informe anual de amenazas 2020 · informe anual de amenazas 2020 la ciberinteligencia tiene como...

INFORME ANUAL DE AMENAZAS2020

La Ciberinteligencia tiene como objetivo que una organización se pueda anticipar, identificar y atribuir ataques y / o amenazas en la red

3

Info

rma

Anua

l de

Amen

azas

202

0

¿QUIENES SOMOS?

Somos Aiuken Cybersecurity, una compañía multinacional, con una visión global en el panorama actual de la ciberseguridad. Nuestro objetivo es proporcionar a nuestros clientes las soluciones más innovadoras en ciberseguridad.

Como miembros de FIRST (Forum of Incident Response and Security) consideramos que la compartición de información ayuda a que las empresas estén más protegidas al conocer los principales riesgos actuales.

Durante este año 2020, hemos sido nombrados por Gartner como TOP Vendor para MDR (Managed Detection & Response) a nivel global. La evolución de un MSSP da lugar a un proveedor de servicios MDR, incorporando servicios avanzados de detección y respuesta a las amenazas encontradas.

NUESTRA VISIÓN GLOBALIZADA

La lucha contra la ciberdelincuencia a nivel global nos ofrece la posibilidad de tener una visión clara de qué es lo que está ocurriendo, cómo se mueven lo cibercriminales, cuáles son sus objetivos, y cómo los llevan a cabo.

Esta información nos la proporcionan nuestros ciberexpertos y analistas de seguridad, ubicados en los 8 SOCs que se encuentran distribuidos mundialmente, a través de sus análisis e investigaciones.

Nuestro compromiso es proteger los activos de nuestros clientes; y para ello, nuestro posicionamiento dentro de los foros más importantes de ciberseguridad, nos ayuda a conocer cuáles son las preocupaciones de los CIOs. Este compromiso nos obliga a adelantarnos en todo momento a identificar qué necesidades tienen las empresas en un mundo cada vez más interconectado y a encontrar la solución más adecuada.

Mapa global de la ubicación de nuestros SOC

PORTUGAL

CHILE

KUWAIT

SAUDI ARABIA

BAHRAIN

UAEPUERTO RICO

EVORY COAST

MADRIDMADRID

MOROCCO

BARCELONA

4

Info

rma

Anua

l de

Amen

azas

202

0

CONTEXTO

2020 ha sido un año sin duda, extraño y terrible en muchos aspectos. La economía ha sufrido arrastrada por la terrible pandemia del COVID-19, lo que ha supuesto la ruina de muchos negocios, particulares y economías completas. Los negocios y las organizaciones se han ditigalizado a un ritmo increíble, acelerando procesos de transformación tecnológica de años, concentrados en apenas 2 o 3 meses. Un gran éxito en el avance de la digitalización de muchos sectores económicos y sociales. Sin embargo, esta rápida transformación digital, unida a la implantación masiva del teletrabajo y la baja formación en ciberseguridad de los usuarios, han generado un excelente caldo de cultivo para los ciberdelicuentes, donde los hackers han encontrado un nuevo caladero de victimas.

Los ataques principales y más exitosos en 2020 han sido los relacionados con el teletrabajo, el acceso remoto y el fraude dirigido. El resumen del 2020 ha sido nefasto con un aumento tremendo de todos los tipos de ataques, y lo que es peor con un tremendo impacto económico multiplicando el impacto de los ataques por más de 100 en comparación con 2019.

Entornos más atacados en 2020:• Teletrabajo y acceso remoto• Email y SMS• Plataformas de audio y video

conferencia (Zoom, Teams, Meet)• Vulnerabilidades de plataformas

Windows no parcheadas

Principales CiberAtaques:• Ransomware• Phishing BEC (timo del CEO)• Ataques dirigidos (malware + APT +

Ransomware)

Pero sin duda el elemento que más ha marcado la evolución de los ciberataques en 2020, ha sido la evolución del ransomware no sólo como ataque de cifrado y destrucción de información, sino como vehículo para robar información y solicitar un “rescate” o chantaje por la misma, bajo amenaza de publicar información sensible o comprometida.

En definitiva, 2020 ha sido terrible en lo económico, social y médico, y ha supuesto una tremenda evolución del impacto y la sofisticación de los ciberataques.

5

Info

rma

Anua

l de

Amen

azas

202

0

METODOLOGÍA

Desde Aiuken Cybersecurity, queremos hacerte llegar este informe en relación con el panorama de ciberamenazas encontradas durante el 2020.

Este informe proporciona una visión de los ataques que se han identificado a lo largo del año, su clasificación, datos estadísticos, impacto y una recopilación de los casos más conocidos y relevantes. Los datos se han obtenido de varias fuentes abiertas y de las investigaciones realizadas por nuestro equipo de ciberinteligencia.

Las soluciones y herramientas de Aiuken basadas en la inteligencia artificial, han permitido realizar un estudio analítico de nuestros clientes, pudiendo recopilar muestras, identificar evidencias y localizar vectores de ataque de las infecciones de malware, incluyendo teléfonos móviles, portátiles, ordenadores y dispositivos Internet of Things (IoT).

Las investigaciones realizadas a través de las plataformas de análisis y detección temprana de Aiuken examinan el tráfico de la red en busca de malware, brechas de seguridad, actividad delictiva, ataques DDoS y cualquier perturbación en los sistemas de seguridad de las compañías. Esto nos permite adelantarnos a los problemas y detectar con precisión qué dispositivos están infectados y qué malware está involucrado en esa infección.Desde Aiuken, somos capaces de determinar de dónde provienen los ataques y qué dispositivos de red están siendo atacados.

El informe también incluye detalles de analítica de malware, obtenido tras las investigaciones realizadas en el laboratorio de Aiuken Cybersecurity, donde se analizan y catalogan los diferentes tipos de ataques. Es uno de los laboratorios de malware más avanzado del mundo.

6

Info

rma

Anua

l de

Amen

azas

202

0

METODOLOGÍA

La amenaza del COVID-19 explotada por los cibercriminales.La pandemia de coronavirus ha tenido y tiene una amplia repercusión social e implicaciones económicas en países de todo el mundo. Los ciberdelincuentes están aprovechando el miedo provocado por el coronavirus para confundir y atacar a empresas y usuarios. Los cibercriminales han creado malware específico del COVID-19 sobre servicios, medicamentos y vacunas. También aplicaciones con troyanos dispuestos a espiar y revelar información.

