Catálogo de ataques

¿Qué es un ciberataque?

Un ataque cibernético es un intento deliberado y malicioso por parte de individuos u organizaciones para violar los sistemas de información de otra persona, empresa o entidad gubernamental. El objetivo suele ser robar, alterar, destruir o acceder sin autorización a datos o interrumpir operaciones digitales.

Comprender los motivos detrás de los ciberataques

Los atacantes cibernéticos pueden estar motivados por diversos objetivos, como los que se discuten a continuación.

Ganancia financiera

La ganancia financiera es la motivación más común detrás de los ataques de ciberseguridad, donde los atacantes buscan un beneficio monetario directo o indirecto. Los métodos de ataque típicamente empleados para obtener ganancias financieras incluyen ransomware, phishing y troyanos bancarios.

• En un ataque de ransomware, un software malicioso cifra los datos de la víctima y el atacante exige un rescate para descifrarlos. Ejemplos destacados incluyen WannaCry y REvil.
• En el phishing, correos electrónicos o mensajes falsos engañan a los usuarios para que revelen datos personales como contraseñas o información de tarjetas de crédito. Estos luego se usan para robo o fraude.
• Para los troyanos bancarios, malware como Zeus o Emotet apunta específicamente a las credenciales bancarias para desviar fondos de las cuentas de las víctimas.

Espionaje

El ciberespionaje, que incluye el espionaje corporativo y el espionaje estatal, se lleva a cabo para recopilar información confidencial o sensible para obtener una ventaja estratégica.

• En el espionaje corporativo, competidores o criminales roban secretos comerciales, datos de I+D o estrategias empresariales.
• En el espionaje entre estados-nación, grupos patrocinados por el estado hackean agencias gubernamentales, contratistas de defensa o empresas extranjeras. Ejemplos incluyen APT10 de China y Fancy Bear de Rusia.

Hacktivismo

Los hacktivistas utilizan ataques cibernéticos para promover una causa política, social o ambiental. Estos ataques están impulsados ideológicamente, en lugar de buscar un beneficio personal o nacional. Las tácticas comunes de ataque incluyen la desfiguración de sitios web, filtraciones de datos y denegación de servicio (DoS).

Guerra cibernética

Los ataques de guerra cibernética están motivados políticamente y suelen ser patrocinados por el estado, causando interrupciones o miedo. El ataque Stuxnet al programa nuclear de Irán es un buen ejemplo de este tipo de ataque.

• En ataques patrocinados por el gobierno, los estados desarrollan capacidades para atacar infraestructuras críticas, como redes eléctricas o sistemas militares. Un ejemplo clásico es el ataque Stuxnet al programa nuclear de Irán.
• La guerra híbrida combina operaciones militares tradicionales con ataques cibernéticos para desestabilizar a los oponentes.

Amenazas internas

Las amenazas internas provienen de personas dentro de una organización que tienen acceso a información sensible. Por ejemplo:

• Los empleados o contratistas pueden hacer un uso indebido del acceso debido a incentivos financieros, coerción, venganza o negligencia.
• Algunos empleados internos pueden robar datos deliberadamente, filtrar secretos o sabotear sistemas.
• Los errores de los empleados internos, como hacer clic en enlaces de phishing o manejar mal los datos, también pueden causar daños.

Tipos más comunes de ataques cibernéticos

Algunos de los tipos más comunes de ataques en ciberseguridad se discuten a continuación.

Ataques de malware

El malware está diseñado para dañar, explotar o comprometer de alguna otra manera un dispositivo, red o servicio.

Tipos de claves:

1. Troyanos: disfrazados como software legítimo pero que dan a los atacantes acceso al sistema
2. Gusanos - Malware autorreplicante que se propaga sin interacción humana
3. Software espía: monitorea secretamente la actividad del usuario y recopila información
4. Adware: entrega automáticamente anuncios no deseados, a veces con funciones de spyware
5. Rootkits: permiten a los atacantes mantener acceso persistente mientras ocultan su presencia

Amenazas persistentes avanzadas (APT)

Los APT son ataques dirigidos y a largo plazo, a menudo orquestados por adversarios bien financiados (típicamente estados-nación). Estos ataques buscan infiltrarse en redes y permanecer sin ser detectados durante meses o años, recopilando inteligencia o manipulando sistemas silenciosamente. Un ejemplo es la brecha de SolarWinds (2020), donde un APT atacó agencias federales y empresas de EE.UU.

