Los ciberataques en el punto de mira: El ataque de día cero

Un ataque de día cero se aprovecha de un punto débil en la red, el software o la infraestructura de un objetivo, sin que éste lo sepa siquiera. Pueden ser devastadores porque el ataque continuará sin impedimentos hasta que se descubra (si es que se descubre).

Este artículo pone de relieve este peligro. Definimos las características de los incidentes de día cero y consideramos algunos casos de estudio famosos. Afortunadamente, en los últimos años se han desarrollado ciertas herramientas y estrategias para ayudar a mitigar el riesgo.

¿Qué es un ataque de día cero?

¿Alguna vez has vuelto a casa y te has encontrado con que te había dejado una ventana abierta o una puerta sin cerrar? Durante todo el tiempo que estuviste fuera, no tenías ni idea de que tu casa era vulnerable. Peor aún, un intruso podría haberse dado cuenta y haber decidido entrar en tu propiedad.

Esta experiencia es una buena analogía de los incidentes de seguridad de día cero. El intruso se percata de una "vulnerabilidad" (de la que tú no eras consciente) y pone en marcha planes para aprovecharse de ella.

Hay algunos términos que es importante precisar y explicar antes de seguir examinando este tema. Son los siguientes:

• Vulnerabilidades de día cero. Se trata de puntos débiles en la seguridad o el software de la víctima que ésta desconoce.
• Explotaciones de día cero. Una vez que un ciberdelincuente ha identificado una vulnerabilidad, los "exploits" de día cero son los métodos y herramientas que utiliza para atacarla. Por lo general, se trata de código malicioso que puede insertarse en la red o en el software de la víctima.
• Ataque de día cero. Con los medios de ataque listos (es decir, el "exploit" de día cero), se puede lanzar el ataque. Puede adoptar diversas formas.

En esencia, estos términos representan los tres pasos de un incidente de día cero: se identifica una "vulnerabilidad", se planifican los medios de "explotación" y se ejecuta el "ataque".

La referencia a los "días cero" refleja la urgencia de estos incidentes. En el momento en que un atacante descubre un punto débil, se convierte en una "vulnerabilidad de día cero", lo que significa que la empresa está en peligro inmediatamente. No hay un periodo de gracia en el que la organización pueda poner remedio.

Para mitigar el riesgo de ataques de día cero, es esencial proteger los dispositivos IoT, ya que suelen ser el objetivo de los piratas informáticos que buscan vulnerabilidades en la infraestructura de red.

¿Cómo se desarrollan los incidentes de día cero?

Como todos los ciberataques, los incidentes de día cero pueden dividirse en varias etapas.

El auge de los ciberataques

Para empezar, merece la pena considerar el contexto más amplio en el que se producen los incidentes de día cero.

• La web oscura ha proporcionado un mercado vibrante para que los ciberdelincuentes vendan oportunidades de ataque a otros.
• También es importante señalar que todo esto está ocurriendo rápidamente, y los ciberdelincuentes están demostrando ser expertos en mantener el ritmo desarrollando continuamente nuevos modos de ataque.
• Las inestables circunstancias geopolíticas, las divisiones políticas y las difíciles perspectivas económicas también están avivando el fuego de la ciberdelincuencia.

Varias tendencias del mundo actual presentan oportunidades particulares para los posibles atacantes. Entre ellas se encuentran la llegada de los macrodatos, el auge de la computación en nube y el inexorable cambio de la sociedad en línea. Estos cambios tecnológicos abren nuevas "aristas de ataque", es decir, debilidades potenciales.

También es importante tener en cuenta que todo esto está sucediendo rápidamente, y los ciberdelincuentes están demostrando ser expertos en mantener el ritmo mediante el desarrollo continuo de nuevos modos de ataque.

Las inestables circunstancias geopolíticas, las divisiones políticas y las difíciles perspectivas económicas también están avivando el fuego de la ciberdelincuencia.
Además, la web oscura ha proporcionado un mercado vibrante para que los ciberdelincuentes vendan oportunidades de ataque a otros.

Así pues, los incidentes de día cero deben considerarse en el contexto de estos cambios más profundos.

Pero, ¿quién participa en estos ataques? Entre los autores figuran:

• Los ciberdelincuentes, que pretenden obtener un beneficio económico de estos delitos. Esto puede implicar lanzar ataques ellos mismos o vender información o herramientas que permitan a otros hacerlo (por ejemplo, ransomware como servicio).
• Espías corporativos. Una parte (por ejemplo, una empresa) puede lanzar un ataque contra otra para recabar información.
• Activistas. Algunos hackers buscan alcanzar objetivos sociales o políticos a través de sus ataques. Esto se conoce a veces como "hacktivismo".Autores respaldados por el Estado. Una nación puede lanzar un ataque contra organizaciones de otra nación. Esto se conoce a veces como "ciberguerra".