Las nuevas variantes del Ransomware 2020, la perfección del ciberataque.Ataques dirigidos de Ransomware donde los atacantes no sólo cifran los datos, sino que amenazan a sus víctimas con revelar información confidencial en la red. La extorsión elevada a la perfección.

Android, objetivo del malware.Los dispositivos móviles, principalmente Android, son los objetivos más comunes del malware.Estos dispositivos Android son responsables del 26,64% de infecciones de malware en todas las plataformas.

El aumento de las infecciones en el entorno IoT.Los dispositivos IoT ahora son responsables de más de un tercio de todas las infecciones observadas y analizadas en redes móviles por el grupo de ciberinteligencia de Aiuken Cybersecurity. El 5G multiplicará en los próximos meses el número de dispositivos conectados a redes móviles.

PRINCIPALES HALLAZGOS

Se deja atrás un año marcado por la pandemia del coronavirus. Los cibercriminales han explotado (y siguen haciéndolo) el COVID-19, provocando un aumento en las infecciones de malware.

El avance del teletrabajo durante el confinamiento ha obligado a numerosas empresas a desplegar VPNs para continuar con su actividad. El email, las plataformas de videoconferencia y las aplicaciones de mensajería instantánea se han convertido en herramientas diarias, y al mismo tiempo, en vectores de ataque para los ciberdelincuentes. Durante estos meses el grupo de ciberinteligencia de Aiuken Cybersecurity ha observado, analizado y evitado numerosos ataques.

7

Info

rma

Anua

l de

Amen

azas

202

0

NUEVOS RIESGOS 2020

A continuación, te ofrecemos un resumen de lo más significativo relacionado con los riesgos y ciberamenazas a lo largo de este año 2020, orientado a las campañas originadas por cibercriminales haciendo uso de la crisis sanitaria global, o caídas y filtraciones que han sufrido algunas apps de videoconferencia y redes sociales (RR.SS) y que hablaremos más adelante.La pandemia ha provocado nuevas formas de relacionarnos, afectando principalmente al “teletrabajo” y a todos los riesgos que esto conlleva.

El trabajo en remoto se ha convertido en un modelo muy diferente al que conocíamos. Según datos estadísticos en una encuesta realizada por Gartner más del 88% de empresas a nivel mundial han apostado por estas medidas, aumentando España a un 49.8% frente a un 4% antes de la pandemia. Datos verdaderamente impactantes.

TELETRABAJO, EN EL PUNTO DE MIRADebido a la necesidad de una rápida puesta en escena del teletrabajo, muchas compañías no se adaptaron con suficiente rapidez a la nueva situación, lo que ocasionó que implementaran soluciones rápidas y poco confiables desde el punto de vista de la seguridad.

El trabajo en remoto requería, y requiere que todas las herramientas que necesita el usuario para enfrentarse a su trabajo diario sean seguras, que las conexiones sean cifradas y que haya un enfoque de confianza cero, que no ponga en riesgo el activo más importante de las compañías: su información sensible y la información de sus clientes. Es fundamental, tanto la securización de la nube, como un correo limpio y seguro, o incluso establecer un plan de concienciación para los usuarios.

El movimiento obligado hacia el teletrabajo hizo que los cibercriminales mejorasen sus técnicas de ataque. 2020 no fue solo el año de la pandemia del coronavirus, también fue el de los ciberdelincuentes.

Hasta noviembre de 2020 se registraron 113 millones de amenazas informáticas, según datos facilitados por AV-Test. Una media de350.000 nuevas al día. La Universidad de Maryland asegura que los cibercriminales atacan ordenadores y redes a un ritmo de uno cada 39 segundos.

AUMENTO DE TELETRABAJO EN ESPAÑA, SEGÚN GARTNER

49.8%

INCREMENTO DE ATAQUES DURANTE EL TELETRABAJO.

217%Fuente Aiuken Cybersecurity

8

Info

rma

Anua

l de

Amen

azas

202

0

PRINCIPALESAMENAZAS 2020

En nuestros análisis, realizados por el equipo de ciberinteligencia, llaman la atención las campañas de ciberdelincuencia que nos hemos ido encontrando: ataques cada vez más dirigidos y muy sofisticados que llegan al usuario de tal forma que dificulta mucho su detección; siendo cada vez más necesaria la implementación de medidas y protocolos de seguridad específicos en las compañías.

PHISHING. EL ARTE DEL ENGAÑO

Durante los meses de febrero, marzo, noviembre y diciembre encontramos un gran aumento en el número de ataques, siendo el COVID-19 el gancho principal:

• Correos electrónicos no deseados con temáticas en IT: los ciberatacantes solicitan a su víctima credenciales a través de un sitio web falsificado.

• Notificaciones bancarias: los ciberatacantes advierten a sus víctimas de problemas con sus cuentas personales y profesionales, proporcionándoles enlaces a sitios maliciosos y fraudulentos, con la intención de descargar un malware.

• Fraude de compras: los ciberatacantes presentan a sus víctimas productos muy atractivos y una vez que se lleva a cabo la compra comprometen el robo de sus datos bancarios principalmente.

“INCREMENTO EN ATAQUES CON TEMATICAS COVID-19 SUPLANTANDO A INSTITUCIONES”

2.5%2.8%

32.4%

18.0%

4.5%

3.1%

5.1%

29.9%

0.85%0.85%

PhisingRDP & similarCloudWebDirect accessSupply chainNetworkDesktop & serverMobileSecurity

9

Info

rma

Anua

l de

Amen

azas

202

0

NUESTRASINVESTIGACIONES

Lo más destacable respecto a los ataques, aprovechando el nuevo paradigma de trabajo en remoto, es el incremento de ciberataques contra los mecanismos que facilitan estas conexiones a equipos corporativos desde el exterior, siendo el principal vector de ataque el protocolo para conexiones RDP (Remote Desktop Protocol).

Cómo lo llevan a cabo

Los ciberdelincuentes atacan infraestructuras remotas con el objetivo de instalar cripto-mineros* para iniciar ataques de ransomware o robar información de la víctima.

Comparando con años anteriores, este año comenzó con un gran aumento de los ataques en los protocolos de conexión remota.

