Introducción

Contexto estratégico: un mundo inestable

Interpretar los datos de este informe requiere comprender "el panorama general" a escala mundial. Esto se debe a que las ciberamenazas a organizaciones de todo el mundo no se producen en un vacío técnico. Entre los principales impulsores del ciberriesgo se encuentran las guerras y otras fuerzas mayores, los cambios a gran escala en los ciclos económicos y las nuevas vulnerabilidades que pueden surgir cada vez que un equipo introduce cambios en factores como los modelos de negocio, los partners clave, los procesos básicos, la adopción de tecnología y el cumplimiento de normativas. Una muestra de los factores que influyen en nuestros datos sobre amenazas del primer trimestre de 2023 incluye:

• La invasión rusa de Ucrania y la guerra asimétrica contra Occidente: la ciberactividad con fines de espionaje, guerra y desinformación al servicio de las ambiciones políticas, económicas y territoriales de los Estados más importantes sigue intensificándose. Los hackers lanzan ciberataques cada vez más sofisticados contra empresas, gobiernos e infraestructuras occidentales.
• Control consolidado de Xi Jinping sobre China y sus aspiraciones geopolíticas: Los objetivos nacionalistas de China, su política exterior asertiva y sus prácticas de espionaje corporativo siguen impulsando los ciberriesgos, ya que los grupos de amenazas persistentes avanzadas (APT) afiliados a China dominan el panorama mundial.
• Economías en desarrollo y rápida expansión de las infraestructuras: en el desarrollo de muchas regiones que amplían sus infraestructuras y tecnologías a medida que crecen sus economías, la ciberseguridad no suelen ser una prioridad, lo que da lugar a muchas vulnerabilidades relacionadas con la seguridad de infraestructuras críticas. 
• Inflación mundial y sus repercusiones económicas y políticas: este trimestre incluyó volatilidad de los mercados, crisis financieras y políticas, y presiones sobre las prioridades de gasto y los presupuestos de ciberseguridad.
• Interrupciones continuas en la cadena de suministro tras la crisis: las nuevas vías de comercialización entre regiones exigieron cambios en los partners, las redes de transporte, el intercambio de información y, por extensión, los ciberriesgos. Dado que las ciberamenazas afectan diariamente a la cadena de suministro, la necesidad de contar con capacidades de confianza cero (Zero-Trust) sigue siendo fuerte en todos los sectores. 
• El mito del entorno de seguridad superior de Apple: esto persiste a pesar del hecho de que los entornos macOS ya no pueden considerarse seguros a medida que los actores de amenazas comienzan a aprovechar el malware basado en Golang a gran escala y amplían los vectores de ataque para cubrir numerosos sistemas operativos. 
• La inteligencia artificial llega al escenario mundial, prometiendo trastornos: la ciberdefensa se ve favorecida y perjudicada por la mejora del aprendizaje automático, el procesamiento del lenguaje natural y otros avances. A medida que las ciberamenazas globales evolucionan y se producen a una escala mucho más rápida de lo que los equipos humanos pueden gestionar, las soluciones de inteligencia artificial se convierten en vitales para la ciberdefensa empresarial.

Ciberseguridad: retos de los CISO y la revolución de los SecOps

Lo más destacado del primer trimestre de 2023 de un vistazo

El panorama de ransomware

• La ola ransomware: el ransomware sigue siendo el principal tipo de ciberataque en todo el mundo. Las tácticas de ingeniería social para engañar y manipular a las personas para que divulguen información confidencial o personal, como el phishing, son más frecuentes que nunca, incluso a medida que se vuelven más sofisticadas.
• Dominio de Cuba y Play: aunque observamos un descenso de la actividad ciberdelictiva relacionada con los rescates a principios de año, las familias de ransomware más frecuentes en el primer trimestre fueron Cuba (9 %) y Play (7 %).
• LockBit persiste: a pesar de haber reducido su actividad dos trimestres seguidos, LockBit sigue siendo el ransomware más agresivo a la hora de presionar a sus víctimas para que cumplan las peticiones de rescate.
• Magecart Group, ¿en alza?: los informes públicos indican que la actividad de este grupo de robo de tarjetas de crédito y reventa de comercio electrónico aumentó enormemente en el primer trimestre de 2023. Esta amenaza rara vez opera a la misma escala de actividad que otras grandes APT afiliadas a Estados, lo que podría indicar una reaparición el Magecart Group en todo el mundo. 

