SANS revela los 5 ciberataques más peligrosos para 2023

CONFERENCIA RSA 2023 – San Francisco — Entrenadores expertos del Instituto SANS detallaron aquí ayer lo que llaman las formas más peligrosas de ciberataques para 2023.

Los temas clave que surgieron a la superficie incluyeron la intersección de la IA con los patrones de ataque y cómo los atacantes aprovechan los entornos de desarrollo altamente flexibles.

«Este es mi panel favorito del año», dijo Ed Skoudis, presidente de Colegio del Instituto de Tecnología SANS y moderador del panel, quien presentó a los panelistas de SANS como educadores para sus organizaciones y como expertos con experiencia práctica en lo que está sucediendo actualmente en el panorama de los ataques.

“Estas son las personas a las que me estoy acercando y una gran cantidad de otras personas que buscan lo último sobre los ataques y lo que debemos hacer para defendernos de ellos”, dijo.

1. Ataques potenciados por SEO

Al igual que las empresas normales, utilizan la optimización de motores de búsqueda (SEO) para mejorar la clasificación de ciertos términos para comercializar sus productos y dirigir el tráfico a sitios web generadores de ingresos que Los malos también recurren al SEO. En su caso, lo usan para mejorar la clasificación de sus sitios web cargados de malware para atraer a más víctimas a su sitio, explicó Katie Nickels, directora sénior de inteligencia digital e instructora de SANS de Red Canary. Dijo que, dado que los defensores de la seguridad son mejores para bloquear los clics salientes a sitios web maliciosos al bloquear los intentos de phishing y similares, los atacantes se adaptan atrayéndolos a través de ataques de pozos de agua. Y SEO juega en este esquema.

“Así que imaginen que algunos de ustedes están en marketing y Usas la optimización de motores de búsqueda para que los resultados de tu negocio lleguen a lo más alto”, explicó Nickels. «Bueno, los oponentes hacen lo mismo, pero para el mal, ¿verdad? Utilizan palabras clave y otras técnicas de SEO para garantizar que sus resultados, sus sitios web maliciosos, estén en la parte superior de los resultados de los motores de búsqueda».

Nickels pasó por una eEjemplo de un ataque GootLoader propagado usando SEO para mejorar la clasificación de una búsqueda de «acuerdos legales» para dirigirse a usuarios desprevenidos que buscan una descarga simple de una plantilla de documento legal.

2. Publicidad maliciosa

De manera similar a cómo los especialistas en marketing usan técnicas de búsqueda orgánica a través de SEO y técnicas de búsqueda paga con publicidad, los ciberdelincuentes hacen lo mismo. De acuerdo con Nickels, los ataques desde el automóvil son impulsados ​​de manera similar por publicidad maliciosa (publicidad maliciosa) Campañas que mejoran artificialmente el ranking de sitios web para ciertas palabras clave.

«Y, como dato curioso, en realidad no planeé esto, pero ayer se agregó la publicidad maliciosa a MITRE ATT&CK como una nueva técnica», dijo.

El ejemplo que sacó a la luz en este caso fue una campaña similar para un software gratuito de gráficos en 3D llamado Blender.

«Búsquelo y obtendrá un montón de anuncios y un montón de resultados», dijo. «El primer anuncio, eso es malo. El segundo cuando hago clic en él también sería un sitio web malicioso. El tercero tiene que ser real, ¿verdad? No, en este caso el tercer anuncio también era malicioso. No es hasta el cuarto resultado de esa palabra clave que obtienes el sitio web legítimo del software».

Para agregar al desafío de esas clasificaciones altas, explicó que los sitios similares son casi idénticos al sitio real de Blender, ya que los malos se vuelven muy buenos imitando ciertos sitios como este.

Mientras Ni los ataques asistidos por SEO ni la publicidad maliciosa son técnicas completamente nuevas, señaló. La razón por la que los puso en la parte superior de su lista es la creciente prevalencia de estos ataques este año.

3. Desarrolladores como objetivo

Johannes Ullrich, decano de investigación en SANS Technology Institute College y director del Internet Storm Center, dijo que su elección para el año fueron los ataques cibernéticos contra software y Desarrollador de aplicaciones.

«Lo que noté el año pasado, creo que esto realmente aumentará, es que los ataques se dirigen específicamente a los desarrolladores», dijo Ullrich. “Hablamos mucho sobre dependencias y componentes maliciosos. La primera persona en su organización que se expone a estos componentes maliciosos es el desarrollador”.

Los desarrolladores son un objetivo extremadamente tentador, ya que suelen tener privilegios elevados sobre los sistemas comerciales y de TI, los sistemas que usan pueden subvertirse para envenenar la cadena de suministro de software y tienden a trabajar en computadoras que están menos bloqueadas que el usuario promedio, por lo que pueden experimentar con código y enviar software a diario.

«Gran parte de este software de protección de puntos finales está orientado a su estación de trabajo corporativa aleatoria», dijo Ullrich. «No son necesariamente adecuados o están diseñados para proteger sistemas que tienen herramientas de desarrollo instaladas».

4. Uso ofensivo de la IA

Con el explosión de grandes modelos de lenguaje (LLM) como ChatGPT, Los defensores deben esperar que los atacantes, incluso los menos técnicos, utilicen estas herramientas de inteligencia artificial para acelerar el desarrollo de exploits y el descubrimiento de día cero. Esta fue la técnica de ataque destacada por Steven Sims, director de plan de estudios de operaciones ofensivas en SANS e investigador de vulnerabilidades y desarrollador de exploits durante mucho tiempo.

Sims pasó por la facilidad con la que podía hacer que ChatGPT revelara un día cero. Hizo una demostración de algunas indicaciones que usó señalando una sección de código vulnerable al error SigRed DNS que apareció recientemente y le pidió que examinara ese código para encontrar el error como si fuera un error de día cero.

También hizo una demostración de las indicaciones que usó para que ChatGPT lo ayudara a escribir código para un ransomware simple. A pesar de ChatGPT tiene algunas protecciones integrado en el sistema para desalentar el desarrollo de código de ransomware, pudo convencerlo dividiendo las piezas en piezas separadas.

«Básicamente no hay nada que puedas hacer a la defensiva. Lo siento», dijo Sims a la audiencia. “La profundidad defensiva es importante. Las defensas expertas son importantes. Es importante entender cómo funciona esto. Es importante escribir su propia IA y aprendizaje automático para comprender más al respecto. Esas cosas son realmente todo lo que puedes hacer porque están ahí fuera y son increíbles”.

5. Armando IA para ingeniería social

Además de uso técnico ofensivo de la IAEspere que los atacantes aumenten drásticamente su uso de IA este año para hacer que sus intentos de suplantación e ingeniería social sean altamente creíbles, advirtió Heather Mahalik, directora de inteligencia digital en Cellebrite y jefa de análisis forense digital y respuesta a incidentes en SANS.

Expresó su punto con un experimento de ingeniería social que realizó con su hijo, lo que llevó a ChatGPT a escribir textos persuasivos, usando emojis, que la hicieron sonar como una niña de 9 años que intenta convencer a su hijo de que haga lo mismo. su dirección.

«Se puede usar para apuntar a personas en sus organizaciones», dijo. «Decidí apuntar a mi hijo porque estaba tratando de hacer que todo fuera realmente agradable y demostrar que todos somos vulnerables».