Phishing y Ingeniería Social

Estos ataques manipulan a las personas para que divulguen información sensible o realicen acciones que comprometen la seguridad.

Tipos de phishing:

1. Spear phishing - Correos electrónicos altamente dirigidos a individuos u organizaciones específicas utilizando información personal
2. Spear phishing a altos cargos - Dirigido a ejecutivos senior o objetivos de alto perfil dentro de una organización
3. Compromiso de correo electrónico empresarial (BEC) - Los estafadores suplantan o hackean cuentas de correo electrónico empresariales para engañar a los empleados y que transfieran fondos o compartan información confidencial

Ejemplo del mundo real:

1. Un caso importante involucró a Ubiquiti Networks perdiendo más de 46,7 millones de dólares después de que una estafa BEC engañara a los empleados para que transfirieran dinero a cuentas controladas por atacantes.

Ransomware

El ransomware cifra los datos de la víctima y exige un rescate para la descifrado, representando amenazas tanto técnicas como financieras.

En sus primeras etapas, el ransomware consistía en ataques simples basados en cifrado con una única demanda de rescate. Hoy en día ha evolucionado a la doble extorsión, donde los atacantes no solo cifran los datos, sino que también exfiltran archivos sensibles. Luego amenazan con filtrar públicamente los datos robados si no se paga el rescate. Esto añade presión reputacional y legal sobre las víctimas para que paguen.

Los principales grupos de ransomware son:

1. LockBit –Las tácticas incluyen Ransomware como Servicio (RaaS), Doble Extorsión y Automatización.
2. Conti – Este grupo tiene un equipo muy sofisticado que utiliza la Doble Extorsión para una negociación agresiva.
3. Revil – Las tácticas incluyen ataques a la cadena de suministro, extorsión doble y triple, y ataques DDoS.

Ataques de Denegación de Servicio (DoS) y Denegación de Servicio Distribuida (DDoS)

Un ataque DoS (Denegación de Servicio) es un intento malicioso de hacer que un servidor, servicio o recurso de red no esté disponible para los usuarios al saturarlo con una avalancha de solicitudes ilegítimas.

1. Realizado utilizando una única fuente (una computadora o servidor)
2. Simple y más fácil de rastrear y bloquear
3. Normalmente no implica una botnet

Un ataque DDoS (Denegación de Servicio Distribuida) es una forma más sofisticada de DoS, que utiliza múltiples sistemas comprometidos (a menudo distribuidos globalmente) para inundar un objetivo, haciendo que el ataque sea más difícil de bloquear y mitigar.

• Utiliza múltiples fuentes, normalmente cientos o miles de dispositivos en una botnet
• Mucho más difícil de defender, ya que el tráfico proviene de direcciones IP distribuidas en todo el mundo
• El tráfico de ataque puede imitar a usuarios legítimos, lo que hace que la mitigación sea compleja

Cómo los botnets ejecutan un ataque DDoS

• Las botnets se construyen infectando dispositivos vulnerables mediante phishing, malware o explotando sistemas sin parches.
• El botmaster se comunica con los bots a través de una estructura de comando centralizada o entre pares.
• Se instruye a los bots para que envíen simultáneamente grandes cantidades de tráfico a un objetivo específico (servidor, servicio o red).
• El objetivo se sobrecarga, lo que provoca fallos en el servidor, congestión de la red y la indisponibilidad del servicio.