Evolución de las tácticas del ransomware

• Objetivos económicos: no sorprende que las motivaciones del ransomware sigan siendo principalmente financieras; los sectores de seguros (20 %) y servicios financieros (17 %) registraron el mayor número de detecciones de posibles ataques. 
• Las medianas empresas, las más afectadas: la evaluación de los datos de sitios de filtraciones revela que las víctimas de estos ataques suelen ser empresas medianas con solo entre 51 y 200 empleados (32,3 %) y unos ingresos de entre 10 y 50 millones de dólares (38,3%). 
• Estados Unidos como principal objetivo: Estados Unidos (15 %) fue el país más afectado por los grupos de ransomware. También fue el país con el mayor porcentaje de víctimas corporativas (48 %) que decidieron "recomprar sus datos" a los atacantes, una tasa seis veces mayor que la siguiente nación de la lista, el Reino Unido.
• Cobalt Strike como arma favorita: la telemetría de Trellix identifica esta herramienta como una de las favoritas de los autores de ransomware (28 % de los incidentes). Su popularidad y uso parecen estar creciendo entre estos grupos, a pesar de los intentos del proveedor Fortra a finales del cuarto trimestre de 2022  de dificultar su uso a los ciberdelincuentes.

Señales de alerta de los Estados

• Ciberdelincuentes más relevantes: en los últimos seis meses, las APT vinculadas a China, como Mustang Panda y UNC4191, fueron las más activas en sus ataques contra Estados en el primer trimestre. Los actores de amenazas vinculados a China dominaron la escena mundial, generando el 79,3 % de toda la actividad contra países, seguidas de los vinculados a Corea del Norte, Rusia e Irán. 
• Grupos de APT más activos: Mustang Panda se mantuvo por tercer trimestre consecutivo como el grupo de APT más activo en todo el mundo (72 %), lo que denota los continuos y crecientes esfuerzos ciberdelictivos de China con fines de espionaje y alteración. 

Vulnerability Intelligence

• Falta de respuesta a las vulnerabilidades conocidas: la mayoría de las vulnerabilidades más críticas de este trimestre consistían en vulnerabilidades conocidas aún no resueltas.
• Noticias de ayer: en el caso de una vulnerabilidad de Apple revelada en febrero de este año, el fallo tenía raíces tan lejanas como el exploit FORCEDENTRY, que fue utilizado por el NSO Group como parte de su spyware Pegasus revelado en 2021. 

Seguridad del correo electrónico

• Nuevas vías de ataque: aunque Microsoft ha empezado a bloquear los adjuntos de macros para la plataforma Office, los actores de amenazas han adoptado rápidamente otros medios de infección para seguir atacando los dispositivos Windows, como el envenenamiento de SEO, OneNote y los adjuntos zip.
• Marcas poco fiables: los ciberdelincuentes utilizan cada vez más marcas y servicios legítimos, como los de PayPal, Google, DWeb e IPFS, para estafar a las víctimas y robar sus credenciales online.

Acceso no autorizado a la nube

• Un cambio de táctica: los ataques a la infraestructura en la nube siguen aumentando a medida que más y más empresas migran de una infraestructura in situ a opciones más asequibles y escalables de Amazon, Microsoft, Google y otros.
• Cuentas válidas: aunque los ataques más sofisticados con autenticación multifactor, proxies y ejecución de API están en ascenso, la técnica de ataque dominante sigue siendo a través de cuentas válidas, con más del doble de frecuencia que el segundo vector de ataque más utilizado. Esto pone de relieve que el riesgo de acceso fraudulento es real, ya que los ciberdelincuentes acceden y venden inicios de sesión de cuentas web legítimos para infiltrarse y realizar ataques.

Las herramientas de terceros más maliciosas, como Cobalt Strike, Mimikatz y Sharphound, son utilizadas en legítimamente. Los encargados de pruebas de penetración que intentan infiltrarse en una red pueden utilizar estas herramientas para recopilar contraseñas, configurar balizas o elevar privilegios. Los actores de amenazas las utilizan del mismo modo, acortando el tiempo de desarrollo y permitiendo a un atacante aprovecharse de herramientas utilizadas recientemente o dejadas accidentalmente en un equipo, o residir en el sistema de un usuario final curioso.

En el primer trimestre de 2023, el Magecart Group, APT29 y APT41 fueron los tres grupos de amenazas y APT más activos en atacar a usuarios por ubicación geográfica y sectores como métodos para recaudar valor monetario, descubrir secretos de estado o inhibir el uso de infraestructuras. Nos sorprendió descubrir que el Magecart Group encabezaba la lista, ya que rara vez opera a la escala de las otras grandes APT afiliadas a Estados. Vigilaremos la actividad de este grupo en los próximos meses para determinar si los datos de este periodo indican su reaparición en la escena mundial.

