Las pymes y los MSP regionales son cada vez más el objetivo de los grupos APT patrocinados por el gobierno

Los ataques de amenazas persistentes avanzadas (APT) alguna vez fueron una gran preocupación para las grandes empresas en industrias interesadas en el ciberespionaje. Este ya no es el caso, y durante el último año en particular, el número de tales ataques patrocinados por el estado contra las pequeñas y medianas empresas (PYME) ha aumentado significativamente.

La firma de seguridad cibernética Proofpoint analizó sus datos de telemetría de más de 200 000 clientes SMB durante el año pasado y encontró un aumento en las campañas de phishing lanzadas por grupos APT, particularmente aquellos que persiguen intereses rusos, iraníes y norcoreanos. El objetivo final de los ataques varió desde el espionaje y el robo de propiedad intelectual hasta acciones destructivas, robo financiero y campañas de desinformación. Las PYMES están comprometidas, lo que permite a los atacantes hacerse pasar por ellos en otros ataques y abusar de su infraestructura.

«Muchas organizaciones que intentan proteger su red a menudo se centran en Business Email Compromise (BEC), ciberdelincuentes, ransomware y familias de malware estándar que a menudo se encuentran en los correos electrónicos que reciben millones de usuarios en todo el mundo todos los días», dijeron los investigadores de Proofpoint. en su informe. “Menos común, sin embargo, es una comprensión integral de los actores de amenazas persistentes avanzadas y las campañas de phishing dirigidas que ejecutan. Estos actores de amenazas experimentados son entidades bien financiadas vinculadas a una misión estratégica específica”.

Secuestro de infraestructura por parte de grupos APT

Los grupos APT son conocidos por sus correos electrónicos de phishing altamente dirigidos y bien elaborados, que son el resultado de una investigación exhaustiva de sus objetivos previstos. Estos grupos tienen el tiempo y los recursos para buscar perfiles de empleados en LinkedIn, comprender roles y departamentos dentro de las organizaciones, identificar contratistas externos y socios comerciales, comprender los temas, sitios web y eventos que serían de interés para sus audiencias, y más.

Este tipo de información es crucial para crear señuelos de correo electrónico creíbles. Sin embargo, es aún más efectivo cuando los objetivos reciben dichos correos electrónicos de compañías que conocen o reciben enlaces a sitios web de los que no tienen motivos para sospechar. Proofpoint ha observado un número creciente de casos en los que los grupos de APT comprometen las cuentas de correo electrónico de las pymes o sus servidores web. Las técnicas utilizadas incluyen recolección de credenciales o exploits para vulnerabilidades sin parchear.

«Una vez [a] «Cuando se logró un compromiso, la dirección de correo electrónico se usó para enviar un correo electrónico malicioso a objetivos posteriores», dijeron los investigadores. «Una vez que un actor ha comprometido un servidor web que aloja un dominio, el actor de amenazas hace un mal uso de esa infraestructura legítima para alojar o distribuir malware malicioso» a un objetivo de terceros.