Impacto en servicios críticos

• Los servicios en línea, incluidos la banca, los portales gubernamentales, los sistemas de salud y las plataformas de comercio electrónico, pueden volverse inaccesibles.
• Las organizaciones pueden sufrir pérdidas directas de ingresos y gastar mucho en mitigación y recuperación.
• La confianza en el proveedor de servicios puede verse gravemente dañada.
• Los ataques DDoS pueden actuar como distracciones mientras los atacantes infiltran sistemas para el robo de datos u otras actividades maliciosas.

Exploits de día cero

Una vulnerabilidad Zero-Day es una falla de seguridad en software o hardware que es desconocida para el proveedor o desarrollador. Por lo tanto, permanece sin parchear y explotable.

Un exploit de día cero es una herramienta o método desarrollado por atacantes para aprovechar una vulnerabilidad de día cero. Estos exploits pueden venderse en la web oscura o usarse en espionaje, ciberdelincuencia o ataques dirigidos.

Los exploits de día cero son peligrosos debido a:

• Sin defensa - Los sistemas de seguridad tradicionales (antivirus, cortafuegos) podrían no detectarlos
• Alto impacto - Puede conducir al robo de datos, control remoto de sistemas o compromiso total del sistema
• Riesgo generalizado - Usado contra individuos, empresas y gobiernos

Ciclo de vida de una amenaza de día cero

1. Descubrimiento - Encontrado por hackers, investigadores o criminales
2. Explotación - Usado en ataques antes de que el proveedor esté al tanto
3. Divulgación - Eventualmente reportado
4. Parche - El proveedor lanza una actualización o corrección
5. Post-Día - Una vez parcheado, ya no es “zero-day”

Ataques de intermediario (MitM)

Un ataque MitM ocurre cuando un actor malicioso intercepta secretamente y posiblemente altera las comunicaciones entre dos partes que creen que se están comunicando directamente entre sí.

Cómo los atacantes interceptan y manipulan las comunicaciones

1. Métodos de intercepción
   1. Puntos de acceso Wi-Fi falsos: redes falsas que parecen legítimas, engañando a los usuarios para que se conecten
   2. Captura de paquetes - Captura de paquetes de datos en redes no seguras usando herramientas como Wireshark
   3. Secuestro de sesión: robar cookies de sesión para suplantar usuarios
   4. Suplantación de DNS - Redirigiendo a los usuarios a sitios web falsos alterando las respuestas DNS
2. Técnicas de manipulación
   1. Inyección de datos: inserción de contenido malicioso (por ejemplo, páginas de inicio de sesión falsas) en el tráfico web
   2. SSL Stripping - Degradando conexiones HTTPS a HTTP, haciendo que los datos no estén cifrados
   3. Robo de credenciales: captura de nombres de usuario, contraseñas o información de pago

Riesgos del Wi-Fi público

Las redes Wi-Fi públicas son objetivos principales para ataques MitM debido a su seguridad débil.

• Muchas redes carecen de cifrado WPA3/WPA2, lo que permite a los atacantes ver datos no protegidos
• Los atacantes imitan redes legítimas, haciendo que los usuarios se conecten a una maliciosa
• Los dispositivos a menudo se reconectan automáticamente a redes conocidas, lo que puede ser explotado

Inyección SQL y Cross-Site Scripting (XSS)

La inyección SQL ocurre cuando los atacantes insertan sentencias SQL maliciosas en campos de entrada (como cuadros de búsqueda o formularios de inicio de sesión), que luego son ejecutadas por la base de datos del backend. Esto resulta en:

1. Acceso no autorizado a datos sensibles (nombres de usuario, contraseñas, registros financieros)
2. Modificación o eliminación de contenidos de la base de datos
3. Control total de la base de datos en casos graves

El Cross-Site Scripting permite a los atacantes inyectar scripts maliciosos (generalmente JavaScript) en páginas web vistas por otros. Estos scripts se ejecutan en el navegador de la víctima. Los tipos de XSS incluyen:

• XSS almacenado - El script malicioso se almacena permanentemente en el servidor
• XSS reflejado - El script se refleja en un servidor web, a menudo a través de parámetros de URL
• XSS basado en DOM - Manipulación del entorno DOM en el navegador

XXS tiene consecuencias, tales como:

• Robo de cookies de sesión (que conduce al secuestro de cuentas)
• Redirección a sitios web maliciosos
• Ataques de keylogging o phishing

Túnel DNS y suplantación

Túnel DNS implica codificar datos dentro de consultas y respuestas DNS para establecer un canal de comunicación oculto entre un sistema comprometido y un servidor externo (generalmente controlado por un atacante). Mientras que el DNS se usa típicamente para resolver nombres de dominio a direcciones IP, los atacantes explotan su ubicuidad y permisividad en las redes.