Las técnicas menos sofisticadas de "spray-and-pray" o envíos masivos de mensajes, diseñadas para atrapar a cualquiera que pudiera hacer clic o descargar, plagaron los sectores en campañas globales pasadas. Los ataques dirigidos han evolucionado en sofisticación, aumentando su persistencia contra los sectores industrial, financiero y sanitario. Aunque los dos sectores restantes, telecomunicaciones y energía, parecen haber sido atacados con menor frecuencia en los eventos globales, ambos son igualmente importantes y es posible que las organizaciones de estos no hayan informado de un incidente o sigan sin ser conscientes de su existencia.

Los sucesos notificados analizados y examinados por nuestro equipo de investigación contienen abundante información, correlaciones o atribuciones de un actor de amenazas individual, un grupo de amenazas o una APT más sofisticada. Las herramientas, técnicas y procedimientos, junto con las familias de malware, incluyen programas maliciosos cargadores y descargadores, RAT, ladrones de información y ransomware. En los eventos del primer trimestre de 2023 analizados y disponibles a través de Insights, determinamos que Ucrania fue el objetivo más frecuente, seguida de cerca por Estados Unidos.

Las familias de ransomware Royal Ransom, Trigona y Maui fueron las más atacadas en el primer trimestre de 2023. Trellix publicó recientemente un análisis detallado de Royal Ransom y su funcionamiento interno con ejecutables de Windows y Linux. Aunque las estadísticas representadas surgieron específicamente de nuestra plataforma Insights, se produjeron muchos eventos adicionales en toda la infraestructura conectada globalmente, incluidos eventos conocidos notificados o mantenidos en privado y eventos que aún deben identificarse y corregirse.

Países atacados el primer trimestre de 2023 Informes públicos

7

En los incidentes públicos disponibles para el análisis, determinamos que Ucrania era el país más atacado por los actores de amenazas, seguido de cerca por Estados Unidos.

1.

Ucrania

7 %

2.

Estados Unidos

7 %

3.

Alemania

4 %

4.

Corea del Sur

3 %

5.

India

3 %

Ransomware en el primer trimestre de 2023 Informes públicos

1.

Royal Ransom

7 %

2.

Trigona

4 %

3.

Maui

4 %

4.

Magniber

3 %

5.

Lockbit

3 %

Actividad relacionada con Estados

La información sobre la actividad de los grupos afiliados por Estados recopilada de múltiples fuentes crea una mejor imagen del panorama de las amenazas y ayuda a reducir el sesgo de observación. En primer lugar, representamos los datos extraídos al correlacionar los indicadores de peligro de grupos relacionados con Estados con telemetría de clientes de Trellix. En segundo lugar, aportamos datos de los distintos informes publicados por el sector de la seguridad previamente filtrados, analizados y depurados por el grupo de inteligencia de amenazas.

Como se ha indicado anteriormente, estas estadísticas que se muestran a continuación corresponden a las campañas, no a las detecciones en sí. Debido a que se agregan varios tipos de registros, al uso que hacen nuestros clientes de las estrategias de simulación de amenazas y al elevado nivel de correlaciones con la base de conocimientos de inteligencia de amenazas, los datos se filtran manualmente para cumplir nuestros objetivos de análisis.

Nuestra telemetría global mostró indicadores de peligro (IoC relacionadas pertenecen a varias campañas de grupos de APT. Seguimos observando que los actores de amenazas afiliados a China dominan el panorama mundial, en particular con Mustang Panda como responsable de una mayoría significativa de las detecciones en el primer trimestre de 2023. Dado que dependen en gran medida de la carga local y otras técnicas de ocultación, es posible que los grupos de APT afiliados a China roten sus herramientas de malware con menos frecuencia que otros actores de amenazas. De ser así, esta práctica podría provocar un "sesgo de proyección" o una estimación inflada de las detecciones de  hashes afiliados a China.

Los siguientes actores de amenazas y sus países, sus herramientas y técnicas, así como los países y sectores afectados, representan los más frecuentes en las campañas que hemos identificado.

Vulnerability Intelligence

Los expertos en ingeniería inversa y análisis de vulnerabilidades del Trellix Advanced Research Center supervisan continuamente las vulnerabilidades más recientes con el fin de orientar a los clientes sobre cómo las están aprovechando los actores de amenazas y cómo mitigar la probabilidad y el impacto de estos ataques.

