To celebrate our 10th episode of the Strive podcast, I released an extended episode covering a real-life cyberattack, which brings to life some of the topics I’ve covered in previous episodes.
Investigué este ataque personalmente durante mi etapa trabajando en análisis forense y modelado de ataques, antes de incorporarme a Commvault. Los nombres de las empresas se han mantenido en el anonimato por razones obvias, pero esta ilustración te acercará un poco más a cómo se desarrolla una brecha de seguridad en el mundo real.
Un atacante desde dentro
Esta brecha de seguridad se produjo cuando el equipo de TI detectó una actividad inusual en la red. Todo comenzó con unas cuantas alertas de un sistema de detección de intrusiones que señalaban posibles anomalías en la red. Al principio, parecía una falsa alarma. Pero a medida que las alertas se hacían más frecuentes, el equipo se dio cuenta de que se enfrentaban a algo un poco más grave.
Las alertas que vio el equipo de TI fueron un ejemplo de «demasiado poco, demasiado tarde» en este caso. La actividad era tráfico de red estimulado por delincuentes que ya se comunicaban con su malware a través de comandos y control, lo que a veces se denomina C2.
Los atacantes comenzaron su campaña contra esta organización unos tres meses antes, con correos electrónicos de phishing diseñados para parecer comunicaciones internas legítimas.
And that’s of course all it took – just for one employee to click on the embedded malicious link. A remote access Trojan, a RAT, enabled the attackers to establish a foothold in the corporate network, and the weaponization phase of the attack was complete.
A continuación, utilizando una herramienta llamada Mimikatz, los delincuentes extrajeron las credenciales de la memoria del sistema, obteniendo acceso administrativo a la red corporativa. Ahora podían moverse lateralmente por la red, aprovechando otras vulnerabilidades en los sistemas sin parches para afianzarse aún más en la red.
A continuación, comenzaron a ejecutar de forma remota varios comandos en distintas máquinas y servidores de todo el entorno informático, con el fin de seguir preparándose para un ataque de ransomware.
Once they had full control and had gathered all the information about the targeted organization as was needed, which was about three months’ worth of reconnaissance in this case, the attackers deployed ransomware known as Ryuk, notorious for its ability to encrypt entire networks very quickly.
El impacto del ataque fue inmediato y devastador. Las aplicaciones empresariales críticas se paralizaron en cuestión de minutos. La organización ya no podía acceder a datos críticos como sistemas esenciales, información de clientes, registros financieros y documentos internos.
A continuación, los atacantes dejaron una nota de rescate en la que exigían un pago considerable en bitcoins para descifrar los datos. Ante esta situación, la organización puso en marcha su plan de respuesta ante incidentes. Comenzaron a aislar los sistemas afectados para evitar que el ransomware Ryuk se propagara aún más y contrataron a expertos en ciberseguridad para llevar a cabo una investigación exhaustiva.
La empresa afectada decidió NO pagar el rescate y, en su lugar, recurrir a las copias de seguridad del sistema y a técnicas de Recovery. El proceso de Recovery resultó complejo y llevó mucho tiempo. La organización tuvo que reconstruir gran parte de su infraestructura informática, prácticamente desde el hardware.
Pasos básicos para la recuperación
El primer paso que dio la organización fue la contención, aislando los sistemas infectados para evitar que el ransomware se propagara aún más. A continuación vino la erradicación, la tarea de eliminar el software malicioso y limpiar la red en la medida de lo posible utilizando herramientas antimalware avanzadas.
Tras varios días trabajando en la contención y erradicación, por fin pudo comenzar el proceso de restauración. Por desgracia, algunas copias de seguridad críticas se vieron comprometidas por el ransomware. Y el proceso de restauración fue extremadamente lento.
Se tardó ocho días en determinar cuáles eran los últimos puntos de recuperación limpios para la mayoría de las aplicaciones empresariales críticas. Se perdieron muchos datos recientes y la empresa estuvo a punto de llegar a un punto crítico antes de que se pudieran recuperar por completo los sistemas críticos.
Una vez que los sistemas críticos volvieron a estar operativos, se inició un proceso de supervisión rigurosa. En este caso, fue necesario implementar soluciones de supervisión mejoradas para intentar atacar cualquier indicio de actividad maliciosa residual.
Todo esto dependía de una comunicación exhaustiva con las partes interesadas internas y externas sobre la propia infracción y las medidas que se estaban tomando para mitigar sus efectos.
Lecciones aprendidas de la infracción
Este incidente pone de relieve varias lecciones fundamentales para las organizaciones de todos los tamaños:
En primer lugar, es esencial impartir formación periódica sobre ciberseguridad a los empleados. El escepticismo hacia el correo electrónico y los posibles intentos de phishing podrían haber frustrado la brecha inicial tres meses antes de que se detectara el indicador de compromiso.
Es absolutamente fundamental disponer de copias de seguridad actualizadas, almacenadas fuera de línea, inmutables y que no puedan verse comprometidas. Y, por supuesto, la realización de pruebas periódicas de dichas copias de seguridad habría garantizado, en este caso, que se pudiera confiar en ellas ante esta emergencia. La realización de pruebas periódicas de restauración en una sala limpia habría ahorrado a esta organización una gran cantidad de tiempo de Recovery.
La implementación de la autenticación multifactorial habría reducido significativamente los riesgos asociados con el robo de credenciales que observamos.
El uso de técnicas avanzadas de detección de amenazas y anomalías podría haber ayudado a identificar y mitigar las amenazas de forma temprana y casi en tiempo real.
The organization’s full recovery here took several months, during which they operated at a significant reduced capacity. The financial cost here was immense, not only in terms of recovery expenses, but also in lost business and reputational damage.
Este ataque sirve como un claro recordatorio de las amenazas siempre presentes que rodean a todas nuestras empresas y de la necesidad de estar alerta y preparados. Los ciberdelincuentes evolucionan constantemente sus tácticas, y debemos ir un paso por delante para proteger nuestras empresas y nuestros datos.Echa un vistazo al episodio completo aquí.
