Los ciberdelincuentes están empleando tácticas altamente sofisticadas para atacar infraestructuras de red obsoletas con fines de espionaje o de extorsión. Su objetivo consiste en permanecer sigilosos en el interior de las redes corporativas mientras descubren cómo obtener la información confidencial.
Así lo desvela la última investigación de Talos, la división de ciberinteligencia de Cisco, que ha detectado tanto grupos de ransomware -que utilizan dispositivos periféricos con fines de chantaje- como ataques basados en amenazas persistentes avanzadas (APT) explotando esta vulnerabilidad para acceder a dispositivos que hace tiempo dejaron de funcionar y/o tienen vulnerabilidades críticas sin parchear.
Los mecanismos y la metodología de estos dos grupos son diferentes y se debe principalmente a que los dispositivos de red ofrecen una vía de acceso clave para los atacantes. Si pueden comprometer un router, es muy probable que obtengan un modo de ingresar a esa red.
Tácticas posteriores al compromiso
Cisco Talos también ha analizado las tres tácticas más comunes utilizadas por los ciberdelincuentes una vez que el dispositivo de red ha resultado “comprometido”, y que incluyen modificar el firmware del equipo, cargar firmware personalizado/armado y eludir las medidas de seguridad.
Las APT suelen modificar el firmware de los dispositivos más antiguos para agregar ciertas funciones como la forma de capturar información o crear una ‘puerta trasera’, permitiéndoles ganar una mayor presencia en la red. Si no es posible o necesitan niveles de acceso adicionales, podrían cargar firmware personalizado o antiguo con vulnerabilidades no parcheadas.
Los atacantes también tratan de vulnerar diversas medidas de seguridad, incluyendo la modificación o eliminación de listas de control de acceso al host, deshabilitar el registro remoto, agregar cuentas de usuario con privilegios aumentados y reconfigurar cadenas de comunidad SNMP.
Sobre esta investigación, Ángel Ortiz, director de Ciberseguridad en Cisco, señala: “comprometer la red constituye un proceso de varios pasos y requiere mucho trabajo y experiencia en tecnologías específicas, por lo que normalmente sólo vemos a los actores de amenazas más sofisticados llevar a cabo estos ataques. Para evitarlos, es fundamental tanto mantener los equipos actualizados como verificar el entorno de red en busca de cambios no autorizados”.