Uno de nuestros hallazgos más críticos, aunque no sorprendentes, para el primer trimestre de 2023 es que muchas de las vulnerabilidades más críticas de este periodo consistían en eludir parches para CVE antiguas, fallos en la cadena de suministro resultantes de la utilización de bibliotecas obsoletas o vulnerabilidades corregidas hace tiempo que persisten mucho más allá de sus esperados cinco minutos de fama.

Consideremos CVE-2022-47966 por ejemplo, una vulnerabilidad crítica (9,8) en los productos ManageEngine de Zoho que hizo las rondas este enero. ManageEngine lo utilizan miles de empresas en todo el mundo, por lo que no nos sorprendió cuando se detectó en circulación la explotación de esta vulnerabilidad. Lo que nos asombró fue la causa raíz: la utilización de Apache Santuario 1.4.1 –una versión casi lo suficientemente antigua como para votar– que contenía un problema conocido que permitía la inyección de XML. Zoho corrigió la vulnerabilidad en toda su gama de productos en octubre y luego, casi tres meses más tarde, en el primer trimestre, CISA publicó un aviso advirtiendo de la explotación de la vulnerabilidad e instando a los proveedores a aplicar el parche correspondiente.

Otro ejemplo es CVE-2022-44877, una vulnerabilidad crítica en Control Web Panel (CWP). Aunque no está directamente relacionada, esta vulnerabilidad tiene muchas de las características de nuestro ejemplo anterior: es otra vulnerabilidad de ejecución remota de código de 9,8 que vio una explotación activa generalizada en enero a pesar de haber sido corregida en octubre. La causa raíz tampoco era exactamente digna de una charla en Black Hat: inyección de comandos usando expansión de variables shell estándar en un parámetro URL.

Un tercer ejemplo es CVE-2021-21974, una vulnerabilidad en el servicio OpenSLP de VMware ESXi corregida en febrero de 2021, casi exactamente dos años antes de su repentino resurgimiento debido a una explotación en entornos reales. Cuando informamos sobre esta vulnerabilidad en nuestro Informe de errores de febrero, observamos que alrededor de 48 000 servidores accesibles a través de Internet seguían ejecutando versiones vulnerables de ESXi según Shodan. Hoy, esa cifra sigue siendo superior a 38 000, lo que supone un cambio de menos del 22 %.

Tabla 1: Resultados del análisis Shodan de instancias de ESXi vulnerables realizado a finales de febrero y finales de abril.

Encontramos algunos ejemplos propios cuando investigábamos los dispositivos de Apple a principios de este año: CVE-2023-23530 y CVE-2023-23531. Estas dos vulnerabilidades difieren de los ejemplos anteriores en que su impacto se limita a la elevación local de privilegios y no a la ejecución remota de código. Sin embargo, esta no es una razón para pasar por alto su importancia, ya que una vulnerabilidad muy similar fue aprovechada por el exploit FORCEDENTRY, que fue utilizado por el NSO Group para desplegar su spyware Pegasus en 2021. De hecho, las dos vulnerabilidades CVE que hemos descubierto utilizan el mismo componente primitivo que sirvió de base para el exploit FORCEDENTRY: una clase inocua llamada NSPredicate. Desafortunadamente, el enfoque de Apple para mitigar FORCEDENTRY implicó el uso de una extensa lista de denegación para apuntalar las formas en que NSPredicate estaba siendo abusado, una mitigación que no abordó el problema de fondo y nos permitió eludirlo.

Resulta tentador señalar este tipo de tendencias y concluir que los proveedores no se toman en serio la seguridad o lamentar la reaparición de antiguos exploits por parte de los actores de amenazas y los investigadores, pero esta no es la conclusión correcta. Los investigadores de vulnerabilidades se dedican al análisis de variantes porque un investigador de vulnerabilidades eficaz emula las prioridades de los actores de amenazas reales, y encontrar una forma de eludir la mitigación o una vulnerabilidad CVE antigua en un producto rara vez parcheado produce sistemáticamente una mayor rentabilidad que reinventar la rueda. Para las organizaciones que reconocen legítimamente esta tendencia, la conclusión debería ser la siguiente: aunque las tecnologías punteras de detección de amenazas son insustituibles en el panorama moderno de las amenazas, se pueden obtener muchas victorias en los aspectos fundamentales, como los procesos de aplicación de parches y la investigación de la cadena de suministro.

Incidentes en la nube

Siguen aumentando los ataques a infraestructuras en la nube contra servicios desarrollados y prestados por Amazon, Microsoft, Google y otros. Los datos siguientes describen brevemente los datos de telemetría de ataques basados en la nube de nuestra base de clientes desglosada distintos proveedores de nube.

