El mercado de corredores de acceso inicial está en auge y representa una amenaza creciente para las empresas.

Nombres como Novelli, Orangecake, Pirat-Networks, SubComandanteVPN y Zirochka probablemente no significarán nada para la gran mayoría de los equipos de seguridad empresarial. Pero para los operadores de ransomware y otros ciberdelincuentes que buscan un acceso rápido a las redes corporativas, estos eran la Brokers acercándose durante gran parte del último año.

Juntas, las cinco entidades representaron alrededor del 25% de todas las ofertas de acceso a la red empresarial puestas a la venta en foros clandestinos entre la segunda mitad de 2021 y la primera mitad de 2022. Los agentes de acceso inicial (IAB) vendieron credenciales de cuentas de protocolo de escritorio remoto (RDP) y VPN robadas y otras credenciales, lo que permitió a los delincuentes ingresar a las redes de más de 2300 organizaciones en todo el mundo sin sudar.

Un mercado enorme y en crecimiento

Los cinco operadores eran líderes en un mercado mucho más grande y de rápido crecimiento con cientos de otros IAB similares que la empresa de seguridad Group-IB descubrió mientras realizaba una investigación. 11º Informe Anual sobre Delitos de Alta Tecnologíalanzado esta semana.

La investigación de la Compañía mostró un fuerte crecimiento año tras año en la cantidad de IAB que participan en foros y mercados clandestinos: de 262 en los 12 meses inmediatamente anteriores a 380 en el período comprendido entre la segunda mitad de 2021 y la primera mitad de 2022 Aproximadamente 327 de los IAB observados por Group-IB en funcionamiento durante este período eran nuevos participantes en el espacio.

Los investigadores de Group-IB también descubrieron un aumento del 41% en el número de países a los que pertenecían las empresas comprometidas, de 68 el año anterior a 96 durante el período de estudio. Casi una cuarta parte, el 24%, de todas las ofertas de acceso inicial fueron a las redes de organizaciones con sede en los EE. UU. Otros países con un número relativamente elevado de víctimas fueron Brasil, Canadá, Francia y Reino Unido.

«A medida que las ventas de acceso continúan creciendo y diversificándose, los IAB son una de las mayores amenazas a tener en cuenta en 2023», advirtió Dmitry Volkov, director ejecutivo de Group-IB, en un comunicado que acompaña al nuevo informe.

«Los corredores de primera entrada desempeñan el papel de productores de petróleo en la economía informal en general», señaló. «Fomentan y facilitan las operaciones de otros criminales como el ransomware y los adversarios del estado-nación».

«Cerrajeros Oportunistas del Mundo de la Seguridad»

La propuesta de valor de las IAB en la economía del cibercrimen es que permiten que otros ciberdelincuentes se afiancen en una red de destino sin tener que hacer ningún trabajo inicial. Los IAB realizan el trabajo técnico de penetrar en una red y robar credenciales, como las asociadas con VPN, servicios RDP, Active Directory y paneles de administración remota, que posteriormente permiten el acceso a ellos. A menudo, pueden volcar shells web en una red comprometida para garantizar un acceso futuro persistente a ella y luego vender los shells web. En un informe del año pasado, los investigadores del Grupo de análisis de amenazas de Google describieron las IAB como «cerrajeros oportunistas del mundo de la seguridad» que se especializan en violar un objetivo y otorgar acceso al mejor postor.

Impulsando la economía del ransomware

Los IAB ofrecen sus productos a cualquiera que esté dispuesto a comprarlos y el mercado de sus servicios. ha crecido rápidamente en los últimos dos años más o menos. Pero últimamente sus mayores clientes han sido operadores de ransomware.

Un nuevo estudio realizado por la firma de inteligencia de amenazas KELA mostró que varios ataques importantes de ransomware que involucraron a grupos como Hive, Sodinokibi, BlackByte y Quantum comenzaron con el acceso a la red desde un IAB. En un caso, miembros del grupo de ransomware Conti se unió a un IAB organizaciones objetivo en Ucrania.

«Él incidente más notable estaba relacionado con el ataque a Medibank, un proveedor de seguros australiano, que fue atacado después de que se vendiera el acceso a la red a la empresa en un canal privado de Telegram», dijo KELA.

Los investigadores de Group-IB descubrieron que el 70 % de los tipos de acceso ofrecidos por las IAB eran detalles de cuentas RDP y VPN. Muchas de las ofertas, el 47%, fueron para acceso administrativo a la red comprometida. El veintiocho por ciento de los anuncios que indicaban derechos se referían a derechos de administración de dominio, el 23 por ciento tenía derechos de uso estándar y una pequeña parte ofrecía acceso a la cuenta raíz.

Los investigadores de Group-IB también encontraron anuncios de IAB para acceder a entornos Citrix, múltiples paneles web para CMS y servidores en la nube, y shells web en sistemas comprometidos. En algunos casos, los IAB incluso ofrecieron lanzar cargas útiles de movimiento lateral como Cobalt Strike Beacon o sesiones de Metasploit en nombre del comprador. Sin embargo, las ofertas de estas credenciales y servicios tendían a ser menos comunes que aquellas con credenciales RDP y VPN.

Las organizaciones para las que las ofertas de acceso estaban más comúnmente disponibles en foros y mercados clandestinos incluían empresas manufactureras, empresas de servicios financieros, organizaciones inmobiliarias, empresas de educación y tecnología de la información.

Group-IB constató que el fuerte aumento del número de empresas activas en el sector IAB durante el período de investigación había hecho bajar los precios de la mayoría de las categorías de acceso inicial.

El precio promedio de $2800 que observó la empresa era en realidad menos de la mitad del promedio de $6500 que cobraban los IAB por el mismo acceso un año antes.