Fortinet ha publicado el Índice de Amenazas Globales de su equipo de inteligencia de amenazas

Fortinet ha publicado el Índice de Amenazas Globales de su equipo de inteligencia de amenazas, FortiGuard Labs que destaca que el panorama de amenazas y la superficie de ataque de las organizaciones se transforman constantemente, y la capacidad de los ciberdelincuentes para diseñar y adaptar sus técnicas a este entorno en evolución sigue planteando un riesgo significativo para las empresas de todos los tamaños, independientemente de su sector o geografía.

El Índice Global de Amenazas de Fortinet destaca:

• La distribución masiva del malware Wiper sigue mostrando la evolución destructiva de los ciberataques.
• La nueva inteligencia permite a los CISO priorizar los esfuerzos de mitigación de riesgos y minimizar la superficie de ataque activa con la expansión del enfoque de "Zona Roja".
• La amenaza del ransomware se mantiene en niveles máximos, en el segundo semestre del año pasado aumentó un 16%, y el 82% de los ciberdelitos con fines económicos utilizaron ransomware o scripts maliciosos en 2022.
• El malware más frecuente no es nuevo, tiene más de un año, lo que pone de relieve la eficacia y la economía de la reutilización y el reciclaje de código.
• Log4j sigue impactando en organizaciones de todas las regiones e industrias, especialmente en el sector tecnológico, de la administración pública y la educación.

Para Derek Manky, Chief Security Strategist & Global VP Threat Intelligence en FortiGuard Labs “Para los ciberadversarios, mantener el acceso y eludir la detección no es tarea fácil, ya que las ciberdefensas siguen avanzando para proteger a las organizaciones. Para contrarrestar esta acción, los cibecriminales incrementan sus técnicas de reconocimiento y despliegan alternativas de ataque más sofisticadas en sus intentos destructivos, aplicando métodos de amenaza similares a las tácticas de ciberdelincuencia persistente avanzada, como el malware Wiper u otros ataques avanzados. Para protegerse, las organizaciones deben centrarse en una inteligencia de amenazas coordinada y procesable basada en aprendizaje automático en tiempo real en todos los dispositivos de seguridad, que les permita detectar acciones sospechosas e iniciar la mitigación coordinada en toda la superficie de ataque”.

Wiper, un malware altamente destructivo

El análisis de los datos del malware Wiper revela la tendencia de los ciberdelincuentes a utilizar sistemáticamente técnicas de ataque destructivas contra sus objetivos. También muestra que, debido a la falta de fronteras en Internet, los ciberdelincuentes pueden escalar fácilmente este tipo de ataques, en gran medida gracias al modelo de ciberdelincuencia como servicio (CaaS).

A principios de 2022, FortiGuard Labs informó de la presencia de varios Wipers nuevos, surgidos en paralelo a la guerra entre Rusia y Ucrania. A lo largo del año, el malware Wiper se expandió a otros países, registrándose un aumento del 53% de su actividad sólo del tercer al cuarto trimestre. Aunque parte de este incremento podría deberse a que Wiper pudo haber sido desarrollado y desplegado inicialmente por agentes de los Estados-nación en torno a la guerra, está siendo recogido por grupos de ciberdelincuentes y se está extendiendo más allá de Europa. Por desgracia, la trayectoria del destructivo malware Wiper no parece que vaya a ralentizarse a corto plazo, según el volumen de actividad observado en el cuarto trimestre, lo que significa que toda organización sigue siendo un objetivo potencial, no sólo aquellas con sede en Ucrania o en los países vecinos.

Volumen de Malware Wiper

Identificar las zonas rojas para priorizar esfuerzos y recursos

Las tendencias de explotación nos permiten conocer lo que los cibercriminales están interesados en atacar, lo que están sondeando para futuros ataques y lo que ya están atacando activamente. FortiGuard Labs cuenta con un extenso archivo de vulnerabilidades conocidas y, a través del enriquecimiento de datos, ha sido capaz de identificar vulnerabilidades explotadas de forma activa en tiempo real y mapear zonas de riesgo activo a través de la superficie de ataque.

En la segunda mitad de 2022, menos del 1% del total de vulnerabilidades observadas descubiertas en una organización de tamaño empresarial se encontraban en endpoints y bajo ataque activo, lo que proporciona a los CISOs una visión clara de la Zona Roja y dónde deben priorizar los esfuerzos para minimizar su riesgo y centrar el parcheo.