En marzo y abril, el nivel de ataques de este tipo se disparó, ya que los usuarios en remoto no desconfiaban de los mecanismos proporcionados por su propia compañía para realizar su trabajo.

Hacia septiembre de este año, existían unas 25 vulnerabilidades RDP conocidas. La más conocida y de mayor impacto fue la conocida como BlueKeep (CVE-2019-0708). Mediante la ejecución de un pequeño programa en el lenguaje de programación Python era posible acceder a un equipo que no hubiera sido parcheado.

Otras de las modalidades de ataque que se han incrementado de una forma exponencial a lo largo de este año son los ataques contra servidores DNS. El objetivo fundamental es extraer los datos de tráfico del servidor de la compañía atacada. Hay diferentes modalidades, pero los más habituales y efectivos son:

Ataques DNS basados en botnets: cada botnet está «programado» para enviar múltiples solicitudes de acceso a un recurso web reconocido por ese servidor DNS. El servidor queda saturado por el número solicitudes realizadas y queda inoperativo.

DNS Caché Poisoning: El objetivo es engañar a los usuarios mediante sitios web falsos y maliciosos. Un DNS envenenado (poisoned) se encarga de realizar una redirección a un sitio bastante parecido al que deseamos acceder y donde nos pide los datos de usuario y contraseña.

*cripto-mineros: tipo de código malicioso diseñado para secuestrar el procesamiento inactivo del dispositivo de una víctima y usarlo para extraer criptomonedas.

2.5%2.8%

32.4%

18.0%

4.5%

3.1%

5.1%

29.9%

0.85%0.85%

PhisingRDP & similarCloudWebDirect accessSupply chainNetworkDesktop & serverMobileSecurity

10

Info

rma

Anua

l de

Amen

azas

202

0

VULNERABILIDADES

El 2020 ha sido el año de la sofisticación de los ataques, tal y como hemos comentado con anterioridad. La diferencia fundamental a la hora de la explotación de las vulnerabilidades identificadas es que los ataques son cada vez más dirigidos, menos genéricos, y con objetivos más claros.

Vulnerabilidades más explotadas en 2020

A continuación, mostramos las vulnerabilidades más explotadas en el 2020:

• Vulnerabilidad en dispositivos VPN Citrix

• Vulnerabilidad en los servidores VPN Pulse Secure

• Vulnerabilidad Ripple20

• Vulnerabilidad Amnesia:33

• Vulnerabilidad Microsoft Office 365

Como ya hemos comentado con anterioridad, el teletrabajo hizo que muchas compañías tuvieran que poner en marcha servicios de colaboración en la nube, como Microsoft Office 365 (O365). Los ciberdelincuentes se han dirigido a organizaciones que al realizar un despliegue rápido de Microsoft O365 hayan descuidado de alguna forma las configuraciones y la aplicación de políticas de seguridad.

Aparte de estas vulnerabilidades hemos tenido otras relacionadas con el TCP/IP* como Ripple20 y Amnesia:33. Ambas están centradas en vulnerabilidades TCP Zero day, en dispositivos IoT en el caso de Ripple20 y focalizadas en los dispositivos OT en el caso de Amnesia:33. En ambas vulnerabilidades el objetivo es permitir interrumpir, modificar o espiar el tráfico. Esta vulnerabilidad afectó a millones de enrutadores y dispositivos IoT y OT de más de 150 proveedores.

*TCP/IP: conjunto de protocolos que permiten la comunicación entre los ordenadores pertenecientes a una red.

11

Info

rma

Anua

l de

Amen

azas

202

0

VULNERABILIDADES

MAGECART O LA RED DE MENTIRAS

La intención de esos grupos es infectar sitios web de comercio electrónico para robar tarjetas de crédito de las víctimas, de esta forma consiguen información espiando la navegación del usuario. La forma habitual de funcionamiento consiste en inyectar un JavaScript malicioso que actúa como web skimmer para el compromiso de sitios web.El otro grupo importante de incidentes de este tipo son los que afectan a los sitios de WordPress. Los ataques a WordPress son muy comunes debido a la multitud de hackers que pretenden explotar las vulnerabilidades de la plataforma. Es decir, que no se trata de ataques personalizados contra una página web en concreto. Si no que es algo más general que únicamente busca conocer cuáles son las principales debilidades del código de WordPress.

EL FUTURO DE IoT, IIoT y OT

Esta vulnerabilidad descrita anteriormente, pone en jaque a IoT, IIoT y OT, esperando un incremento de ataques en un futuro.La seguridad en entornos OT ya es una realidad que la industria demanda. Securizar entornos OT se convierte en un hecho para las empresas, infraestructuras obsoletas y sin ninguna relación con IT, pasan a ser prioridad para las compañías.

CRONOLOGÍA DEL 2020

13

Info

rma

Anua

l de

Amen

azas

202

0

Evolución de incidencias

Los datos que se muestran en el gráfico, procedentes de las investigaciones de nuestro equipo de ciberinteligencia, representan la cantidad total de incidentes registrados, identificados y mitigados por nuestros expertos en Aiuken Cybersecurity.

LA SOFISTICACIÓN DE LOS ATAQUES AUMENTA

A lo largo del año, destacamos que se registran menos ataques durante los primeros meses. Esto se debe a que el ciberdelincuente ha ido desarrollando estrategias mucho más concretas debido a la situación de pandemia global, buscando nuevos puntos de infección, así como objetivos más específicos y campañas más dirigidas.

En febrero y marzo, se empieza a detectar una actividad sensiblemente diferente, fundamentalmente debido al COVID-19, y ya se empieza a percibir un incremento en los ataques focalizados en el correo electrónico, sobre todo provocados por el phishing. El incremento ingente de este tipo de ataques (estimado un 650% en el periodo de confinamiento), el desconocimiento y la falta de concienciación del usuario, han hecho de este tipo de ataques los de más afectación en el 2020.

Otros grupos de ciberdelincuentes enfocaron sus ataques al ransomware, centrando sus actividades maliciosas de una forma mucho más agresiva, utilizando ataques por SMS, BEC (Business Email Compromise), actividades de espionaje, suplantación de identidad, ataques dirigidos por voz, etc.

