Sophos ha publicado un informe titulado Active Adversary Report for Business Leaders, donde se analizan 152 incidentes ocurridos durante el año 2022. Según el documento, los delincuentes han utilizado más de 500 herramientas y técnicas únicas durante este periodo.
Uso de herramientas y técnicas
Entre las herramientas empleadas se incluyen 118 binarios Living off the Land (LOLBins), que son ejecutables nativos del sistema operativo. Estos elementos son difíciles de bloquear por los equipos de seguridad, ya que están presentes en la mayoría de los sistemas.
Este año se identificaron más de 524 herramientas y técnicas únicas utilizadas por los atacantes: 204 herramientas ofensivas/hacking; 118 contenedores LOLB; y otros 202 artefactos únicos, que incluyen varias tácticas reconocidas en la taxonomía ATT&CK de MITRE.
Acceso a sistemas mediante vulnerabilidades
Las vulnerabilidades sin parchear han sido una vía de acceso común para los ciberdelincuentes. Entre las más empleadas se destacan la explotación de dos vulnerabilidades identificadas desde 2021: ProxyShell y Log4Shell, que permitieron a los atacantes infiltrarse en las redes de las organizaciones.
También se menciona el uso de credenciales comprometidas como una técnica frecuente para acceder a sistemas internos.
Ransomware y su evolución
Según el informe, más del 68% de los ataques implicaron ransomware. Este tipo de amenaza sigue siendo una de las más generalizadas en el entorno empresarial. Sin embargo, se observa que el tiempo promedio de permanencia de los atacantes ha disminuido durante el año 2022, pasando de 15 a 10 días.
Geografía de los ataques
Los ataques afectaron a empresas ubicadas en 31 países diferentes. Entre ellos se incluyen Estados Unidos y Canadá, Reino Unido, Alemania, Suiza, Bélgica, Suecia, Italia, Austria, Finlandia, Rumanía, España, Australia, Nueva Zelanda, Singapur, Japón, India, Tailandia, Filipinas, Qatar, Bahrein, Arabia Saudí, Emiratos Árabes Unidos, Kenia, Somalia, Nigeria, Sudáfrica, México, Brasil y Colombia.
John Shier, CTO de Sophos, destaca que «Cuando los cibercriminales no están forzando el acceso a una red, simplemente están entrando directamente. La realidad es que el entorno de las amenazas ha crecido en volumen y complejidad hasta el punto de que no hay huecos perceptibles que los equipos de seguridad puedan aprovechar».
El informe recomienda a las organizaciones centrar sus esfuerzos de detección en la limitación del uso de herramientas, el control de su alcance y la auditoría de su empleo. La diversidad de técnicas utilizadas por los atacantes hace que una estrategia basada únicamente en una herramienta o técnica sea ineficaz.