Ransomware en busca de dinero

El área de Respuesta a Incidentes (IR) de FortiGuard Labs ha determinado que el cibercrimen con motivación financiera generó el mayor volumen de incidentes (73,9%), muy por delante del atribuido al espionaje (13%).

En todo el año 2022, el 82% de los ciberdelitos con fines económicos utilizaron ransomware o scripts maliciosos, lo que demuestra que la amenaza global de ransomware sigue en plena vigencia sin evidencia de desaceleración gracias a la creciente popularidad de Ransomware-as-a-Service (RaaS) en la dark web.

De hecho, el volumen de ransomware aumentó un 16 % con respecto al primer semestre de 2022. De un total de 99 familias de ransomware observadas, las cinco principales representaron aproximadamente el 37% de toda la actividad de ransomware durante la segunda mitad del año. GandCrab, un malware RaaS que surgió en 2018, encabezaba la lista. Aunque los delincuentes detrás de GandCrab anunciaron que se retiraban después de obtener más de 2.000 millones de dólares de beneficios, durante el tiempo que este ransomware estuvo activo proliferaron sus variantes. Es posible que el legado a largo plazo de este grupo delictivo siga perpetuándose, o que el código simplemente se haya desarrollado, modificado y relanzado, poniendo en valor la importancia de las asociaciones globales entre todo tipo de organizaciones para desmantelar las operaciones delictivas. La desarticulación eficaz de las cadenas de suministro de los ciberdelincuentes requiere un esfuerzo coordinado a nivel mundial basado en relaciones sólidas y de confianza y en la colaboración entre las partes interesadas en la ciberseguridad de organizaciones e industrias públicas y privadas.

La reutilización de código demuestra el ingenio de los cibercriminales

Los ciberdelincuentes son emprendedores por naturaleza y siempre buscan maximizar las inversiones y los conocimientos existentes para que sus ataques sean más eficaces y rentables. La reutilización de código es una forma eficiente y lucrativa para lograr sus objetivos, a la vez que realizan cambios en las variantes del malware para afinar sus ataques y superar los obstáculos defensivos.

Cuando FortiGuard Labs analizó el malware más prevalente en la segunda mitad de 2022, la mayoría de los primeros puestos estaban ocupados por malware con más de un año de antigüedad. FortiGuard Labs examinó además una colección de diferentes variantes de Emotet para analizar su tendencia a tomar prestado y reutilizar código. La investigación mostró que Emotet ha pasado por una evolución significativa con variantes que se dividen en aproximadamente seis "especies" diferentes de malware. Es decir, los ciberdelincuentes no se limitan a automatizar las amenazas, sino que adaptan activamente el código para hacerlo aún más eficaz.

La resurrección de la red de bots más antigua

Además de la reutilización de código, los atacantes también aprovechan la infraestructura existente y las amenazas más antiguas para maximizar las oportunidades. Al examinar la prevalencia de las amenazas de redes de bots, FortiGuard Labs descubrió que muchas de las principales redes de bots no son nuevas. Por ejemplo, la red Morto, que se observó por primera vez en 2011, se disparó a finales de 2022. Y otras como Mirai y Gh0st.Rat siguen siendo frecuentes en todas las regiones. Sorprendentemente, de las cinco principales redes de bots observadas, solo RotaJakiro es de esta década.

Aunque pueda resultar tentador dar por olvidadas las amenazas más antiguas, es necesario mantenerse alerta. Estas redes de bots "antiguas" son omnipresentes por una razón: siguen siendo altamente eficaces. Los ciberdelincuentes con más recursos seguirán aprovechando la infraestructura de botnets existente y la mejorarán con versiones cada vez más persistentes gracias a técnicas altamente especializadas, ya que el retorno de la inversión es importante. En concreto, en la segunda mitad de 2022, entre los objetivos más importantes de Mirai se encontraban los proveedores de servicios de seguridad gestionados (MSSP), el sector de las telecomunicaciones y las operadoras, y el sector industrial, conocido por su omnipresente tecnología operativa (OT). Los delincuentes se coordinan para atacar estas industrias con métodos ya probados.

Log4j, en el punto de mira de los ciberdelincuentes

Incluso con toda la publicidad que Log4j tuvo en 2021 y principios de 2022, un número significativo de organizaciones todavía no han parcheado o aplicado los controles de seguridad adecuados para protegerse contra una de las vulnerabilidades más notables de la historia.

