Para adelantarse a las amenazas emergentes no basta con limitarse a reaccionar ante las últimas vulnerabilidades. Una de las estrategias clave para mantener una seguridad sólida consiste en diseñar capacidades de detección que se anticipen a las tendencias futuras. Uno de los pilares fundamentales de las soluciones FileTAC y MailTAC de InQuest es una sólida base de datos de firmas de archivos maliciosos, cuyo valor perdurable suele quedar demostrado cuando las reglas más antiguas detectan nuevas amenazas. Este mes queremos destacar la importancia de preparar la detección de malware para el futuro y el papel fundamental de la inteligencia proactiva sobre amenazas.
Preparación para el futuro
Prepararse para el futuro implica diseñar métodos y sistemas de detección resilientes que se anticipen a las amenazas en constante evolución y se adapten a ellas. Este enfoque proactivo ofrece varias ventajas:
- Eficacia a largo plazo: unas reglas de detección bien diseñadas siguen protegiendo contra nuevas variantes de exploits y malware, lo que reduce la necesidad de actualizaciones constantes.
- Eficiencia en el uso de recursos: al mantener unas sólidas capacidades de detección, las organizaciones pueden asignar los recursos de forma más eficaz, centrándose en las nuevas amenazas sin tener que revisar constantemente las reglas antiguas.
- Enfoque proactivo de la seguridad: Las medidas de detección preparadas para el futuro contribuyen a reforzar el enfoque general de la seguridad, proporcionando una protección constante frente a diversas amenazas.
Un sistema bien diseñado de reglas YARA es un excelente ejemplo de este concepto. Las reglas YARA son una herramienta muy eficaz para identificar y clasificar malware y otros tipos de archivos basándose en la coincidencia de patrones. Estas reglas son muy adaptables y pueden personalizarse para detectar amenazas específicas. Existen varias colecciones públicas de reglas YARA creadas por la comunidad que destacan en este aspecto. Pero uno de los verdaderos puntos fuertes de una firma de detección de alta calidad reside en su capacidad para seguir siendo eficaz a lo largo del tiempo, incluso cuando surgen nuevas amenazas o nuevas variantes de amenazas existentes. Cuando una regla YARA más antigua detecta una nueva amenaza de ciberseguridad, pone de relieve la previsión y la eficacia de unas medidas de detección bien diseñadas.
Este es un ámbito en el que InQuest se ha centrado con gran detalle, con publicaciones sobre lo que denominamos «detección en profundidad», así como una visión general de cómo llevamos a cabo el análisis estructurado del contexto de las amenazas mediante el análisis de secuencias de amenazas. Mediante estas metodologías, los ingenieros de detección pueden crear una biblioteca de contramedidas de detección que sean sólidas, resilientes y que ofrezcan una aplicabilidad prospectiva ante las evoluciones del panorama de amenazas.
La importancia de Threat Intelligence
Una inteligencia sólida sobre amenazas cibernéticas es la piedra angular de una detección de malware preparada para el futuro. Implica analizar a los autores de amenazas actuales y emergentes para comprender sus comportamientos, técnicas y tendencias. Además, integra conocimientos basados en la experiencia y las lecciones extraídas de investigaciones anteriores sobre amenazas, lo que ayuda a trazar una línea temporal que permite comprender mejor las tendencias y la evolución. Esta investigación es fundamental tanto para la creación de reglas bien fundamentadas como para una defensa proactiva.
Creación de reglas fundamentada
Al comprender el panorama actual de amenazas, los profesionales de la ciberseguridad pueden crear firmas que se anticipen a futuros vectores de ataque y variantes de malware. Nuestros investigadores de InQuest se enfrentaron precisamente a este caso concreto al desarrollar contramedidas para CVE-2023-36884. Un hash de muestra para esto es 3a3138c5add59d2172ad33bc6761f2f82ba344f3d03a2269c623f22c1a35df97.
CVE-2023-36884 fue una vulnerabilidad de día cero que ha sido explotada por un grupo de amenazas conocido como RomCom para llevar a cabo operaciones con un doble objetivo: por un lado, en el ámbito del crimeware, y por otro, al servicio de los intereses estratégicos rusos mediante unacampaña de « », dirigida contra organismosucranianos y alineados conla OTAN con fines de espionaje y para obtener acceso a credenciales. El grupo RomCom se solapa en diversos grados con Storm-0978, Hawker, Tropical Scorpius, UAC-0132, UAC-0168, Void Rabisu y UNC4895.