Cabe destacar la diferencia fundamental respecto a los ataques de ransomware realizados en años anteriores, que es, la extorsión a través de la amenaza real de publicar la información sensible secuestrada. Anteriormente las acciones de los ciberdelincuentes se centraban en obtener un beneficio económico a través de la liberación de la información cifrada. El resultado fue que a través de mecanismos de backup, de recuperación automática de los sistemas comprometidos, las compañías podían hacer frente a un ataque exitoso de ransomware, perdiendo en el peor de los casos unas horas de trabajo. Actualmente los ciberdelincuentes amenazan con la publicación de la información secuestrada en la Deep web o la venta de esta en foros destinados a tal fin.

Ener

o

0

400

600

800

200

Febr

ero

Mar

zo

Abril

May

o

Juni

o

Julio

Agos

to

Sept

iem

bre

Oct

ubre

Nov

iem

bre

Dici

embr

e

14

Info

rma

Anua

l de

Amen

azas

202

0

Ransomware.Nuevas familias

A lo largo de este año, hemos observado diferentes ataques de ransomware, con un gran impacto en diferentes empresas, sin importar el tamaño de las mismas.

Lo que vemos a continuación muestra las familias de ransomware organizadas por orden de impacto, siendo ransomware Maze la primera de las familias y la de mayor impacto.

• Maze, el principal ransomware que impacta en el negocio de grandes compañias y responsable de la tendencia actual de doble extorsión. Actualmente, es adoptado por la mayoría de los ciberatacantes de ransomware.

• REvil, compite junto a Maze a nivel de impacto.

• Ryuk, 1 de cada 3 ataques se realizan con esta familia de ransomware. Conlleva campañas activas contra las organizaciones de la industria de la salud.

• Netwalker, con esta familia se realizaron serios ataques durante el año.

• Egregor, sucesor de Maze, en la actualidad está escalando posiciones en importancia y afectación.

• Netfilim, amenaza con divulgar los datos de sus víctimas al público si no pagan el rescate. Lo más probable es que se distribuya a través del Protocolo de escritorio remoto (RDP) expuesto.

• RagnarLocker, detectado por primera vez como parte de ataques contra redes comprometidas en diciembre de 2019. Con él se han realizado graves ataques durante este año 2020.

• Snake, focalizado en tener capacidades de infección de IoT / IIoT / OT.

• Conti, sucesor de Ryuk, produce infecciones realizadas a través de TrickBot (troyano bancario diseñado para robar información financiera de los usuarios). Recientemente ha lanzado su propia web para publicar los datos robados de sus víctimas.

• VHD, programa malicioso diseñado para extorsionar a sus víctimas, que ha destacado durante este año por su método de autorreplicación.

15

Info

rma

Anua

l de

Amen

azas

202

0

Troyanos.Mecanismo de infección

A continuación, mostramos el malware utilizado para infectar a los sistemas informáticos por orden de mayor a menor impacto:

• Agent Tesla, se trata de un malware cuyas primeras detecciones datan de 2014. Entre sus capacidades destaca la de robar información de los sistemas a los que infecta, ya sea de forma automatizada, funcionando como spyware o keylogger, o mediante la interacción del operador de este malware, usando un sencillo panel de control. En los últimos meses hemos podido observar la reactivación de este malware.

• Emotet, malware avanzado que se propaga principalmente a través del correo electrónico mediante mensajes tipo phishing o spam, que contienen archivos Word adjuntos o enlaces URL. Aunque se detectó en 2014, tambien se ha reactivado durante el 2020.

• Qbot, este tipo de malware tiene como función principal recoger datos de navegación e información de carácter económico, incluyendo los datos bancarios online.

• Trickbot, un tipo de malware bancario troyano diseñado para robar la información financiera de los usuarios infectando ordenadores.

• PoetRAT, el Troyano de Acceso Remoto (RAT), busca robar información de infraestructuras críticas de compañías industriales.

16

Info

rma

Anua

l de

Amen

azas

202

0

Cada vez son más los países que están comprometidos con la Ciberseguridad. Durante estos últimos años hemos visto como la ciberdelincuencia ha ido creciendo. Gracias al compromiso de agencias estatales, cuerpos de seguridad del estado e instituciones nacionales CCN-CERT, e internacionales como CISA, se ha incrementado la colaboración y se ha puesto foco en plantear una estrategia orquestada para minimizar el posible impacto de las acciones de estos grupos.

El FBI, la Interpol y otras agencias internacionales advierten de un mayor riesgo de sufrir hackeos en aquellas empresas dedicadas a la producción y distribución de vacunas frente al coronavirus

Cabe destacar desde la mitad del año, el incremento de ciberataques con el objetivo de robar datos sobre la vacuna del COVID-19. Siendo atacados laboratorios que han investigado y están actualmente produciendola, farmacéuticas, la Agencia Europea del Medicamento, etc. El último ataque informático contra el Departamento del Tesoro y el de Comercio de Estados Unidos ha encendido las alarmas ante los posibles robos de material e información sobre la vacuna contra el coronavirus.

Otros datos relevantes

Debido a la situación actual de pandemia, el incremento de compras online en comparación con años anteriores ha crecido exponencialmente, siendo la compra online uno de los objetivos más interesantes para el ciberdelincuente. Hemos visto una proliferación de las campañas de phishing y vishing contra compañías logísticas, cybersquatting de sitios web para simular webs legítimas y proceder al robo de información y ataques DDoS a sitios web creados para hacer frente a los perjuicios económicos en compañías que estaban más centradas en la venta presencial tradicional.Todo lo relacionado con la compra / venta online y la falta de concienciación de los usuarios ha provocado una afectación mucho mayor de estos fraudes que en años anteriores.

Un problemaa escala mundial

PRINCIPALESACTORES

DE LOS ATAQUES

18

Info

rma

Anua

l de

Amen

azas

202

0

Vectores de ataque

Se ha producido un incremento de grupos organizados, que son los que suelen cometer los delitos más graves con un único fin: el perjuicio económico.

Los métodos más utilizados:

• Ransomware. Durante este año asistimos a la apertura de blogs y plataformas para publicar los datos robados de empresas que se niegan a pagar. Las familias de ransomware más activas durante el año fueron REvil y Maze. Maze ha sido descartado, supuestamente, a favor del ransomware Egregor, una familia de nueva y más peligrosa, que permite infectar impresoras para imprimir notas de rescate y exfiltrar mejor los datos, con la intención de entregarlos a los medios de comunicación.