Cómo funciona el túnel DNS

1. Un endpoint está comprometido por malware.
2. El malware codifica datos (como credenciales de usuario, archivos) en solicitudes DNS.
3. Estas solicitudes DNS se envían a un dominio malicioso (controlado por el atacante).
4. El servidor DNS del atacante interpreta las solicitudes, responde con comandos o recopila datos exfiltrados.

Es peligroso porque:

• El tráfico DNS a menudo es pasado por alto por las herramientas de seguridad tradicionales.
• Los cortafuegos suelen permitir el tráfico DNS por defecto.
• Los atacantes pueden exfiltrar datos lentamente para evitar la detección.

Suplantación de DNS, también conocida como envenenamiento de caché DNS, manipula las respuestas DNS para redirigir a los usuarios a sitios maliciosos sin su conocimiento.

Cómo funciona el DNS Spoofing

• Los atacantes corrompen la caché de un resolvedor DNS con entradas DNS falsificadas.
• Cuando un usuario intenta acceder a un dominio legítimo, es redirigido a un sitio web falso.
• Los usuarios pueden ingresar credenciales de inicio de sesión o descargar malware sin darse cuenta.

Por qué es efectivo

• Los usuarios ven el nombre de dominio esperado en la barra de direcciones.
• Es ideal para hacerse pasar por servicios legítimos.
• Puede afectar a redes enteras si la caché del resolvedor está envenenada.

La cadena de eliminación cibernética: cómo se desarrollan los ataques de ciberseguridad

La Cadena de Eliminación Cibernética es un marco desarrollado por Lockheed Martin para describir las etapas de un ciberataque desde el punto de vista del atacante. Comprender cada fase puede ayudar a las organizaciones a detectar, defenderse y mitigar los ataques de manera más efectiva.

Reconocimiento

El objetivo aquí es recopilar información sobre el objetivo para prepararse para un ataque. La inteligencia de fuentes abiertas (OSINT), el raspado de redes sociales, el análisis de sitios web y el escaneo de dominios e IP son algunos métodos utilizados para recopilar inteligencia. Las áreas de enfoque incluyen nombres de empleados, estructuras organizativas, detalles del sistema y tecnologías utilizadas (como software, plataformas).

Armatización

Los atacantes crean un ataque personalizado basado en la inteligencia recopilada. El objetivo es empaquetar una carga útil que pueda vulnerar con éxito las defensas del objetivo. Los métodos de armamento incluyen la creación de malware (por ejemplo, ransomware, troyanos, herramientas de acceso remoto), el desarrollo de exploits para vulnerabilidades conocidas y el diseño de cebos de phishing convincentes o documentos maliciosos.

Entrega

El siguiente paso es transmitir el arma a la víctima, es decir, asegurar que la carga útil llegue al sistema objetivo sin levantar alarmas. Los métodos de entrega incluyen correos electrónicos de phishing con enlaces o archivos adjuntos maliciosos, comprometer un sitio web legítimo para descargar automáticamente malware al ser visitado, e infiltrarse en un proveedor o tercero para entregar el ataque.

Explotación

La explotación es cuando se activa un código malicioso para aprovechar una vulnerabilidad, con el objetivo de obtener acceso no autorizado o control sobre el sistema objetivo. Explotar software sin parches o vulnerabilidades de día cero y engañar a los usuarios para que ejecuten código malicioso (ingeniería social) son algunos métodos de explotación.

