Defensas de correo electrónico bajo asedio: los ataques de phishing mejoran drásticamente

El informe de esta semana de que los atacantes cibernéticos se centran con precisión en la elaboración de ataques especializados para eludir la seguridad predeterminada de Microsoft muestra una evolución alarmante en las tácticas de phishing, dijeron expertos en seguridad esta semana.

Los actores de amenazas están mejorando en el deslizamiento de los ataques de phishing a través de los puntos débiles en las defensas de correo electrónico de la plataforma, utilizando una variedad de técnicas, como la ofuscación de fuente de punto cero, escondiéndose detrás de los servicios de mensajería en la nube y retrasando la activación de la carga útil, por ejemplo. También están haciendo más objetivos e investigaciones sobre las víctimas.

Como resultado, casi 1 de cada 5 correos electrónicos de phishing (18.8 %) sortearon las defensas de la plataforma de Microsoft y llegaron a las bandejas de entrada de los trabajadores en 2022, una tasa que aumentó un 74 % en comparación con 2020, según una investigación publicada el 6 de octubre por la firma de seguridad cibernética Check Point. Software. Los atacantes utilizaron cada vez más técnicas para pasar las comprobaciones de seguridad, como el marco de políticas del remitente (SPF), y ofuscar los componentes funcionales de un correo electrónico, como el uso de fuentes de tamaño cero o la ocultación de URL maliciosas del análisis.

El aumento de las capacidades de los atacantes se debe a una mejor comprensión de las defensas actuales, dice Gil Friedrich, vicepresidente de seguridad de correo electrónico de Avanan, una empresa de seguridad de correo electrónico. adquirido por Check Point en agosto de 2021.

“Es una familia de 10 a 20 técnicas, pero todas conducen al objetivo de engañar a las capas de seguridad de una empresa”, dice. “El resultado final siempre es un correo electrónico que parece genuino para el destinatario pero que se ve diferente al algoritmo que analiza el contenido”.

Microsoft se negó a comentar sobre la investigación. Sin embargo, la empresa tiene advertido de técnicas avanzadas, Tales como phishing de adversario en el medio (AiTM), que utiliza una URL personalizada para colocar un servidor proxy entre la víctima y el sitio deseado, lo que permite al atacante capturar datos confidenciales, como nombres de usuario y contraseñas. En julio, la empresa advirtió que más de 10,000 organizaciones habían sido atacadas durante una campaña AiTM.

Check Point no es el único proveedor que advierte que Los ataques de phishing están mejorando. En una encuesta, la firma de seguridad de correo electrónico Proofpoint descubrió que el 83% de las organizaciones experimentaron un ataque de phishing basado en correo electrónico con éxito. casi la mitad de los que sufrieron un ataque de este tipo en 2020. La firma de ciberseguridad Trend Micro vio que la cantidad de ataques de phishing se duplicó con creces, con un crecimiento del 137% en la primera mitad de 2022 en comparación con el mismo período en 2021, según el informe de la firma. Informe de ciberseguridad de mitad de año de 2022.

Mientras tanto, los servicios de los ciberdelincuentes, como el phishing como servicio y el malware como servicio, están encapsulando las técnicas más exitosas en ofertas fáciles de usar. En una encuesta de probadores de penetración y equipos rojos, casi la mitad (49%) consideró phishing e ingeniería social ser las técnicas de ataque con el mejor retorno de la inversión.

Phishing de información de investigación y reconocimiento

Los atacantes también están mejorando debido al esfuerzo que realizan los ciberatacantes al recopilar información para atacar a las víctimas con ingeniería social. Por un lado, están utilizando la gran cantidad de información que se puede recolectar en línea, dice Jon Clay, vicepresidente de inteligencia de amenazas de la firma de seguridad cibernética Trend Micro.

“Los actores investigan a sus víctimas utilizando inteligencia de fuente abierta para obtener mucha información sobre su víctima [y] elaboran correos electrónicos de phishing muy realistas para que hagan clic en una URL, abran un archivo adjunto o simplemente hagan lo que el correo electrónico les dice que hagan, como en el caso de ataques de compromiso de correo electrónico empresarial (BEC)”, dice.

Los datos sugieren que los atacantes también están mejorando en el análisis de tecnologías defensivas y en la determinación de sus limitaciones. Para eludir los sistemas que detectan direcciones URL maliciosas, por ejemplo, los ciberdelincuentes utilizan cada vez más sitios web dinámicos que pueden parecer legítimos cuando se envía un correo electrónico a las 2 a. m., por ejemplo, pero presentarán un sitio diferente a las 8 a. m., cuando el trabajador abre el mensaje. .

Mejoras en Defensa

Estas técnicas no solo engañan, sino que aprovechan las asimetrías en la defensa frente al ataque. Escanear cada URL enviada en un correo electrónico no es una defensa escalable, dice Friedrich de Check Point. La ejecución de direcciones URL en un espacio aislado completo, el análisis de los enlaces a una profundidad específica y el uso del procesamiento de imágenes para determinar los sitios que intentan imitar una marca requiere mucha potencia computacional.

En cambio, las empresas de seguridad de correo electrónico están implementando análisis de "tiempo de clic" para abordar el problema.

"Hay algunos algoritmos o pruebas que no se pueden ejecutar en todas las URL, porque la computación es enorme, eventualmente se convierte en un precio prohibido", dice. "Al hacer eso en el momento del clic, solo necesitamos hacer las pruebas en las URL en las que los usuarios realmente hacen clic, que es una fracción, es decir, el 1% del total de enlaces en el correo electrónico".

Además, las defensas cada vez más dependen del aprendizaje automático y la inteligencia artificial para clasificar las URL y los archivos maliciosos de formas que los sistemas basados ​​en reglas no pueden, dice Clay de Trend Micro.

“Manejar archivos adjuntos armados puede ser difícil para aquellos controles de seguridad que todavía dependen solo de firmas y no tienen tecnologías avanzadas que puedan escanear el archivo usando ML o un sandbox, los cuales podrían detectar muchos de estos archivos de malware”, dice. .

Además, declaraciones anteriores de Microsoft han notado que Office 365 incluye muchas de las capacidades de protección de correo electrónico discutidas por otros proveedores, incluida la protección contra la suplantación, la visibilidad de las campañas de ataque y el uso de heurística avanzada y aprendizaje automático para reconocer los ataques de phishing que afectan a toda una organización o industria.