En resumen, las condiciones en 2023 son propicias para los ciberataques, por lo que no es de extrañar que se hayan intensificado recientemente. Además, no faltan actores dispuestos a llevar a cabo ataques o ayudar a otros a hacerlo.

Estas son las preocupantes circunstancias en las que se encuentran las empresas modernas y son cruciales para comprender plenamente los incidentes de día cero.

Volviendo a nuestra analogía, en un mundo online, no es prudente no comprobar que tu casa está bien cerrada.

La vulnerabilidad de día cero

Una vulnerabilidad de día cero es una debilidad en la seguridad o el software de la víctima, de la que ésta no es consciente.

El software y otras aplicaciones en línea son a menudo un trabajo en curso. Con DevOps convirtiéndose cada vez más en una práctica estándar, cada "actualización" puede introducir involuntariamente imperfecciones que afectan al rendimiento o la seguridad. Por lo tanto, los desarrolladores y otras empresas con una presencia significativa en línea suelen buscar proactivamente problemas y cuestiones en su software e infraestructura de TI.

La mejor práctica es estar siempre atento a los problemas (incluidas las vulnerabilidades). Cuando se detecten en un producto o sistema informático, habrá que decidir si la solución puede esperar hasta la próxima actualización importante o si se debe lanzar un "parche" más inmediato para solucionar el problema. Los "parches" suelen ser temporales (como poner una tirita en una herida), pero sirven como medida provisional.

Aunque todo esto está muy bien, los piratas informáticos invertirán al mismo tiempo un gran esfuerzo en analizar y explorar las redes y el software. Sus objetivos suelen ser instituciones, departamentos gubernamentales, infraestructuras, empresas e incluso particulares. A veces encontrarán puntos débiles en el objetivo antes de que el objetivo lo haga por sí mismo.

Es entonces cuando empieza el problema. La organización (o el individuo) dispone ahora de cero días de seguridad para solucionar el problema: se ha convertido en una responsabilidad inmediata. Sin embargo, ¿cómo pueden arreglar o parchear algo que desconocen?

Lo que ocurra a continuación dependerá de las intenciones del agresor. Pueden explotar la vulnerabilidad ellos mismos, lanzando su propio ataque, o vender los detalles (y posiblemente los medios para explotarla) a otra parte. De hecho, algunos ciberdelincuentes se especializan en esto último, vendiendo exploits en la dark web por cientos de miles de dólares.

De cualquier manera, una vez identificada, la vulnerabilidad de día cero se convierte en una valiosa oportunidad para los ciberdelincuentes.

El exploit de día cero

Así pues, se ha encontrado un punto débil y se ha abierto una vulnerabilidad de día cero. Ahora, los atacantes empezarán a planificar sus próximos pasos, es decir, cómo explotar la oportunidad.

El "exploit" de día cero es el medio o la táctica utilizada en un ataque. Por lo general, los atacantes crean código malicioso (conocido como "código de explotación") y lo insertan en el ecosistema del objetivo.

Los exploits de día cero suelen emplear tácticas de ingeniería social. Es decir, se engaña a las personas para que realicen una acción que permita la entrada del código de explotación en la infraestructura. Por ejemplo, se puede redactar un correo electrónico de phishing para que el destinatario abra un archivo adjunto o visite un sitio web concreto. Cualquiera de estas acciones permite la entrada del atacante.

El ataque ha comenzado.

El ataque de día cero

Si el exploit funciona, el atacante obtiene acceso a los sistemas del objetivo. Ahora puede extraer información de él o socavarlo de alguna manera. La naturaleza de los ataques puede variar en función del objetivo. Sin embargo, suelen perseguir uno o varios de los siguientes objetivos.

• Robar datos sensibles (para venderlos o hacerlos públicos).
• Realizar transacciones fraudulentasInterrumpir infraestructuras críticas (suministro eléctrico, transporte, comunicaciones, etc.).
• Robar secretos e inteligencia (y permitir el espionaje).
• Para apoderarse del objetivo (por ejemplo, robar datos o hacerse con el control de un sistema y exigir un rescate).
• Para acceder al dispositivo y a las cuentas de una persona.