En la segunda mitad de 2022, Log4j seguía siendo muy activo en todas las regiones. De hecho, FortiGuard Labs confirmó que el 41% de las organizaciones detectaron actividad de Log4j, lo que confirma lo extendida que sigue estando esta amenaza. La actividad de Log4j IPS fue más frecuente en los sectores tecnológico, gubernamental y educativo, lo que no debería sorprender, dada la popularidad de Apache Log4j como software de código abierto.

Análisis de la historia del malware, la urgencia de concienciar a los usuarios

El análisis de las estrategias de los cibercriminales nos proporciona información valiosa sobre cómo están evolucionando las técnicas y tácticas de ataque para protegernos mejor ante futuros escenarios. FortiGuard Labs observó la funcionalidad del malware detectado, basado en datos de sandbox, para rastrear cómo se extendía. Es importante tener en cuenta que esto sólo se refiere a las muestras detonadas dentro de un sandbox.

Al revisar las ocho principales tácticas y técnicas observadas en el sandboxing, el drive-by-compromise fue la táctica más popular utilizada por los delincuentes para acceder a los sistemas de las organizaciones en todas las regiones del mundo. Los delincuentes acceden principalmente a los sistemas de las víctimas cuando el usuario desprevenido navega por Internet y descarga involuntariamente una carga maliciosa visitando un sitio web comprometido, abriendo un archivo adjunto malicioso en un correo electrónico o incluso haciendo clic en un enlace o en una ventana emergente engañosa. El problema de la táctica drive-by es que una vez que se accede a la carga maliciosa y se descarga, a menudo es demasiado tarde para que el usuario pueda escapar del peligro, a menos que tenga un enfoque holístico de la seguridad.

Cambios para afrontar el panorama de amenazas

Fortinet es líder en ciberseguridad empresarial e innovación en redes y ayuda a los CISO y a los equipos de seguridad a romper la cadena de ataques, minimizar el impacto de los incidentes de seguridad y prepararse mejor ante posibles ciberamenazas.

La suite de soluciones de seguridad de Fortinet incluye una amplia variedad de potentes herramientas como firewalls de nueva generación (NGFW), monitorización y análisis de red, detección y respuesta de endpoints (EDR), detección y respuesta ampliadas (XDR), protección frente a riesgos digitales (DRP), gestión de eventos e información de seguridad (SIEM), sandboxing online, técnicas de engaño, orquestación, automatización y respuesta de seguridad (SOAR), entre otras. Estas soluciones proporcionan funciones avanzadas de detección y prevención de amenazas que pueden ayudar a las organizaciones a identificar y responder rápidamente a los incidentes de seguridad en toda su superficie de ataque.

Para complementar estas soluciones y apoyar a los equipos con escasez de personal debido a la carencia de talento en ciberseguridad, Fortinet también ofrece servicios de inteligencia y respuesta ante amenazas basados en el aprendizaje automático. Estos servicios proporcionan información actualizada sobre las últimas ciberamenazas y permiten a las empresas responder rápidamente a los incidentes de seguridad, minimizando el impacto en su organización. Los servicios de inteligencia de amenazas y de centros de operaciones de seguridad, basados en capital humano, de Fortinet también ayudan a los equipos de seguridad a prepararse mejor ante los ataques y proporcionan capacidades de monitorización de amenazas y respuesta a incidentes en tiempo real.

Esta completa suite de soluciones y servicios de ciberseguridad permite a los CISO y a los equipos de seguridad centrarse en su negocio y en proyectos de mayor prioridad.

Metodología del Índice Global de Amenazas

El último informe “Fortinet Global Threat Landscape” analiza la inteligencia colectiva de FortiGuard Labs, extraída de la amplia gama de sensores de Fortinet diseminados por todo el mundo durante el segundo semestre de 2022. De manera similar a como el marco ATT&CK de MITRE clasifica las tácticas, técnicas y procedimientos de los adversarios, con las tres primeras agrupaciones que abarcan el reconocimiento, el desarrollo de recursos y el acceso inicial, el Índice Global de Amenazas de FortiGuard Labs aprovecha este modelo para describir cómo los actores de las amenazas encuentran vulnerabilidades, construyen infraestructuras maliciosas y explotan sus objetivos. El informe también proporciona perspectivas globales y regionales, así como tendencias que afectan a entornos TI y OT.