Cómo los ciberdelincuentes de los estados-nación atacan a la empresa

COMENTARIO

La guerra cibernética a menudo refleja los conflictos tradicionales, pero a medida que las tensiones geopolíticas globales continúan aumentando, el panorama de los actores de las amenazas cibernéticas de los Estados-nación ha cambiado significativamente. Los acontecimientos recientes han llevado a cambios de tácticas, objetivos y patrones de comportamiento. ciberataques patrocinados por el estado. Mientras que en el pasado, estos actores de amenazas se centraban principalmente en infraestructura crítica y entidades gubernamentales. Redes de energía y el transporte, los actuales actores de amenazas de los Estados-nación han ampliado aún más su alcance en la empresa.

Este panorama de amenazas en evolución ahora requiere que las organizaciones fortalezcan su postura de seguridad y se preparen para ataques sofisticados a escala nacional. La urgencia es real: sólo recientemente ha empezado a gustarle a los grupos opositores. hormiga de terciopelo, Emperador fantasmaY Voltio tifón Se han observado ataques a grandes organizaciones que intentan exfiltrar datos confidenciales y destruir sistemas críticos. Está claro que los actores que amenazan a los Estados-nación están emergiendo de las sombras hacia el centro de atención y sus amenazas ya no están en el horizonte: están a nuestras puertas.

Objetivos avanzados: empresas bajo asedio

En los últimos 12 meses, una escalada de los conflictos tradicionales ha llevado a un aumento de los ciberataques. Por ejemplo, a medida que Irán suministra más armas a Rusia y Estados Unidos y Europa continúan imponiendo sanciones adicionales contra el país mientras equipan a Ucrania con capacidades militares avanzadas, podemos esperar un aumento de los ciberataques en varios sectores. La vulnerabilidad de las infraestructuras críticas a las ciberamenazas y al aumento de las tensiones geopolíticas será claramente evidente después de 2021. Ataque al oleoducto colonialdonde los acuerdos anteriores entre el presidente estadounidense Biden y el presidente ruso Vladimir Putin para reducir los ciberataques a infraestructuras críticas se abandonaron rápidamente con el estallido de la guerra de Ucrania.

A medida que las empresas digitalizan sus servicios y operaciones, la interconexión de las empresas e infraestructuras globales –y la gran cantidad de datos confidenciales que recopilan y almacenan– también han convertido a una gama más amplia de empresas en objetivos atractivos para los actores de amenazas de los Estados-nación. Debido a los datos confidenciales procesados ​​allí, vemos cada vez más evidencia de ataques por parte de actores estatales en industrias desprevenidas como la legal, los medios de comunicación, las telecomunicaciones, la atención médica, el comercio minorista y la logística de la cadena de suministro.

Estas empresas tienen propiedad intelectual de alto valor, incluida información de clientes, patentes y contratos de propiedad, y a menudo están conectadas a redes más grandes de afiliados y proveedores. Un solo ciberataque podría otorgar las “llaves de los reinos” (acceso no detectado a cientos de sistemas críticos y datos confidenciales) que luego serían utilizadas por empresas respaldadas por el Estado para afianzarse en nuevos mercados y socavar la competencia.

Misión versus retorno de la inversión: distinguir entre actores de amenazas de estados-nación y grupos de ransomware

La clave para defenderse contra la amenaza de un Estado-nación es primero reconocer los diferentes motivos y objetivos del actor de la amenaza. A diferencia de los grupos de ransomware que apuntan principalmente al retorno financiero de la inversión (ROI) y, por lo tanto, eligen apuntar a cientos de empresas y esperar a que ataque una, los atacantes estatales están extremadamente bien equipados, orientados a objetivos y centrados en el largo plazo. como el robo de secretos comerciales, inteligencia militar o información personal de alto perfil. Otros motivos incluyen operaciones de desinformación, interrupción de infraestructura crítica y ganancias financieras del gobierno bajo la apariencia de ataques de ransomware.

Comprender las capacidades técnicas de los actores del Estado-nación.

Los actores de amenazas de los Estados-nación tienen el tiempo, la experiencia técnica y la perseverancia para lograr sus objetivos específicos. Han planeado una operación muy específica para adquirir conocimientos de forma secreta y permanente. A menudo se mueven lateralmente a través de las redes para evitar ser detectados y se vuelven a infiltrar en las redes varias veces después de la erradicación. Trabajan diligentemente para ocultar sus huellas a los análisis forenses digitales, llegando incluso a modificar protocolos de seguridad, desactivar herramientas, cifrar sistemas y alterar marcas de tiempo, lo que dificulta atribuir y diferenciar a su grupo y complica las investigaciones.

Grupo de amenaza chino NexusApodada la Hormiga de Terciopelo por Sygnia, demostró una tenacidad excepcional al establecer y mantener múltiples bases alrededor de su víctima, utilizando nuevas técnicas y el uso de diferentes tecnologías para evadir la detección. Un método utilizado para esta persistencia fue explotar un dispositivo F5 BIG-IP antiguo que estaba expuesto a Internet y utilizado como sistema interno de comando y control (C&C). El objetivo principal de esta campaña era mantener el acceso a la red objetivo con fines de espionaje.

Asimismo, se sabe que un rootkit Demodex es utilizado por Emperador fantasmaUn sofisticado actor de Estado-nación identificado por primera vez por Kaspersky en 2001 había resurgido en la empresa e intentó llevar a cabo un ataque a gran escala en 2023. El actor de amenazas comprometió servidores, estaciones de trabajo y cuentas de usuario mediante la implementación del rootkit avanzado y utilizó herramientas de código abierto disponibles en Internet para comunicarse con una red de servidores de comando y control (C2) para evitar la atribución.

Navegando por un panorama cibernético más complejo

Detectar y combatir a los actores que amenazan a los Estados-nación en la empresa es una guerra continua, no solo una batalla. Las organizaciones más avanzadas evalúan y protegen los activos digitales críticos, priorizan la visibilidad de la red y toman medidas viables de manera consistente para fortalecerlos. Ciberresiliencia e higiene antes de un ciberataque. Otros ejemplos de estrategias clave incluyen:

Contrarrestar a los actores de amenazas de los Estados-nación a nivel empresarial requiere algo más que preparación e inversión cibernética: requiere un esfuerzo colectivo. Antes de que ocurra una crisis, las organizaciones deben establecer relaciones de manera proactiva con agencias gubernamentales y pares de la industria. Al promover la comunicación abierta y compartir ideas y experiencias, las empresas pueden fortalecer la comunidad de seguridad en general y mejorar la defensa colectiva contra estas amenazas avanzadas a nivel de estado-nación.