En otras palabras, los ataques se presentan bajo distintas formas y pueden tener un enorme impacto tanto financiero como reputacional. El coste adicional de VoIP que está considerando no será nada comparado con el golpe potencial de una violación de datos en su empresa.

Además, los ataques pueden prolongarse durante mucho tiempo. De hecho, pueden mantenerse mientras no se detecte la vulnerabilidad. Por esta razón, los piratas informáticos suelen tener cuidado de llevar a cabo sus ataques lentamente, reduciendo así las posibilidades de ser descubiertos. Pueden pasar meses o incluso años -una vez que se han infligido enormes daños- antes de que la vulnerabilidad sea finalmente detectada y cerrada.

Dicho esto, y como veremos, hay formas de mitigar el riesgo de que las vulnerabilidades permanezcan sin ser detectadas, por lo que ciertamente no es una situación desesperada. Tan pronto como se detecta el ataque, la organización objetivo puede tomar medidas para cerrar la vulnerabilidad, emitiendo un parche, por ejemplo.

Esto también marca el comienzo de una autopsia crucial: determinar qué salió mal y evaluar el alcance de los daños.

Ejemplos de incidentes de día cero

Hay muchos ejemplos famosos de incidentes de día cero. De hecho, la mayoría de los ciberataques más destacados de los últimos años pertenecen a esta categoría. Veamos algunos ejemplos.

• Stuxnet (2010). Uno de los ataques de día cero más antiguos e infames tuvo como objetivo el programa nuclear de Irán, causando importantes daños a sus instalaciones. Aunque se descubrió en 2010, se cree que el desarrollo del gusano Stuxnet (el exploit utilizado) comenzó en 2005.
• Yahoo (2013). En uno de los ataques de día cero más importantes, los hackers comprometieron los datos de unos 3.000 millones de cuentas de usuarios.
• Sony (2014). Un equipo de piratas informáticos pudo acceder a contenido confidencial de la empresa (incluidas nuevas películas), planes de negocio y datos de contacto personales. Este ataque fue silencioso y a la velocidad del rayo.
• Microsoft Word (2017). Los hackers descubrieron una debilidad en el software y desarrollaron un troyano (al que llamaron Dridex) para aprovecharla. Las personas que descargaban este documento malicioso abrían la puerta de sus redes a los hackers. Cuando se descubrió y parcheó, millones de usuarios se habían visto afectados.
• Zoom (2020). Se informó de que al menos un exploit de día cero dirigido a Zoom estaba disponible para su compra en la dark web por 500.000 dólares. Al parecer, esto habría permitido a los atacantes espiar las comunicaciones e incluso tomar el control del ordenador de un usuario, por lo que es perfecto para el espionaje.
• SolarWinds (2020). Los atacantes obtuvieron acceso a los sistemas de la empresa después de identificar una vulnerabilidad en su tubería CI/CD en septiembre de 2019. Inyectaron código malicioso en las actualizaciones de software de SolarWinds, que se desplegaron a más de 18.000 clientes. Esto permitió a los atacantes acceder a los sistemas de esos clientes. El ataque fue tan sigiloso que no se denunció hasta diciembre de 2020.

Por razones obvias, todavía no podemos estar seguros del alcance total de los incidentes de día cero. Como son clandestinos y secretos, ¿quién sabe cuántos ataques a gran escala están activos incluso mientras lees esto? Tampoco hay garantías de que se detecten todos; al fin y al cabo, esa es la naturaleza de la bestia.

Prevención de ataques de día cero

No todos los hackers son actores de mala fe. De hecho, el "hacking ético" desempeña un papel clave en la lucha contra los ciberataques.

Por ejemplo, en 2020, un concurso llamado Zero-Day Initiative retó a los hackers éticos a descubrir y cerrar puntos débiles. Se notificaron tres vulnerabilidades de Zoom.

Si se hubieran utilizado, habrían permitido a los atacantes hacerse con el control del ordenador de un usuario de Zoom (dejándoles libertad para curiosear, abrir programas y acceder a datos). Tras este descubrimiento, Zoom pudo empezar a trabajar en una solución.

