La empresa de ciberseguridad Darktrace publicó su informe anual, revelando que en el año pasado se detectaron más de 30,4 millones de correos electrónicos de phishing. Este dato refuerza la posición del phishing como la técnica de ataque preferida por los actores de amenazas.
Según el informe, los ciberdelincuentes están cada vez más enfocados en plataformas comerciales confiables como Dropbox, SharePoint y QuickBooks. Para evitar las medidas de seguridad tradicionales, utilizan dominios legítimos para incrustar direcciones de remitente o enlaces maliciosos.
El 96 % de los correos electrónicos de phishing detectados en 2024 utilizaron dominios existentes, lo que dificulta su detección. Los atacantes también emplean redirecciones a través de servicios legítimos como Google para entregar cargas útiles maliciosas.
En el caso del ataque a Dropbox, se encontró un enlace que conducía a un PDF alojado en la plataforma con una URL maliciosa incrustada. Además, los actores de amenazas abusaron de cuentas de correo electrónico secuestradas, incluidas las de Amazon Simple Email Service.
El informe destaca que el phishing selectivo representa el 38 % de los casos y que el 32 % utiliza técnicas novedosas de ingeniería social, como texto generado por IA con complejidad lingüística. Darktrace recopiló información de más de 10.000 clientes globales para su informe.
Técnicas de «Living off-the-Land»: una creciente amenaza
Los atacantes también emplean brechas iniciales en la red a través de vulnerabilidades en dispositivos perimetrales, de borde o con conexión a Internet. Estas técnicas permiten ejecutar actividades maliciosas utilizando herramientas empresariales legítimas preinstaladas.
El 40 % de la actividad de campaña identificada a principios de 2024 involucró la explotación de dispositivos con conexión a Internet, incluidos los de Ivanti Connect Secure, Ivanti Policy Secure, Palo Alto Network y Fortinet. Los atacantes prefieren estas técnicas porque eliminan la necesidad de malware personalizado.
Además de explotar vulnerabilidades en estos dispositivos, los actores de amenazas utilizan cada vez más credenciales robadas para iniciar sesión en soluciones de acceso remoto a la red, como VPN, antes de aprovechar las técnicas LotL.
Los grupos de ransomware explotan herramientas empresariales
Varios grupos de ransomware, incluidos Akira, RansomHub, Black Basta, Fog y Qilin, junto con actores emergentes como Lynx, han estado utilizando cada vez más software empresarial legítimo.
- AnyDesk y Atera para enmascarar las comunicaciones de comando y control.
- Exfiltración de datos a servicios de almacenamiento en la nube.
- Tecnología de transferencia de archivos para una explotación rápida y una doble extorsión.
Estos grupos también son reclutados con frecuencia para Ransomware-as-a-Service o Malware-as-a-Service. El uso de herramientas MaaS aumentó un 17 % entre la primera y la segunda mitad de 2024. El uso de troyanos de acceso remoto, malware que permite a un atacante controlar de forma remota un dispositivo infectado, también aumentó un 34 % durante el mismo período.