Instalación y Comando y Control (C2)

En esta fase, los atacantes establecen una base en el entorno de la víctima para mantener un acceso y control sigilosos y a largo plazo. Esto implica:

• Instalación - Colocación de puertas traseras, spyware u otro malware persistente
• Comando y Control (C2): Configuración de canales de comunicación (por ejemplo, tráfico web cifrado, tunelización DNS) para recibir instrucciones y extraer datos

Acción sobre los objetivos

Los atacantes logran su misión, ya sea ganancia financiera, espionaje o destrucción. Involucra los siguientes tipos de acciones:

• Robo de datos: robo de propiedad intelectual, información personal, registros financieros
• Compromiso del sistema - Escalamiento de privilegios, movimiento lateral dentro de las redes
• Interrupción operativa: lanzamiento de ransomware, sabotaje de sistemas, causando daños reputacionales

Prevención de ataques cibernéticos: Mejores prácticas para individuos y empresas

La ciberseguridad es una responsabilidad compartida que requiere medidas proactivas tanto de individuos como de organizaciones. A continuación, algunas mejores prácticas para prevenir ataques cibernéticos.

Capacitación en concienciación sobre seguridad

El error humano es una de las principales causas de las brechas de datos. Las organizaciones que invierten en capacitación de concienciación sobre seguridad suelen ver una reducción en los ataques de phishing exitosos y una mejora en la postura de seguridad.

Mejores prácticas:

• Realice capacitaciones periódicas para mantener a los empleados informados sobre las últimas técnicas de phishing, estafas y amenazas internas.
• Implemente pruebas de phishing controladas para evaluar y mejorar la respuesta de los empleados a correos electrónicos sospechosos.
• Establezca procedimientos sencillos para reportar posibles incidentes de seguridad.
• Personalice los materiales de capacitación para abordar roles y departamentos específicos dentro de la organización.

Seguridad de endpoints y marco Zero Trust

Los endpoints como laptops y dispositivos móviles son puntos de entrada comunes para ciberataques. Un enfoque de Zero Trust asegura que cada solicitud de acceso sea verificada, sin importar su origen. Una estrategia de defensa en múltiples capas, como un marco de Zero Trust combinado con medidas robustas de seguridad en endpoints, reduce la superficie de ataque y mejora la capacidad de la organización para detectar y responder a las amenazas.

Mejores prácticas:

• Implemente la Arquitectura de Confianza Cero: adopte un modelo de seguridad que no asuma confianza implícita y verifique continuamente cada intento de acceso.
• Autenticación multifactor (MFA): requiere múltiples formas de verificación para acceder a sistemas y datos.
• Detección y Respuesta en el Punto Final (EDR) - Despliegue soluciones que monitorean y responden a amenazas en dispositivos finales.
• Actualizaciones y parches regulares: mantenga todos los dispositivos finales actualizados con los últimos parches de seguridad.

Gestión de parches y escaneo de vulnerabilidades

Las vulnerabilidades sin parchear son un objetivo común para los atacantes. Una gestión efectiva de parches, actualizaciones oportunas y un escaneo proactivo de vulnerabilidades pueden prevenir la explotación al reducir la ventana de oportunidad para los atacantes.

Mejores prácticas:

• Utilice herramientas que apliquen automáticamente parches a sistemas y aplicaciones.
• Concéntrese en parchear las vulnerabilidades que representan el mayor riesgo para la organización.
• Realice escaneos regulares de vulnerabilidades para identificar y remediar debilidades de seguridad.
• Mantenga una lista actualizada de todos los activos de hardware y software para garantizar una cobertura completa.

Respuesta a incidentes y resiliencia cibernética

A pesar de las medidas preventivas, los incidentes aún pueden ocurrir. Las organizaciones con estrategias sólidas de respuesta a incidentes y resiliencia pueden contener las amenazas de manera más efectiva y reanudar las operaciones con una interrupción mínima.

