La explotación de vulnerabilidades por parte de los grupos de ransomware se divide en dos categorías principales: aquellas que han sido utilizadas por uno o dos grupos, y las que han sido ampliamente explotadas por múltiples actores. Cada categoría requiere un enfoque distinto para la defensa y mitigación.
Enfoques de defensa según el tipo de vulnerabilidad
Los grupos que atacan exclusivamente ciertas vulnerabilidades suelen tener preferencias específicas, lo que permite a las empresas priorizar sus medidas de seguridad. La mejor defensa contra estos grupos es crear un perfil detallado de los objetivos más probables, tanto en términos de productos como de tipos de vulnerabilidad.
Las vulnerabilidades ampliamente explotadas se encuentran en el software comúnmente utilizado por grandes empresas. Estas suelen ser explotadas fácilmente mediante módulos de pruebas de penetración o líneas mínimas de código centradas en dispositivos que aceptan solicitudes HTTP/S.
Las mejores defensas contra la explotación generalizada son parchear las vulnerabilidades tan pronto como estén disponibles, monitorear la investigación de seguridad para detectar vulnerabilidades simples de prueba de concepto y vigilar los foros criminales en busca de referencias a componentes de la pila tecnológica, en lugar de vulnerabilidades específicas.
Resultados clave
- Los grupos de ransomware son los únicos que explotan tres o más vulnerabilidades y muestran un claro enfoque de selección. Por ejemplo, CL0P se ha centrado exclusivamente en el software de transferencia de archivos de Accellion, SolarWinds y MOVEit.
- Todas las vulnerabilidades atacadas con mayor frecuencia por grupos ransomware se encuentran en el software utilizado comúnmente por grandes empresas. Estas incluyen ProxyShell (CVE 2021-34473), CVE 2021-34523, CVE 2021-31207, ZeroLogon (CVE 2020-1472), Log4Shell (CVE 2021-44228), CVE 2021-4527 y CVE 2019-19781.
- Las vulnerabilidades que requieren vectores únicos o personalizados para explotar tienen más probabilidades de ser atacadas por uno o dos grupos.
- Los operadores y afiliados de ransomware rara vez hablan sobre vulnerabilidades específicas, pero el ecosistema cibercriminal ha discutido públicamente ciertas vulnerabilidades como objetivos de interés para la explotación.
Identificaciones principales de CWE
- CWE 20 (Validación de entrada incorrecta): nueve vulnerabilidades
- CWE 22 (Limitación inadecuada de un nombre de ruta a un directorio restringido [«Path Traversal»]): nueve vulnerabilidades
- CWE 787 (escritura fuera de límites): ocho vulnerabilidades
La explotación generalizada se concentra en los grandes proveedores y los scripts fáciles
De todas las vulnerabilidades explotadas por operaciones de ransomware, cinco destacaron como aquellas que atrajeron la mayor atención de los actores de amenazas. Estas incluyen ProxyShell, ZeroLogon, Log4Shell, CVE 2021-34527 y CVE 2019-19781.
El dominio de Microsoft no es sorprendente, ya que alrededor del 55% de las vulnerabilidades explotadas por tres o más grupos estaban en productos de Microsoft. Estas vulnerabilidades son muy populares debido a su alto impacto y la ubicuidad del software afectado.
Vulnerabilidades explotadas en campañas de ransomware desde 2017 a 2023
Los ciberdelincuentes afiliados a RaaS se encuentran en estos foros delictivos y pueden utilizar publicaciones en los medios para facilitar su interés en explotar una vulnerabilidad.
Mitigaciones recomendadas
- Asegúrese de que los dispositivos y redes no puedan recibir solicitudes entrantes en los puertos 80 HTTP y 443 HTTPS, ya que las vulnerabilidades más explotadas suelen ser atacadas mediante pocas líneas de código contra dispositivos con acceso a HTTP/S.
- Monitorear artículos, blogs y repositorios de códigos de investigadores de seguridad en busca de referencias a una sintaxis de explotación simple basada en solicitudes HTTP/S (como el código curl).
- Para grupos de ransomware de interés, identifique si estos explotan vulnerabilidades específicas y dónde, para crear un perfil de los objetivos más probables.
- Parchee las vulnerabilidades críticas y ampliamente explotadas lo más rápido posible. Los grupos de ransomware pueden explotar la infraestructura vulnerable de las víctimas más de tres años después de la divulgación de una vulnerabilidad.
- No utilice el monitoreo de foros criminales como forma confiable de identificar el interés de los grupos de ransomware en vulnerabilidades específicas, ya que estos rara vez discuten dichas vulnerabilidades.