• Phishing industrial. Esta línea de actividad delictiva se basa en atraer a las víctimas para que pongan credenciales en sitios falsos que las registran, enviándoles malware a través de archivos adjuntos o sitios maliciosos, o engañándolos para que proporcionen sus datos bancarios.

• Ataques a la Banca electrónica. Gran aumento: la banca electrónica fue otro de los grandes afectados en 2020. Muchos delincuentes se aprovecharon de las vulnerabilidades en plataformas populares para proceder al robo de tarjetas o datos bancarios. Magento fue uno de los productos más atacados para lograr este objetivo.

A estos grupos organizados, les siguen grupos criminales que utilizan (APT) Advanced Persistent Threat (ataques orquestados complejos con varios vectores). Con una baja actividad se encuentran los cibercriminales esporádicos y el hacktivismo, representando el 6,4% y el 5,5% de los ataques respectivamente.

La actividad delictiva motivada por la represión social se encuentra en sus momentos más bajos. Según varios informes, se cree que los hacktivistas no cuentan con los fondos suficientes y carecen de las habilidades avanzadas necesarias para realizar ataques de cierta magnitud.

19

Info

rma

Anua

l de

Amen

azas

202

0

Tipos de ataque

RansomwareUn ciberataque que va en aumento desde los últimos 4 años. Es considerado el ciberataque que más retorno tiene para las bandas organizadas en cuestiones económicas. El ransomware tiene como objetivo cifrar los archivos del equipo de la víctima para después solicitar a la misma un rescate económico.

Durante 2020, en nuestros estudios encontramos la apertura de blogs y plataformas para publicar losdatos robados de empresas que no han sucumbido al rescate-económico (filtración de datos). Es decir, la víctima afectada no solo sufre el cifrado de sus datos, sino también, la publicación de los mismos.

Las familias de ransomware más activas durante el año fueron REvil y Maze. Maze ha sido evolucionado por el ransomware Egregor, un malware más agresivo y peligroso.

Este malware permite infectar impresoras para imprimir notas de rescate, y filtrar mejor los datos, con la intención de entregarlos a los mediosde comunicación. Esperamos un aumento del ransomware en los próximos años. El grupo de ciberdelincuentes detrás de Maze publicaron una nota de prensa en noviembre advirtiendo de su intención de cesar sus actividades delictivas a través de ataques de ransomware.

PhishingHemos detectado un incremento en esta línea de actividad delictiva, que tiene como principal objetivo atraer a las víctimas para que utilicen sus credenciales en sitios falsos, y que el ciberdelincuente posteriormente registra.

También ha habido un incremento en campañas de malware a través de archivos adjuntos en correos electrónicos; mensajes con la intención de engañar a los usuarios para que proporcionen datos personales y bancarios.

20

Info

rma

Anua

l de

Amen

azas

202

0

Tipos de ataque

Banca ElectronicaGran aumento en ataques a la banca electrónica, siendo uno de los sectores más afectados en el 2020.

Muchos criminales tomaron ventaja de las vulnerabilidades en plataformas populares para insertar ladrones de tarjetas. Magento fue uno de los productos más atacados con este objetivo.

APTDurante la mayor parte del año, la actividad de amenazas persistentes se centró en los sectores sanitario y farmacéutico, teniendo como principal objetivo la obtención de datos relacionados con vacunas y programas de vacunación. Los grupos que nos encontramos más activos fueron chinos y rusos.

Los casos más notorios fueron enfocados al ataque a los laboratorios españoles para obtener datos de su programa y desarrollo de vacunas. Estaacción se atribuyó a un grupo de ciberdelincuentes chinos. El segundo evento notorio encontrado fue otro ciberataque a los laboratorios británicos, que se atribuyó a ciberdelincuentes rusos.

PRINCIPALESCIBERATAQUES

2020

22

Info

rma

Anua

l de

Amen

azas

202

0

El ciberdelito no sólo tiene afectación a través de una pérdida económica en una compañía, sino que también perjudica a sus clientes, y tiene un efecto muy negativo y difícilmente

cuantificable en la reputación de ésta. El usuario debe estar cada vez más

concienciado de los ciberdelitos y del impacto que conllevan.

23

Info

rma

Anua

l de

Amen

azas

202

0

Ransomware

El 15 de agosto la aseguradora Mapfre sufría un ataque de ransomware que afectaba a su actividad “impactando en algunos de nuestros sistemas informáticos y ralentizando nuestra capacidad de respuesta”, según explicó su CEO en Iberia José Manuel Inchausti. El ejecutivo actualizaba la situación periódicamente a través de sus redes sociales. En una de sus últimas actualizaciones apuntaba al casi total restablecimiento de sus sistemas tras el ataque.

La aseguradora fue víctima de un ataque informático, en el cual los ciberdelincuentes introdujeron en los equipos de Seguros Mapfre un virus ransomware, con el objetivo de ralentizar la capacidad de los equipos y afectar a sus dispositivos. La misma compañía comunicó el ciberataque sufrido a través de sus redes sociales.

El 90% de los dispositivos de la empresa quedaron afectados y fuera de servicio. Mapfre pidió disculpas a sus clientes. La aseguradora española se vio obligada a utilizar procedimientos alternativos a través de un Plan de Continuidad de Negocio, lo que provocó múltiples problemas y un mayor tiempo de espera.

Casi 3 meses ha tardado la compañía en reestablecer sus sistemas informáticos, para dar un servicio al 100% a sus usuarios, en algunos casos, ha tenido que compensar economicamente a sus clientes.Fuente: shorturl.at/owAF4

“El 90% de los dispositivos de la empresa quedaron afectados y fuera de servicio.”

https://noticias.mapfre.com/alerta-sistemas-informaticos/

24

Info

rma

Anua

l de

Amen

azas

202

0

Ransomware

A principios de mayo y en plena pandemia de coronavirus el mayor propietario de hospitales privados de Europa, dueño de los centros de Quiron salud en España, fue víctima de un ciberataque, el CCN-CERT publicó poco después un informe sobre el ransomware que afectó a los sistemas de esta empresa, conocido como Snake o Ekans.Fuente: shorturl.at/fGPWZ

La compañía de salud, una de las más grandesde España, sufrió el pasado septiembre de 2020, uno de los mayores ataques, que dejó inoperativa su red de clientes, provocando que toda su estructura informática terminara bloqueada. Este ciberataque consiguió que un mes más tarde su red de clientes siguieran sin poder acceder al área de clientes en la web de la compañía.