Mejores prácticas

• Desarrollar un Plan de Respuesta a Incidentes: crear una estrategia documentada que describa cómo detectar, responder y recuperarse de incidentes de seguridad.
• Realizar ejercicios de mesa - Simular incidentes cibernéticos para probar y perfeccionar los procedimientos de respuesta.
• Establecer protocolos de comunicación: definir canales de comunicación claros y responsabilidades durante un incidente.
• Invierte en Resiliencia Cibernética: implementa medidas que permitan a la organización mantener funciones esenciales durante y después de un ciberataque.

Seguridad en la nube y protección IoT

La proliferación de servicios en la nube y dispositivos IoT introduce nuevos desafíos de seguridad que requieren estrategias especializadas. Las organizaciones deben abordar las necesidades únicas de seguridad de los entornos en la nube y IoT para proteger datos sensibles y mantener la integridad de sus sistemas.

Mejores Prácticas

• Asegúrese de que los servicios en la nube y los dispositivos IoT estén configurados de forma segura, evitando configuraciones predeterminadas que puedan ser vulnerables.
• Implemente controles de acceso estrictos y monitoree los intentos de acceso no autorizados.
• Mantenga todos los dispositivos y servicios actualizados con los últimos parches de seguridad.
• Aísle los dispositivos IoT en redes separadas para limitar posibles brechas.

Cómo responder a un ataque de ciberseguridad

Responder eficazmente a un ciberataque es crucial para minimizar los daños y asegurar una recuperación rápida. Aquí hay una guía estructurada que describe los pasos clave.

Pasos inmediatos para contener un ataque

a. Aislar sistemas infectados
Desconecte los dispositivos comprometidos de la red para evitar la propagación de malware o accesos no autorizados. Esto puede implicar desconectar cables de red, desactivar Wi-Fi o apagar los servidores afectados.

b. Desactivar cuentas comprometidas
Revocar inmediatamente el acceso a cualquier cuenta de usuario sospechosa de estar comprometida para proteger datos sensibles.

c. Involucre a expertos en ciberseguridad y autoridades
Notifique a su equipo interno de seguridad informática y, si es necesario, a profesionales externos en ciberseguridad. Además, informe del incidente a las autoridades pertinentes para cumplir con los requisitos legales y recibir orientación.

Investigación de incidentes e inteligencia de amenazas

a. Realizar análisis forense
Recopilar y analizar evidencia digital, como archivos de registro y tráfico de red, para entender el origen del ataque, los métodos utilizados y el alcance. Esto ayuda a identificar vulnerabilidades y prevenir incidentes futuros.

b. Aprovechar la inteligencia de amenazas
Utilice la inteligencia de amenazas para contextualizar el ataque dentro de tendencias más amplias, comprender las motivaciones del atacante y adaptar sus estrategias de defensa en consecuencia.

Planificación de recuperación y continuidad del negocio

a. Restaurar desde copias de seguridad
Utilice copias de seguridad limpias y recientes para restaurar los sistemas y datos afectados, asegurándose de que las copias estén libres de malware antes de su implementación.

b. Probar los sistemas antes del despliegue completo
Antes de volver a poner los sistemas en línea, pruébelos a fondo para confirmar que todas las amenazas han sido erradicadas y que funcionan correctamente.

c. Actualizar los Planes de Continuidad del Negocio y Recuperación ante Desastres
Revise y modifique sus planes basándose en las lecciones aprendidas del incidente para mejorar la resiliencia frente a futuros ataques.

Consideraciones legales y regulatorias

a. Comprender las leyes aplicables

Familiarícese con las regulaciones de protección de datos como el Reglamento General de Protección de Datos (GDPR) y la Ley de Privacidad del Consumidor de California (CCPA), que exigen acciones específicas tras una violación de datos.

b. Divulgación oportuna
Asegúrese de divulgar la violación a las partes afectadas y a los organismos regulatorios dentro de los plazos estipulados por las leyes relevantes (por ejemplo, el GDPR requiere notificación dentro de 72 horas).

c. Documentar todas las acciones
Mantenga registros detallados del proceso de respuesta a incidentes, comunicaciones y decisiones tomadas para demostrar cumplimiento y para referencia futura.