluir la imposición de límites de tamaño a la transmisión. 

Impacto

Los atacantes están intentando manipular, interrumpir o destruir los sistemas y datos de la organización. El impacto consiste en técnicas que los adversarios utilizan para interrumpir la disponibilidad o comprometer la integridad mediante la manipulación de los procesos comerciales y operativos. En algunos casos, los procesos comerciales pueden parecer correctos, pero pueden haber sido alterados para beneficiar los objetivos de los atacantes. 

Persistencia

En este caso, los atacantes están intentando mantener su posición. Para ello, utilizan técnicas que incluyen cualquier cambio de acceso, acción o configuración que les permita mantener su presencia en los sistemas tras reinicios, cambios de credenciales y otras interrupciones que podrían interrumpir el acceso, como reemplazar o secuestrar código legítimo o agregar código de inicio.

Mando y control

El mando y control consiste en técnicas que los atacantes pueden utilizar para comunicarse con los sistemas que controlan dentro de la red víctima. Suelen intentar imitar el tráfico normal esperado para evitar ser detectados. Hay muchas formas en las que un atacante puede establecer el mando y control con distintos niveles de sigilo según la estructura y las defensas de la red de la víctima.

Escalada de privilegios

Los atacantes buscan obtener permisos de nivel superior en un sistema o red. A menudo pueden ingresar y explorar una red con acceso sin privilegios, pero requieren permisos elevados para lograr sus objetivos. Para ello, aprovechan las debilidades, las configuraciones incorrectas y las vulnerabilidades del sistema.

Evasión de defensas

Los atacantes están intentando evitar ser detectados. Las técnicas utilizadas para la evasión de defensa incluyen la desinstalación o desactivación del software de seguridad o la ofuscación o cifrado de datos y scripts.

Cómo protegerse de una APT: 7 fundamentos imprescindibles

El repaso que acabamos de hacer al modus operandi y principales características de las amenazas persistentes avanzadas revela no solo que se trata de un ataque particularmente nocivo y sofisticado: también contiene las claves sobre cómo protegerse ante este tipo de incursión.

Las analizamos:

1. Auditoría en ciberseguridad: comprender de dónde se parte

La auditoría de ciberseguridad se alza como una medida clave para que las empresas ganen visibilidad sobre sus sistemas y redes, de modo que puedan protegerlos de forma efectiva.

En el caso de la auditoría de ciberseguridad avanzada de S2 Grupo, ponemos a disposición de las organizaciones nuestro Red Team, un equipo de profesionales dedicado al hacking ético y con experiencia real en amenazas persistentes avanzadas, ofreciendo un estudio completo de todas las vulnerabilidades y las necesidades de protección.

2. Capacidades de monitoreo y detección continua

En lo que se refiere a ciberseguridad, la visibilidad es fundamental para identificar y mitigar vulnerabilidades antes de que sean explotadas. 

En este contexto, aparecen herramientas específicas de monitoreo como las soluciones SIEM (Security Information and Event Management), que se basan en la recolección, análisis y correlación de datos de seguridad en tiempo real para detectar actividades anómalas. Igualmente, se recomienda el uso de análisis de comportamiento de usuarios y entidades (UEBA), capaces de identificar patrones inusuales que podrían indicar una infiltración.

3. Cuidado de los equipos humanos mediante capacitación y concienciación

Ya hemos visto cómo el elemento humano juega un papel crucial en el éxito de las amenazas persistentes avanzadas. Del mismo modo, unos equipos humanos capacitados y conscientes pueden convertirse en un verdadero escudo de ciberseguridad y una primera capa de defensa imprescindible ante riesgos como la ingeniería social.

La formación continua y los simulacros de ataque destacan aquí como dos claves a implementar para preparar a todos los humanos dentro de una organización y fortalecer su capacidad de respuesta.

4. Estrategias específicas para frenar las amenazas persistentes avanzadas

Tácticas de segmentación de red y control de acceso destacan como estrategias clave para limitar el impacto de un posible ataque, en caso de suceder. También lo son el cifrado de datos adecuado, y las políticas de acceso robustas, con acciones como Autenticación multifactor (MFA) y la implantación de políticas de privilegio mínimo.

Igualmente, resulta imprescindible una política de actualización y parcheo de seguridad capaz de cerrar vulnerabilidades que puedan ser explotadas por APTs.

A su vez, y debido a que cuentan con vulnerabilidades específicas, la protección de los datos en la nube debe ser considerada como una estrategia imprescindible de protección.

5. Planificar para establecer políticas rigurosas

Desarrollar un plan de seguridad de la información permite delimitar las medidas para la protección de la empresa y realizar un seguimiento estructurado para su implantación.

A su vez, el plan de respuesta a incidentes se orienta a diseñar una estrategia para mitigar el posible impacto de las advanced persistent threats. En este plan se incluyen los roles, responsabilidades y procedimientos a seguir en caso de un ataque. Una planificación que debe, además, acompañarse de simulacros y ejercicios que pongan a prueba la respuesta a incidentes planeada.

6. Implementar estrategias de inteligencia de amenazas

Hablar de inteligencia de amenazas es hablar de obtener capacidades avanzadas para recopilar y analizar datos sobre las últimas tácticas, técnicas y procedimientos utilizados por los grupos de APT. 

Un paso que se ve enriquecido, además, al colaborar con otras organizaciones, compartiendo la información disponible para mejorar la posición en ciberseguridad a nivel colectivo.

7. Poner el foco en la resiliencia organizativa

La ciberresiliencia implica la capacidad de las organizaciones de hacer frente a ciberataques y mitigar su impacto en caso de que tengan lugar. 

En este sentido, aúna todas las medidas que acabamos de comentar, pero añade una capa de protección destinada a la recuperación. Es aquí donde pueden inscribirse, por ejemplo, las prácticas de copias de seguridad regulares o la elaboración de un plan de recuperación. 

Un esfuerzo que culmina en la mejora de la cultura de ciberseguridad en la organización, de modo que todos los involucrados son conscientes de su rol en mantener a la entidad blindada ante riesgos como las APT.

Todo ello implica pasar del enfoque reactivo al enfoque proactivo, asentando los cimientos para una organización que comprende los riesgos y está lista para afrontarlos.

En S2 Grupo, acompañamos a las organizaciones que quieren dar el siguiente paso en sus capacidades de ciberseguridad. Ante desafíos como las amenazas persistentes avanzadas, ponemos nuestro expertise en ciberseguridad al servicio de las organizaciones para diseñar una estrategia capaz de poner freno a este tipo de ataque.

¿Quieres saber más sobre amenazas persistentes avanzadas y cómo protegerse? Ponte en contacto con nosotros y habla con nuestro equipo sobre cómo podemos ayudarte.