Sophos, líder mundial en innovación y ciberseguridad como servicio, publica el informe “The Bite from Inside: The Sophos Active Adversary Report”, una mirada en profundidad a los comportamientos cambiantes y las técnicas de ataque que los adversarios utilizaron en la primera mitad de 2024.
Los datos, derivados de casi 200 casos de respuesta a incidentes (IR) tanto del equipo IR de Sophos X-Ops como del equipo Managed Detection and Response (MDR) de Sophos X-Ops, revelan que los atacantes están aprovechando aplicaciones y herramientas de confianza en sistemas Windows, comúnmente llamados binarios “living off the land”, para realizar exploraciones en los sistemas y mantener la persistencia. Cuando se Una caricatura de una persona.
Sophos ha detectado un aumento del 51% en el abuso de binarios “living off the land” o LOLbins. Desde 2021, este aumento ha sido de un 83%. Entre los 187 LOLbins únicos de Microsoft detectados en la primera mitad del año, la aplicación de confianza de la que más se abusó fue el Protocolo de Escritorio Remoto (RDP). De los casi 200 casos de IR analizados, los atacantes abusaron de RDP en el 89% de ellos. Este predominio continúa una tendencia observada por primera vez en el Active Adversary Report 2023, en el que el abuso de RDP fue frecuente en el 90% de todos los casos de IR investigados.
“Living off the land no sólo ofrece discreción a las actividades de un atacante, sino que también proporciona un respaldo tácito a sus actividades. Mientras que abusar de algunas herramientas legítimas puede levantar las cejas de algunos defensores, y con suerte algunas alertas, abusar de un binario de Microsoft a menudo tiene el efecto contrario. Muchas de estas herramientas de Microsoft de las que se abusa son parte integral de Windows y tienen usos legítimos, pero depende de los administradores de sistemas entender cómo se utilizan en sus entornos y qué constituye un abuso. Sin un conocimiento matizado y contextual del entorno, que incluya una vigilancia continua de los sucesos nuevos y en desarrollo dentro de la red, los equipos de TI actuales corren el riesgo de pasar por alto actividades de amenazas clave que a menudo conducen al ransomware”, afirma John Shier, CTO Field en Sophos.
Además, el informe ha descubierto que, a pesar de que el gobierno interrumpió la actividad del sitio web principal de filtraciones y la infraestructura de LockBit en febrero, LockBit ha sido el grupo de ransomware con más ataques detectados, representando aproximadamente el 21% de las infecciones en la primera mitad de 2024.
