En esta sección Usted encontrará información pertinente y actualizada respecto a los ciberataques que enfrentamos hoy a nivel mundial, esta información es válida tanto para personal técnico como para los no tan técnicos. Tratamos de simplificar la información que reciben nuestros usuarios a fin de que puedan entender a qué se enfrenta día a día su infraestructura.
Si usted es dueño de una PyME o participa en una ONG y quiere entender porqué su organización podría estar en riesgo
Lea: Los ciberataques más comunes a PyMEs y ONGsEl viernes 19 de Julio de 2024, cerca de 8,5 millones de sistemas Windows cayeron en uno de las más importantes "caídas de sistema" de la historia. La causa fue una actualización que contenía una falla en la configuración del software de seguridad "CrowdStrike Falcon", generando la temida "Pantalla azul de la muerte" (BSOD) en todas las máquinas afectadas. Tomando en cuenta el foco del CrowdStrike Falcon Enterprise, el impacto fue enorme, afectando numerosos sistemas críticos en diversos sectores.
La caídas afectaron diversas áreas incluyendo aeropuertos, hospitales, bancos, centrales de energía, agencias de noticias y organizaciones gubernamentales. Las consecuencias fueron de largo alcance:
La tarea de restaurar los sistemas no fue algo simple, los usuarios tuvieron que iniciar en modo a prueba de fallos para borrar archivos en forma manual mientras Microsoft liberaba una herramienta que permitió crear un USB de recuperación, cada sistema afectado requirió intervención manual. En algunos casos, reiniciar las máquinas repetidas veces permitió solucionar el problema, pero esto no es en ningún caso una solución confiable.
La demora en difundir la información para corregir el problema significó que algunas de las compañías más grandes del mundo tuvieran que detener sus operaciones, potencialmente perdiendo billones de dólares en el proceso. Reddit está lleno de historias sobre administradores de TI perdiendo sus trabajos, enfrentando amenazas legales o trabajando 24 horas tratando de restaurar sus sistemas. Muchas compañías vieron miles de sistemas afectados.
El post-mortem inicial de CrowdStrike, identificó el problema con el archivo C-00000291*.sys, diseñado para preparar el Falcon EDR para que detectara malware aprovechando una vulnerabilidad de Windows al utilizar "Named pipes" para la comunicación C2. Desafortunadamente esta actualización causó un error de lógica a nivel del kernel de Windows provocando la temida BSOD. Tan pronto como la actualización se fue propagando, los sistemas comenzaron a fallar.
Malware o “software malicioso” es un término amplio que describe cualquier programa o código malicioso que es dañino para los sistemas. El malware hostil, intrusivo e intencionadamente desagradable intenta invadir, dañar o deshabilitar ordenadores, sistemas informáticos, redes, tabletas y dispositivos móviles, a menudo asumiendo el control parcial de las operaciones de un dispositivo. Al igual que la gripe, interfiere en el funcionamiento normal. La intención del malware es sacarle dinero al usuario ilícitamente. Aunque el malware no puede dañar el hardware de los sistemas o el equipo de red —con una excepción que se conozca (vea la sección Android de Google)—, sí puede robar, cifrar o borrar sus datos, alterar o secuestrar funciones básicas del ordenador y espiar su actividad en el ordenador sin su conocimiento o permiso.
Una de las modalidades de ataque más antigua y que aprovecha una "vulnerabilidad" que la da el comportamiento nativo de un servicio, que es obviamente, responder a los requerimientos, el ataque consiste en hacer peticiones recurrentes y concurrentes a un servidor de tal forma que el servidor termine por agotar sus recursos y deje de responder.
Existen dos modalidades básicas de denegación de servicios: DoS y DDoS. El primero se realiza desde una ip, el segundo, el más complejo, se realiza en forma concurrente desde muchas IPs, un ejemplo clásico hoy en día es las famosas "botnets" que son redes de muchos computadores "robot" que realizan múltiples ataques en forma simultánea. Asimismo, muchos de estos robots son capaces de inyectar malware en las máquinas atacadas, convirtiéndolas a su vez en "robot".
Denominamos Phishing al conjunto de técnicas que persiguen el engaño a una víctima ganándose su confianza haciéndose pasar por otra persona u organización de confianza (suplantado efectivamente la identidad de este tercero de confianza), para manipularla y hacer que realice acciones que no debería (por ejemplo, revelar información confidencial o hacer click en un enlace).