El ataque le supuso un gran problema a nivel operativo, ya que tuvieron que cambiar trámites y procesos digitales, para hacerlos telefónicamente o con fórmulas alternativas.Fuente: shorturl.at/sAJY6

“Hospitales españoles, víctimas de ciberataques.”

https://cso.computerworld.es/cibercrimen/quironsalud-posible-victima-de-un-ciberataquehttps://www.vozpopuli.com/economia-y-finanzas/sistema-informatico-Adeslas-bloqueado-ciberataque_0_1394560962.html

25

Info

rma

Anua

l de

Amen

azas

202

0

Ransomware

Adif también se ha vio afectada con un ataque ransomware este año. En este caso, además de introducir el virus tipo ransomware en los dispositivos de Adif, los ciberdelincuentes también extorsionaron el gestor de la red ferroviaria.

La amenaza consistía en que si no pagaban el rescate, los ciberdelicuentes filtrarían los archivos que habían robado durante el ciberataque.Fuente: shorturl.at/yAINY

A mediados de junio, el fabricante de automóviles fue una de las últimas víctimas del ransomware Snake, que ya afectó a otras grandes compañías este mismo año como el grupo Fresenius.Fuente: shorturl.at/mrPZ0

La empresa de seguridad Prosegur fue infectada durante el mes de diciembre de 2019 por un malware Ryuk. Este ataque se debió a un correo phishing enviado a los correos corporativos de Prosegur, y que por la falta de concienciación de los trabajadores fue abierto, causando la infección de todos los servidores.

Prosegur emitió un comunicado en el que informaba que “se había producido un incidente de seguridad informática en sus plataformas de comunicaciones”. Una vez detectado, Prosegur activó sus protocolos de seguridad “para evitar la afectación a sus servicios”. La compañía restringió la comunicación con los clientes para “evitar cualquier posibilidad de propagación. Este ciberataque se extendió hasta mediados de Enero 2020.

Ataque de Q42019 - Q1 2020Fuente: shorturl.at/tKP46

https://www.incibe-cert.es/en/early-warning/cybersecurity-highlights/adif-hit-ransomwarehttps://www.bbc.com/news/technology-52982427https://twitter.com/Prosegur/status/1199732264386596864

26

Info

rma

Anua

l de

Amen

azas

202

0

Ransomware

El ataque ransomware que Garmin sufrió en 2020 dejó los servicios de la compañía y millones de wareables sin funcionamiento.Pero ¿cómo resolvió la empresa tecnológica la situación? Según diferentes informaciones, Garmin definitivamente habría pagado un rescate multimillonario a los ciberatacantes por descifrar sus archivos.

Según fuentes de medios británicos, Garmin pagó un rescate multimillonario a los ciberdelincuentes que cifraron los archivos de sus sistemas a través de una plataforma de negociación por ataques ransomware llamada Arete IR. Algo que confirmaría las sospechas que recaen sobre Garmin y las transacciones realizadas con los ciberdelincuentes.

El virus ransomware WastedLocker habría sido desarrollado por Evil Corp, un grupo de ciberdelincuentes que opera desde Rusia y que ya ha sido sancionado por el Departamento del Tesoro de los Estados Unidos. En caso de que Garmin haya pagado realmente el rescate, la empresa tecnológica se podría enfrentar a sanciones y castigos jurídicos por realizar transacciones con delincuentes en busca y captura.Fuente: shorturl.at/wCEW6

Finastra es una compañía del Reino Unido que proporciona software y servicios financieros a más de 9.000 clientes en el mundo. A inicios del año 2020 sufrió un ataque de ransomware Ryuk. Finastra es fundamental en el funcionamiento del sistema financiero global: da servicio a 90 de los 100 bancos más grandes del mundo. Lo significativo del ciberataque a Finastra es que su equipo de seguridad decidió, en lugar de pagar el rescate, desconectar sus servidores rápidamente, lo que afectó a muchos de sus servicios y operaciones. El CEO de la compañía comentaría después que el ciberataque se llevó a cabo mientras se migraban los sistemas para facilitar el trabajo remoto de los empleados. Si bien la compañía no dio demasiados detalles del ciberataque, los análisis posteriores indicaron que la detección temprana y las buenas decisiones del equipo de seguridad permitieron minimizar los efectos del ciberataque. El potencial de pérdidas financieras y reputación, no solo para Finastra sino también para sus clientes, podría haber sido gigante.Fuente: shorturl.at/arFW3

“Garmin, millones de dispositivos sin funcionamiento.”

“El ciberataque a Finastra o cómo evitar el desastre total.”

https://www.bleepingcomputer.com/news/security/garmin-confirms-ransomware-attack-services-coming-back-online/https://krebsonsecurity.com/2020/03/security-breach-disrupts-fintech-firm-finastra/

27

Info

rma

Anua

l de

Amen

azas

202

0

Ataques BEC(Business Email Compromise)

El grupo farmacéutico Zendal, donde se está produciendo una de las vacunas contra el coronavirus, en su planta de Porriño, denunció a la Guardia Civil una estafa mediante el denominado fraude del CEO o Ataque BEC en el que los ciberdelincuentes realizan una suplantación de la identidad en “unas transacciones financieras” de la compañía.

Hace unas semanas se detectó esa suplantación de identidad, mediante la cual una persona ajena a la empresa se hizo pasar por un responsable de la misma para ordenar una serie de transferencias de dinero, que apuntan varios medios gallegos, podrían ser transacciones por valor de 9 millones de euros.

La empresa farmacéutica Zendal ha explicado, por medio de un comunicado, que tan pronto se detectó el ataque informático, se puso en conocimiento de la Guardia Civil mediante una denuncia.Fuente: shorturl.at/lyEG7

“Zendal,el ciberataquede 9 millonesde euros.”

https://www.abc.es/tecnologia/redes/abci-timo-ciberataque-roban-millones-haciendo-sola-llamada-202012090135_noticia.html

28

Info

rma

Anua

l de

Amen

azas

202

0

FILTRACIÓN DE DATOSEl coste medio de una filtración de datos

alcanza los 3,9 millones de dólares (alrededor de 150 dólares por registro de datos).

