Según datos recientes publicados por Sophos, el protocolo de escritorio remoto (RDP) ha sido ampliamente abusado por actores cibernéticos para realizar ataques de ransomware. En un análisis de 150 casos de respuesta a incidentes de 2023, se encontró que el uso indebido del RDP estaba presente en el 90 % de los casos, permitiendo a los atacantes acceder remota y convenientemente a entornos Windows.
Abuso del RDP como estrategia común
Sophos describió la tasa de abuso del RDP como «sin precedentes», lo que explica parcialmente por qué los servicios remotos externos son la forma más popular para que los actores de amenazas obtengan acceso inicial en ataques de ransomware. Este método representó el 65 % de los casos el año pasado.
En un caso específico, los atacantes lograron comprometer a la misma víctima cuatro veces en seis meses a través de puertos RDP expuestos. Una vez dentro, pudieron moverse lateralmente por las redes, descargando archivos binarios maliciosos, deshabilitando la protección de endpoints y estableciendo acceso remoto.
Ventajas del RDP para los atacantes
RDP ofrece varias ventajas que facilitan el abuso por parte de actores cibernéticos:
- Es extremadamente popular entre los administradores de red.
- Los atacantes pueden acceder remotamente sin activar ninguna alarma AV o EDR.
- Ofrece una GUI fácil de usar.
- El servicio a menudo está mal configurado, lo que significa que está expuesto públicamente y protegido solo con credenciales fáciles de descifrar.
- A veces se utilizan cuentas con privilegios elevados para RDP, lo que amplifica el daño que puede causarse.
- Los administradores suelen desactivar funciones de seguridad como la autenticación a nivel de red.
- Muchas organizaciones olvidan segmentar sus redes, lo que ayuda a los atacantes RDP.
Riesgos asociados al uso de servicios remotos externos
John Shier, CTO de campo de Sophos, señaló que «los servicios remotos externos son un requisito necesario, pero riesgoso, para muchas empresas. Los atacantes comprenden los riesgos que plantean estos servicios y buscan activamente subvertirlos debido a la recompensa que se esconde detrás».
Exponer los servicios sin una cuidadosa consideración y mitigación de sus riesgos conduce inevitablemente a un compromiso. Un atacante no tarda mucho en encontrar y violar un servidor RDP expuesto, y sin controles adicionales, puede vulnerar servidores Active Directory que están del otro lado.
Impacto de los ataques que comienzan con vulnerabilidades sin parchear
Si bien todos los ataques de ransomware tienen resultados negativos, aquellos que comienzan explotando vulnerabilidades sin parches son particularmente brutales para sus víctimas. Las organizaciones afectadas por ataques que comenzaron de esta manera reportan resultados considerablemente más graves que aquellas cuyos ataques comenzaron con credenciales comprometidas.
Entre los efectos negativos destacan:
- Tener copias de seguridad comprometidas (tasa de éxito del 75 % frente al 54 % para credenciales comprometidas).
- Tener datos cifrados (tasa de cifrado del 67 % frente al 43 % para credenciales comprometidas).
- Pagar el rescate (tasa de pago del 71 % frente al 45 % para credenciales comprometidas).
- Cubrir el costo total del rescate internamente (el 31 % financió el rescate completo internamente frente al 2 % para las credenciales comprometidas).
- Costos generales de recuperación de ataques 4 veces mayores ($3 millones frente a $750.000 para credenciales comprometidas).
- Tiempo de recuperación más lento (el 45 % tardó más de un mes frente al 37 % para las credenciales comprometidas).
El informe completo se puede descargar desde aquí y aquí.