Para que el engaño sea eficiente, habitualmente se hace uso de la ingeniería social explotando los instintos sociales de la gente como es de ayudar o un otro. También mediante la vaniddad inherente a todo ser humano, explotando por ejemplo su necesidad de ser reconocido, baja autoestima, o incluso su necesidad de un nuevo empleo. La forma más efectiva de llegar a la víctima es por ejemplo, enviando correos electrónicos o mostrando avisos publicitarios desde una "web válida y conocida" donde se le invita a seguir un enlace. A veces también explotan vulnerabilidades de su browser, teléfono celular u otros. Habitualmente el objetivo es robar información, pero otras veces es instalar malware, sabotear sistemas, o robar dinero a través de fraudes. El phising está considerada una de las técnicas de robos de datos sensiblesmás utilizada.Dado el creciente número de denuncias de incidentes relacionados con el phishing, se requieren métodos adicionales de protección. Se han realizado intentos con leyes que castigan la práctica y campañas para prevenir a los usuarios con la aplicación de medidas técnicas a los programas. Pero dado el caracter "social" y "humano" de este tipo de ataque, nada parecer ser efectivo.
El spoofing o suplantación de identidad, hace referencia al uso de técnicas a través de las cuales un atacante, generalmente con usos maliciosos o de investigación, se hace pasar por una entidad distinta a través de la falsificación de los datos en una comunicación. Conocemos varios tipos de suplantación:
Llamamos Inyección de código a la posibilidad de "inyectar" código arbitrariamente a una aplicación, fuera de las instrucciones que tiene definidas por programación y ocurre cuando es posible enviar datos inesperados a un intérprete de código. Estos problemas son muy comunes en código antiguo. Se encuentran frecuentemente en consultas SQL, LDAP, Xpath o NoSQL; comandos de sistema operativo; analizadores sintácticos de XML; cabeceras SMTP; parámetros de funciones; etc. Estos defectos son fáciles de encontrar cuando se examina el código, sin embargo son difíciles de descubrir mediante pruebas funcionales. Existen utilidades de escaneo que pueden ayudar a encontrar estos problemas. Una inyección de código puede resultar en la pérdida o corrupción de datos, falla de respuesta a acciones o denegación de acceso. Una inyección puede incluso tomar control total de un sistema. Las técnicas de inyección de código son populares en el hacking y cracking para conseguir acceder a información restringida, para escalar privilegios o para conseguir acceder a sistemas restringidos. Este tipo de ataques pueden ser usados con objetivos malintencionados para conseguir diversos fines como por ejemplo:
El Envenenamiento de caché DNS o envenenamiento de DNS (DNS cache poisoning o DNS poisoning) es una situación creada de manera maliciosa o no deseada que provee datos de un servidor de nombres de dominio (DNS) que no se origina de fuentes autoritativas DNS. Esto puede pasar debido a diseños inapropiados de software, falta de configuración de nombres de servidores y escenarios maliciosamente diseñados que explotan la arquitectura tradicionalmente abierta de un sistema DNS. Una vez que un servidor DNS ha recibido aquellos datos no autentificados y los almacena temporalmente para futuros incrementos de desempeño, es considerado envenenado, extendiendo el efecto de la situación a los clientes del servidor. Normalmente, un computador conectado a Internet utiliza un servidor DNS proporcionado por el proveedor de servicios de Internet (ISP). Este DNS generalmente atiende solamente a los propios clientes del ISP y contiene una pequeña cantidad de información sobre DNS almacenada temporalmente por usuarios previos del servidor. Un ataque de envenenamiento (poisoning attack) de un solo servidor DNS de un ISP puede afectar a los usuarios atendidos directamente por el servidor comprometido o indirectamente por los servidores dependientes del servidor. Esta técnica puede ser usada para reemplazar arbitrariamente contenido de una serie de víctimas con contenido elegido por un atacante. Por ejemplo, un atacante envenena las entradas DNS de direcciones IP para un sitio web objetivo, reemplazándolas con la dirección IP de un servidor que él controla. Luego, el atacante crea entradas falsas para archivos en el servidor que él controla con nombres que coinciden con los archivos del servidor objetivo. Estos archivos pueden contener contenido malicioso, como un virus o malwar. Un usuario cuyo computador ha referenciado al servidor DNS envenenado puede ser engañado al creer que el contenido proviene del servidor objetivo y sin saberlo descarga contenido malicioso.
La ingeniería social es la práctica ilegítima de obtener información confidencial a través de la manipulación de usuarios legítimos. Es un conjunto de técnicas que pueden usar ciertas personas para obtener información, acceso o permisos en sistemas de información que les permitan realizar daños a la persona u organismos comprometidos y es utilizado en diversas formas de estafas y suplantacion de identidad. El principio que sustenta la ingeniería social es el de que, en cualquier sistema, los usuarios son el "eslabón más débil de la cadena". Investigaciones recientes realizadas en 2020 han indicado que la ingeniería social será uno de los desafíos más destacados de la próxima década. Tener competencia en ingeniería social será cada vez más importante para las organizaciones y los países, debido también al impacto en la geopolítica. La ingeniería social plantea la cuestión de si nuestras de cisiones estarán informadas con precisión si nuestra información primaria está diseñada y está sesgada.
Hay ciertas medidas que se pueden recomendar para limitar el daño que puede causar un ciberataque: