5 pasos para mitigar el malware de limpiaparabrisas

Los investigadores de Talos Intelligence Group de Cisco ofrecen consejos sobre cómo detener el malware de limpieza que intenta dañar los sistemas y/o los datos.

Talos Intelligence Group (TIG) de Cisco ha hecho sonar la alarma. En el libro blanco Wiper Malware: Attacks from the Inside, las contribuciones de Vitor Ventura, director técnico e investigador de seguridad de TIG, y Martin Lee, director técnico y gerente de Talos Outreach EMEA sugieren que los adversarios están cambiando sus métodos de ataque. He aquí un extracto del documento:

«Un limpiador es un tipo de malware cuyo único propósito es destruir sistemas y/o datos, lo que a menudo causa daños financieros y/o de reputación significativos. La motivación detrás de estos [wiper] Los ataques pueden ser políticos y estar destinados a llamar la atención del público, o pueden ser pura destrucción de artefactos destinados a impedir las investigaciones forenses. De las últimas, las operaciones de recopilación y exfiltración de datos, que recientemente se han convertido en la mayor preocupación de los CISO sobre los ataques cibernéticos, suelen ocupar el primer lugar. »

Consulte: Política de respuesta a incidentes (Tech Pro Research)

En cuanto a la efectividad del limpiador, los dos investigadores creen que está directamente relacionado con la velocidad a la que el malware destruye la información digital, en particular:

• respaldo: La mayoría de los limpiadores eliminan las instantáneas y las copias de seguridad reales.
• arrancar datos parciales: Los primeros 10 sectores (Master Boot Record) se borran o sobrescriben con un nuevo gestor de arranque.
• archivo de datos: Los datos de una organización son un objetivo obvio. Ventura y Lee descubrieron que el limpiador sobrescribe el encabezado del archivo o sobrescribe aleatoriamente una cierta cantidad de bytes en todo el archivo. En cualquier caso, los archivos afectados se vuelven inútiles. Además, los autores advierten que ambos métodos de borrado de datos dañan la tabla maestra de archivos (NTFS para versiones recientes de Windows), lo que reduce aún más las posibilidades de recuperación de datos.

Cómo mitigar un ataque de malware de limpiaparabrisas

Informes de seguridad de lectura obligada

Los investigadores reconocen que mitigar los ataques de limpiaparabrisas requiere más que la tecnología existente y recomiendan los siguientes pasos para las organizaciones.

1: Plan de Respuesta a Incidentes de Seguridad Cibernética (CSIRP): Responder rápido depende de saber qué hacer, y aquí es donde entra en juego CSIRP. Del informe técnico de TIG: «Los CSIRP deben definir claramente las funciones y responsabilidades. Estas no pueden limitarse al departamento de seguridad cibernética, o incluso al departamento de TI… Todos en la organización deben conocer su función y lo que se espera que hagan. decisiones Esto incluye los departamentos legales y de relaciones públicas”.

2: Un plan de continuidad comercial consciente de la seguridad cibernética: La mayoría de las empresas tienen planes de continuidad para situaciones desafiantes (tanto físicas como digitales). Ventura enfatizó que es fundamental incluir la recuperación de los ataques de limpieza en la planificación de la continuidad, especialmente para proteger la infraestructura de respaldo de una organización. Para ello, recomiendan:

• Ejecutar software de copia de seguridad en sistemas que no sean Windows;
• segmentar la red de respaldo; y
• Utilice un nombre de usuario y una contraseña diferentes.

VER: Estrategias ganadoras para la ciberseguridad (informe especial de ZDNet) | Descargar informe en formato PDF (Tecnopedia)

3: Solución de gestión de parches basada en riesgos: Ventura enfatiza la importancia de reducir la superficie de ataque de una empresa manteniendo todo el software actualizado. Sin embargo, la aplicación de parches de software puede ser problemática, razón por la cual los departamentos de TI deben sopesar cuidadosamente el riesgo de vulnerabilidad frente al riesgo de afectar el negocio.

4: Aislamiento de red y usuario: Uno de los aspectos más importantes de la mitigación de daños es la segregación de la red, que no es simple ni fácil de lograr; sin embargo, Ventura puede tener una solución: «Las redes basadas en la intención pueden hacer el trabajo [network segregation] Más fácil y más rápido. Incluso si la segregación de la red no se aplica durante las operaciones normales, tener la capacidad de hacer cumplir la segregación de emergencia puede distinguir entre un ataque que tiene un impacto severo en el negocio o simplemente una interrupción menor. «

No existe una opción de aislamiento de usuarios para los profesionales de la seguridad. El libro blanco de Talos establece claramente que el aislamiento del usuario debe ser el núcleo de las operaciones empresariales. Algunas ideas sobre cómo obtener el aislamiento del usuario son:

• Cada usuario no necesita iniciar sesión en cada sistema informático;
• Las credenciales privilegiadas no deben usarse en estaciones de trabajo o servidores normales; y
• Las credenciales con privilegios deben aislarse y usarse solo en estaciones de trabajo de confianza diseñadas específicamente para tareas administrativas.

mirar: ¿Qué es el malware?Todo lo que necesita saber sobre virus, troyanos y malware (ZDNet)

5: Pila de tecnología de seguridad de red: Las empresas no deben confiar sus entornos digitales a una única tecnología de ciberseguridad. En cuanto a por qué, Ventura ha declarado repetidamente que el ataque del limpiaparabrisas está diseñado para detectar técnicas antimalware populares. Las organizaciones necesitan capas de seguridad superpuestas para complicar y oscurecer sus defensas digitales. Para agregar a la pila tecnológica de seguridad cibernética de una organización, los autores recomiendan lo siguiente:

• La tecnología EDR reduce el tiempo de detección y recuperación de los ataques de malware de limpieza;
• Ejecución en espacio aislado, que permite a los miembros del equipo de seguridad analizar el comportamiento del software antes de permitirlo en la red corporativa; y
• Las herramientas a nivel de red, como los sistemas de detección de intrusos y los sistemas de prevención de intrusos, pueden detectar y bloquear los intentos de infiltración de los adversarios.

Más allá de eso, Ventura y Lee se sienten alentados por la próxima generación de herramientas que pueden detectar patrones de malware en el tráfico cifrado y agregan que estas herramientas «… son extremadamente útiles para detectar y prevenir violaciones de datos y ransomware».

la línea de fondo

Los puntos clave para los profesionales de la ciberseguridad son:

• Considere siempre las redes internas y externas sospechosas;
• Actuar rápidamente reducirá el impacto general de los ataques de limpiaparabrisas;
• Los adversarios solo necesitan un punto de entrada y el personal de seguridad debe vigilar todos los puntos de entrada posibles.