Las notificaciones de las filtraciones a los clientes y el daño a la reputación suponen un

coste muy elevado.

29

Info

rma

Anua

l de

Amen

azas

202

0

Filtración de datos

Easyjet sufrió un ciberataque a mediados de mayo que dejó expuestos datos de 9 millones de clientes. Durante cuatro meses los ciberdelincuentes estuvieron dentro de los sistemas de la aerolínea.Fuente: shorturl.at/gkoDX

Otra aerolínea española que se vio afectada por un fallo de seguridad fue Vueling. La aerolínea sufrió las consecuencias de un fallo de seguridad SQL Injection en la base de datos de uno de sus proveedores que dejó al descubierto datos de miles de usuarios.Fuente: shorturl.at/djG37

Otra sonada filtración de datos en España fue la de la empresa Prestige software. La tecnológica ubicada en España tuvo un fallo de seguridad. Empresas del sector turístico como booking.com, hoteles.com, Expedia, Agoda o Amadeus se vieron afectadas.Fuente: shorturl.at/mCY09

“Grandes brechas de seguridad en los sectores turístico y de transporte.”

https://www.cybersecurityintelligence.com/blog/chinese-hackers-attacked-easyjet-5009.htmlhttps://www.vozpopuli.com/economia-y-finanzas/vueling-seguridad-usuarios_0_1396061892.htmlhttps://www.20minutos.es/noticia/4468290/0/un-fallo-de-seguridad-expone-datos-personales-y-financieros-de-millones-de-clientes-de-booking-y-expedia/

30

Info

rma

Anua

l de

Amen

azas

202

0

SUPLANTACIÓN DE IDENTIDAD

31

Info

rma

Anua

l de

Amen

azas

202

0

Suplantaciónde identidad

En julio de 2020, la red social preferida de Donald Trump fue atacada. En pocos minutos, se publicaron mensajes desde cuentas oficiales y verificadas del entonces candidato a la presidencia de Estados Unidos, Joe Biden; el CEO de Tesla, Elon Musk; e incluso el expresidente Barack Obama. Más de 40 cuentas de grandes personalidades a nivel mundial fueron comprometidas.

Desde los perfiles secuestrados se prometía regalar criptomonedas a quienes donaran dinero para una campaña que paliara las consecuencias del coronavirus. Antes de que Twitter suspendiera esas cuentas y los mensajes falsos, la ciberestafa acumuló más de 100.000 dólares. Un ataque coordinado de ingeniería social que afectó a varios trabajadores de Twitter. Los ciberdelincuentes tuvieron acceso a sistemas y herramientas internas capaces de tomar el control de cuentas ajenas sin requerir contraseñas o reinicio de sesión.Fuente: shorturl.at/jnwEP

Zoom cayó bajo el peso de los GIF: El Estado de Alarma y el confinamiento para evitar el contacto social y los contagios por coronavirus y el teletrabajo trajeron a nuestro entorno una aplicación que llegó para quedarse, Zoom. El aumento exponencial en el uso de diferentes plataformas de video conferencia representó que Zoom tuviera un crecimiento de 355%. La plataforma no estuvo ajena a incidentes de ciberseguridad. Dos vulnerabilidades críticas en la aplicación permitieron a ciberdelincuentes robar credenciales de aproximadamente 500.000 cuentas de usuarios. Los cibercriminales accedieron a información privada y empresarial que no estaba custodiada adecuadamente por Zoom. La primera vulnerabilidad se localizaba en el servicio GIPHY, que permite buscar e intercambiar GIF animados durante una conversación de Zoom. La versión vulnerable de Zoom no comprueba si el GIF compartido se está cargando desde el servicio de GIPHY o no, con lo que permite mandar GIF de servicios de terceros que incluyen código malicioso.

La segunda vulnerabilidad procesa ciertas partes de código en el chat, crea un archivo ZIP del fragmento de código compartido antes de enviarlo, después lo extrae automáticamente en el sistema que lo recibe. Tanto la extracción como los contenidos que de ahí se obtienen no son verificados por Zoom, por lo que un ciberatacante puede enviar binarios a los dispositivos.Fuente: shorturl.at/kpCIX

“Zoom, no todo es seguro.”

https://www.lavanguardia.com/tecnologia/20200716/482330559031/hackean-twitter-obama-biden-gates-estafa-masiva-bitcoin.htmlhttps://www.welivesecurity.com/la-es/2020/06/04/zoom-descubren-dos-nuevas-vulnerabilidades-criticas/

32

Info

rma

Anua

l de

Amen

azas

202

0

Ataques dirigidos

A finales de agosto la bolsa de Nueva Zelanda quedaba sin funcionamiento durante varios días consecutivos al ser blanco de un ciberataque.

En concreto, un ciberataque de denegación de servicio más conocido como DDoS. El ataque fue capaz de tumbar los sistemas de la bolsa de valores de Nueva Zelanda durante varios días.Fuente: shorturl.at/gxAFJ

Concluyendo el año, la firma FireEye revela un ataque contra ellos mismos. En el ataque los criminales robaron las herramientas con las que FireEye hace ataques controlados a sus clientes para mejorar sus sistemas de seguridad, en declaraciones de la firma de ciberseguridad consdieran que detrás del atacante hay un colectivo aparentemente patrocinado por un país.Fuente: shorturl.at/agnN8

El equipo de fútbol Mánchester United fue objeto de un ciberataque por parte de piratas informáticos. Los ciberdelincuentes amenazaron con revelar información confidencial del club de fútbol inglés. Si no recibían un pago millonario harían públicos documentos confidenciales.

Inmediatamente los sistemas afectados en el club de fútbol fueron cerrados para proteger los datos, aunque los canales del club, incluyendo el sitio web y la aplicación móvil, no se vieron afectados. En un comunicado oficial, el equipo de fútbol inglés se expresaba que “tras el reciente ciberataque al club, nuestro equipo informático y expertos externos han asegurado nuestras redes y han realizado investigaciones periciales al respecto”.

Se desconoce qué información se ha visto comprometida pudiendo pasar por datos de jugadores, contratos e incluso información sobre los socios.