El funcionamiento de este exploit es similar en algunos aspectos a una vulnerabilidad anterior de 2017 (CVE-2017-0199). En un documento de Microsoft Word, un objeto OLE incrustado o remoto puede cargarse de forma silenciosa al abrir el archivo original. Esta capacidad permite que los documentos de Office actúen como portadores de contenido anidado arbitrario, lo que los atacantes aprovechan para crear exploits evasivos de varias etapas. En este caso concreto, la carga útil del malware se encuentra dentro de un documento RTF incrustado denominado «afchunk.rtf». Dentro de un objeto de este RTF, este exploit aprovecha la técnica existente, también observada en exploits para CVE-2017-0199, para descargar una carga útil adicional desde una URL codificada. Dado que se accede a la URL en forma de recurso compartido SMB, abusa de la confianza inherente que Windows otorga a los recursos compartidos de red remotos.
Dado que la estructura subyacente de este exploit es similar a la de CVE-2017-0199, nuestro equipo descubrió que esta nueva vulnerabilidad (CVE-2023-36884) activaba algunas de nuestras firmas de detección más antiguas. Las similitudes que observamos se manifestaban en los aspectos estructurales de la forma en que se habían diseñado los exploits, aunque las vulnerabilidades subyacentes no estuvieran directamente relacionadas.
De este caso podemos extraer una lección interesante: algunas reglas de detección, si se diseñan con la suficiente amplitud, pueden resultar útiles a lo largo del tiempo, llegando incluso a detectar nuevas vulnerabilidades de día cero basadas en técnicas más antiguas.
Defensa proactiva
La investigación continua en materia de inteligencia sobre amenazas permite aplicar una estrategia de defensa proactiva, identificando y mitigando las posibles amenazas antes de que puedan causar daños. El equipo de inteligencia sobre amenazas de InQuest puso en práctica este concepto el mes pasado al desarrollar firmas para detectar una vulnerabilidad MHTML en los archivos URL de Microsoft (CVE-2024-38112).
Al desarrollar esta firma, nuestros investigadores recordaron que la URL maliciosa utilizada en un archivo URL de Microsoft no tiene por qué ser necesariamente un enlace web estándar basado en HTTP. Aunque nada en la documentación disponible demostraba que los atacantes hubieran utilizado rutas de archivos locales en este exploit concreto, la intuición de nuestros analistas sugería que podrían darse variantes del ataque. Basándonos en investigaciones previas de InQuest sobre los archivos de acceso directo de Internet (archivos URL) utilizados en exploits para eludir funciones de seguridad, parece claro que numerosos subsistemas de Windows pueden verse afectados por fallos a la hora de aplicar protecciones a archivos a los que se accede a través de fuentes de medios alternativas, como SMB, WebDAV o, potencialmente, otros protocolos, cuando se utiliza el prefijo de URL «file://». Esto parece derivarse de la confianza inherente que Windows otorga a los archivos procedentes de lo que normalmente se consideran zonas más fiables utilizadas en entornos de red internos. De hecho, recientemente se han vuelto a abordar variaciones de este tema en el análisis de ZDI sobre CVE-2024-38213, lo que deja claro que las contramedidas contra este tipo de vulnerabilidades deben tener en cuenta un conjunto de factores más amplio de lo que podría parecer a primera vista. Como resultado, la firma de detección que creamos para este exploit se diseñó para anticipar este tipo de variaciones en el futuro.
Reflexiones finales
Ambos casos ponen de relieve una idea fundamental: la inteligencia sobre amenazas es la piedra angular de unas capacidades de detección sólidas y preparadas para el futuro. Las reglas de detección diseñadas manualmente son un buen ejemplo de esta capacidad, ya que a menudo detectan nuevas amenazas mediante firmas más antiguas y bien concebidas. Las firmas de detección diseñadas teniendo en cuenta la detección en profundidad y un análisis riguroso de la secuencia de amenazas suelen ser más resistentes ante los cambios en el panorama de las amenazas. Esta eficacia a lo largo del tiempo subraya la importancia de la previsión en la creación de reglas y el papel fundamental de la investigación en inteligencia sobre amenazas.
Al centrarse en medidas preparadas para el futuro e invertir en inteligencia sobre amenazas, las organizaciones pueden mantener una postura de seguridad más resistente a medida que el panorama de amenazas sigue evolucionando.
OPSWAT ha adquirido recientemente InQuest. Lee el comunicado aquí: OPSWAT InQuest para reforzar su estrategia de comercialización en el ámbito federal, así como sus capacidades de detección de redes y amenazas».
Autores: Darren Spruell y Hunter Headapohl