Metodología

Recopilación: los avezados expertos del Advanced Research Center recopilan las estadísticas, tendencias y datos que componen este informe a partir de una amplia gama de fuentes globales.

• Fuentes cautivas: en algunos casos, la telemetría la generan las soluciones de seguridad de Trellix en las redes de ciberseguridad de los clientes y los marcos de defensa desplegados en todo el mundo en redes tanto del sector público como del privado, incluidas las que prestan servicios de tecnología, infraestructuras o datos. Estos sistemas, que se cuentan por millones, generan datos procedentes de mil millones de sensores.
• Fuentes abiertas: en otros casos, Trellix aprovecha una combinación de herramientas patentadas, propias y de código abierto para rastrear sitios, registros y repositorios de datos en Internet, así como en la web oscura, como los "sitios de filtraciones" donde los actores maliciosos publican información sobre sus víctimas de ransomware o perteneciente a ellas.

Normalización: los datos agregados se introducen en nuestras plataformas Insights y ATLAS. Aprovechando el aprendizaje automático, la automatización y la agudeza humana, el equipo efectúa una serie de procesos intensivos, integrados e iterativos con el objetivo de normalizar los datos, analizar la información y desarrollar ideas relevantes para los responsables de la ciberseguridad y los equipos SecOps en primera línea de la ciberseguridad en todo el mundo.

Análisis: a continuación, Trellix analiza esta vasta reserva de información, en relación con (1) su amplia base de conocimientos de inteligencia sobre amenazas, (2) informes del sector de la ciberseguridad de fuentes muy respetadas y acreditadas, y (3) la experiencia y los conocimientos de los analistas de ciberseguridad, investigadores, especialistas en ingeniería inversa, investigadores forenses y expertos en vulnerabilidades de Trellix.

Interpretación: por último, el equipo de Trellix extrae, revisa y valida información relevante que puede ayudar a los líderes de ciberseguridad y a los equipos de SecOps a (1) comprender las tendencias más recientes en el entorno de las ciberamenazas, y (2) utilizar esta perspectiva para mejorar su capacidad de anticipar, prevenir y defender a su organización de ciberataques en el futuro.

Recursos

Archivo de informes sobre amenazas

The Mind of the CISO

Trellix Advanced Research Center Discovers a New Privilege Escalation Bug Class on macOS and iOS

A Royal Analysis of Royal Ransom

Feeding Gophers to Ghidra

Acerca del Trellix Advanced Research Center

Trellix Advanced Research Center posee la carta de ciberseguridad más completa del sector y está a la vanguardia de los métodos, tendencias y ciberdelincuentes emergentes en el panorama mundial de las amenazas y es partner ineludible de los equipos de operaciones de seguridad en todo el mundo. el Trellix Advanced Research Center ofrece inteligencia y contenido avanzado a los analistas de seguridad, mientras fomenta nuestra plataforma XDR. Además, el grupo de inteligencia de amenazas del Trellix Advanced Research Center ofrece productos y servicios de inteligencia sobre amenazas a clientes de todo el mundo.

Trellix Advanced Research Center

Acerca de Trellix

Trellix es una empresa mundial que tiene como vocación redefinir el futuro de la ciberseguridad. Su plataforma de detección y respuesta ampliadas (eXtended Detection and Response, XDR), abierta y nativa, ayuda a organizaciones que se enfrentan a las amenazas más avanzadas en la actualidad a conseguir confianza en la protección y la resiliencia de sus operaciones. Trellix, junto con un nutrido ecosistema de partners, acelera las innovaciones tecnológicas gracias al aprendizaje automático y a la automatización, para reforzar la protección de más de 40 000 clientes de los sectores privado y público mediante una seguridad evolutiva.

Suscríbase para recibir nuestra información sobre amenazas

Esta página web y la información que contiene describen investigaciones en el campo de la seguridad informática, con fines informativos y para la conveniencia de los clientes de Trellix. Las investigaciones de Trellix se llevan a cabo de acuerdo con su Política de divulgación razonable de vulnerabilidades | Trellix. El riesgo por cualquier intento de recrear una parte o la totalidad de las actividades descritas será asumido exclusivamente por el usuario, y ni Trellix ni ninguna de sus empresas filiales asumirá responsabilidad alguna.

Trellix es una marca comercial registrada o marca registrada de Musarubra US LLC o sus empresas filiales en EE. UU. y otros países. Los demás nombres y marcas pueden ser reclamados como propiedad de otros.