En caso de que los datos de estos últimos sí que se hubiesen visto afectados podrían enfrentarse a multas de entre 10 y 20 millones de euros por violar la ley de protección de datos. El equipo de fútbol de la Premier League asegura que esa información no corre peligro.Fuente: shorturl.at/eDZ58

“Nadie se salva, ni los equipos de fútbol.”

https://www.bbc.com/news/53918580https://us-cert.cisa.gov/ncas/current-activity/2020/12/08/theft-fireeye-red-team-toolshttps://www.bbc.com/sport/football/55026821

33

Info

rma

Anua

l de

Amen

azas

202

0

Ataques dirigidos

SolarWinds, proveedor del Pentágono

Un grupo de hackers ha comprometido al proveedor de software SolarWinds consiguiendo implementar una actualización con malware Sunburst para su conocida aplicación de monitorización de redes Orion. De esta manera podrían llegar a infectar las redes de las compañías o instituciones donde esté desplegado.

Los ciberatacantes distribuyeron a través de estas actualizaciones troyanizadas de software una puerta trasera denominada SUNBURST a nivel mundial.

Para hacer frente a esta amenaza, SolarWinds ha proporcionado dos consultivos para actualizar y corregir las versiones afectadas. Además, Microsoft, FireEye y Godaddy han colaborado en la publicación de un killswitch que deshabilita las implementaciones de SUNBURST bajo ciertas condiciones.

SolarWinds ha confirmado que un grupo de hackers accedió a sus sistemas explotando una vulnerabilidad de su sistema de configuración, y distribuyó actualizaciones de software troyanizadas a sus clientes entre marzo y junio de 2020. Estas actualizaciones distribuían una puerta trasera denominada SUNBURST con capacidad de recoger información, descargar y ejecutar código, crear y borrar ficheros, leer y manipular los registros de entidades y reiniciar el sistema. SUNBURST se conecta a su Command and Control a través del dominio “avsvmcloud[.]com”.Fuente: shorturl.at/ahqI3

En este gráfico, se muestra como se llevó a cabo uno de los ataques más relevantes durante el 2020. El ataque a Solarwinds, anteriormente explicado:

“Solarwinds, anatomía de un ciberataque en el corazón de EE.UU.”

https://www.solarwinds.com/securityadvisory

EVOLUCIÓNDE INCIDENTES 2020:

CONCLUSIONES

35

Info

rma

Anua

l de

Amen

azas

202

0

EVOLUCIÓN DE INCIDENTES 2020: CONCLUSIONES

Movimientos lateralesUna vez que un equipo se ha visto

comprometido, dada la mayor sofisticación

de las familias de malware y la dificultad

de las empresas para parchear a tiempo, el

movimiento lateral ha comenzado a verse cada

vez con más frecuencia.

Parches de seguridad y actualizacionesActualizar convenientemente y a tiempo los

equipos junto con la microsegmentación de la

red es la medida más eficaz para proteger las

infraestructuras de las compañías.

RansomwareEl ransomware llegó para quedarse. La

única duda es cuántas nuevas familias

aparecerán. Cuanto más familiarizado se esté

con el ransomware, mejor podrá prepararse y

reaccionar ante un ataque de este tipo.

Cifrado de informaciónComo medida principal contra el ransomware

y teniendo en cuenta las nuevas formas de

extorsión a través de amenazas de publicación

de la información secuestrada, la solución más

efectiva es el cifrado. El cifrado protege la

confidencialidad de los datos, por lo que, en

caso de un ataque, los delincuentes poco

podrían hacer con información previamente

cifrada.

Cuidado con el correo y el contenido webEstos dos elementos son los principales

vectores de entrada para cualquier tipo de

malware. El correo representa la forma más

común de entrada para campañas de phishing.

Mientras que el contenido web podría venir

con add-ons o elementos maliciosos que

eventualmente podrían distribuir malware.

TENDENCIAS 2021

37

Info

rma

Anua

l de

Amen

azas

202

0

Tendencias 2021

RANSOMWARE O LA PERFECCIÓN DE UN ATAQUE

Este año 2020 no solo nos deja para el recuerdo la pandemia a nivel global, también el incremento de ciberataques en materia de ciberseguridad.

Muchos de los expertos y analistas en este mercado consideran que, si 2020 ha sido un año marcado por la ciberdelincuencia mucho más desarrollada, el año 2021 no será mucho más tranquilo en esta materia.

El aumento de ataques será mucho mayor, escondiéndose detrás de empresas muy relevantes para el usuario, campañas de phishing muy dirigidas, este año hemos podido ser testigos, de Correos, Agencia Tributaria, DGT, y teniendo como entrada el ataque al usuario.

El 2021 no será mejor que el 2020. El ransomware combinado con las vulnerabilidades de los sistemas operativos multiplicará el impacto de los ataques. Más profundos y con el foco puesto en los datos. La falta de cifrado de las BB.DD., de los emails y de los datos en cloud, no ayudará a que las nuevas variantes de Ransomware, sumados a los z-days, no publicados causen estragos.

La novedad de 2021 serán los ataques a DNS (ya hemos visto alguno), tanto de bloqueo, envenenamiento y control, que además se extenderá a otros protocolos como el BGP afectando gravemente a los gigantes que controlan el Cloud mundial, Microsoft, Google y Amazon. Todo esto orquestado por las operaciones organizadas de unas naciones contra otras (nation-state attacks).

El BEC y las variantes del phishing, junto a el DDoS contra Cloud, IT e infraestructuras criticas serán los siguientes en el podium, la falta de formación y concienciación interna seguirán siendo los talones de Aquiles de las organizaciones. Tristemente parece que 2020 no ha enseñado nada a las organizaciones, y la falta de inversión en formación, backup, y protección avanzada, combinada con el trabajo remoto y la VPNs harán el resto.

Familias mucho más agresivas, la concienciación juega un gran papel en cualquier compañía de cara a sus empleados, pero nos encontramos con ataques muy precisos, muy complicados de detectar en un usuario.

Como avanzábamos al principio de este informe, toda compañía sin importar el tamaño de la misma es vulnerable a ser víctima de la ciberdelincuencia.

Aiuken Solutions S.L.C/ Francisco Tomás y Valiente nº 228660 Boadilla del MonteMadrid

www.aiuken.com

Phone: +34 912 909 805Fax: +34 911 238 [email protected]

informe anual de amenazas 2020 · informe anual de amenazas 2020 la ciberinteligencia tiene como...

Documents