Iniciativas como ésta desempeñan un papel importante en la prevención de los ataques de día cero, pero no basta con que las organizaciones confíen en ellas. También deben implantarse herramientas, procesos y valores culturales para mitigar los peligros. Afortunadamente, hay muchas cosas que se pueden hacer, como por ejemplo:

• Asegurarse de que todo el software y las aplicaciones están actualizados. Esto significa que tendrás acceso a los últimos parches de seguridad para cualquier vulnerabilidad conocida. De lo contrario, estas debilidades pueden permanecer en su red.
• Utilizar únicamente software de proveedores de confianza: Debes confiar en el software y las aplicaciones que introduces en tu ecosistema. ¿Son rigurosos a la hora de garantizar que no hay exploits en tus productos?
• Implantar una fuerte segmentación de la red. Puedes limitar el impacto de posibles ataques dividiendo tu infraestructura en partes más pequeñas. Unas paredes sólidas entre los segmentos pueden ayudar a evitar la propagación de los ataques.
• Realizar análisis de vulnerabilidades en tiempo real para descubrir posibles puntos débiles en el código. Una vez identificadas, las vulnerabilidades deben abordarse con prontitud para garantizar que no se exploten.
• Realizar evaluaciones de riesgos periódicas y continuas de toda la infraestructura de TI. Esto debería incluir la exploración de vulnerabilidades mencionada anteriormente, pero también debería tener en cuenta otros aspectos, como los cambios de hardware, los niveles de formación y los controles de seguridad en toda la empresa (por ejemplo, quién puede acceder a qué).
• Utilizar un cortafuegos y software antivirus. Parecen obviedades, pero debes asegurarte de que cuentas con los mejores servicios para proteger tu infraestructura. A medida que tu organización evolucione, puedes necesitar distintos niveles de protección.
• Fomentar una cultura consciente de la seguridad. El error humano es clave para el éxito de muchos ataques de día cero, así que asegúrese de que sus empleados entienden la necesidad de una buena higiene de seguridad (por ejemplo, en torno a las contraseñas) y los riesgos de la ingeniería social (por ejemplo, cómo evitar archivos adjuntos y enlaces maliciosos). Es necesario inculcar un alto nivel de seguridad digital a todo el equipo.
• Protege los datos de tu empresa. Estos 12 consejos concretos te ayudarán a asegurar tus dispositivos y a proteger tu empresa contra el espionaje de datos.

Por último, necesitas un enfoque rápido y sólido de la gestión de parches. Recuerda que un parche es una solución rápida de codificación para resolver un problema de software, en este caso, una vulnerabilidad de seguridad.

En cuanto se identifica un problema, la empresa debe desarrollar un parche y, a continuación, aplicarlo a todos los usuarios y clientes.

La implementación de la automatización de contratos también puede agilizar el proceso de gestión de parches mediante la automatización de la creación, revisión y despliegue de acuerdos legales, garantizando que los parches y actualizaciones necesarios se incorporen de forma eficiente y eficaz.

Detectar y responder a los ataques de día cero

Una buena postura de ciberseguridad mitiga el riesgo de ser objetivo de ataques de día cero. Sin embargo, incluso haciendo todas estas cosas brillantemente no impide un ataque. Recuerdq que basta con que una vulnerabilidad pase desapercibida para que el atacante esté dentro.

Teniendo esto en cuenta, es importante estar preparado para los ataques en caso de que se produzcan. Hay varias cosas a tener en cuenta.

• En primer lugar, el panorama de las amenazas evoluciona constantemente, así que asegúrate de que sus especialistas en TI (por ejemplo, los ingenieros de datos) reciben formación periódica sobre las últimas amenazas y técnicas de seguridad. Además de contribuir a la prevención, esto ayudará a detectar los ataques y responder adecuadamente.
• En segundo lugar, asegúrate de que su organización cuenta con sólidos procesos de supervisión y detección en toda la red. Toda la actividad de la red debe rastrearse y supervisarse, y cualquier comportamiento inusual debe señalarse inmediatamente. Existen varios métodos de detección y supervisión (estadísticos, basados en el comportamiento y en firmas). Es crucial asegurarse de tener una buena combinación de ellos.
• En tercer lugar, hay que prever el peor de los casos en caso de que se produzca un ataque. Elabora un plan de respuesta a incidentes que establezca exactamente qué ocurrirá y quién lo hará. Asegúate de que todo el mundo conoce el plan.

Dar prioridad a una postura de seguridad sólida

En nuestro mundo cada vez más digital, las empresas no pueden permitirse dejar sus defensas bajas; el peligro de que un atacante descubra una vulnerabilidad de día cero y la explote es demasiado grande para ignorarlo. El daño financiero y de reputación que esto podría causar es inmenso. En resumen: ¡no descuides tu ciberseguridad!

Es un panorama intimidante en muchos sentidos. Sin embargo, existen muchas herramientas para ayudar a combatir los riesgos. Mantente alerta e informado de los peligros, pero también de lo que puedes hacer para atajarlos