Este tipo de amenazas digitales aprovechan programas y funciones legítimas de las organizaciones para moverse dentro de sus sistemas, sin levantar las mismas alertas que un malware tradicional.
Desde NOVARED sostienen que el desafío para las empresas ya no es solo detectar herramientas maliciosas, sino identificar cuándo las herramientas de confianza están siendo utilizadas con fines perversos.
Para una empresa, el hecho que un administrador utilice PowerShell, se conecte por SSH o ejecute una tarea programada forma parte de la operación cotidiana, pues son herramientas necesarias para mantener los sistemas funcionando y resolver problemas a diario. Sin embargo, el problema comienza cuando un atacante consigue acceso a la organización y decide hacer exactamente lo mismo.
Según Camilo Orellana, subgerente de seguridad operativa de NOVARED, esta es, en esencia, la lógica detrás de los ataques conocidos como Living off the Land (LOTL). Es decir, en lugar de instalar necesariamente programas maliciosos o introducir nuevas herramientas en un equipo, el ciberdelincuente aprovecha aquellas que la empresa u organización ya tiene instaladas y que, en principio, son confiables.
«En ambientes Windows, por ejemplo, herramientas como PowerShell, Windows Management Instrumentation (WMI), PsExec, Rundll32 o Task Scheduler cumplen funciones completamente legítimas y forman parte del trabajo habitual de administradores y equipos de infraestructura. Pero esas mismas capacidades pueden ser utilizadas por un atacante para ejecutar comandos, obtener información, moverse hacia otros equipos o intentar mantener su acceso», explica el profesional.
No obstante, aclara que el problema no termina en Windows, pues en sistemas Linux, un atacante puede recurrir a herramientas como Bash, SSH, curl, wget, cron o Python. En tanto, en ambientes cloud esta amenaza puede aprovechar AWS CLI, Azure CLI o distintas APIs, especialmente si consigue comprometer credenciales o acceder a permisos que le permitan interactuar con los recursos de la organización.
«El concepto es siempre el mismo: emplear las herramientas que ya existen y que el entorno considera confiables para realizar actividades maliciosas, intentando que estas se confundan con la operación normal», acota.
El atacante no trae sus propias herramientas
Orellana comenta que, en un ataque tradicional, las señales de alerta pueden ser más evidentes. En otras palabras, la aparición de un archivo malicioso, un nuevo ejecutable, un hash sospechoso o un comportamiento asociado a malware puede entregar pistas para que las tecnologías de seguridad actúen. En cambio, en un ataque Living off the Land la situación es diferente.
«El atacante intenta reducir su huella y utilizar procesos legítimos para que sus acciones parezcan parte de la administración habitual de los sistemas. Por eso, herramientas como PowerShell o WMI no pueden simplemente bloquearse, dado que las empresas las necesitan para funcionar. El verdadero desafío, entonces, es responder a la pregunta ¿Cómo saber si PowerShell está siendo utilizado por un administrador o por un atacante? Sin embargo, la herramienta, por sí sola, no entrega la respuesta», puntualiza.
El contexto se vuelve clave para las empresas
Frente a esta clase de amenazas, sostiene que la estrategia de seguridad debe ir más allá de buscar archivos, firmas o hashes conocidos. Añade que la atención debe centrarse también en el comportamiento, el contexto y la relación entre distintas actividades.
En este escenario, comenta que centralizar los registros de actividad en un SIEM puede ser fundamental, ya que permite reunir información proveniente de distintos sistemas y correlacionarla para encontrar patrones que, observados de manera aislada, podrían parecer normales.
A su juicio, también adquieren especial importancia prácticas como el Threat Hunting, la definición de líneas base de comportamiento y el monitoreo de aspectos como quién utiliza una herramienta, desde dónde, en qué momento y con qué propósito.
«Por ejemplo, que una persona ejecute PowerShell puede no tener nada de extraño. Pero si se trata de una cuenta que normalmente nunca utiliza esta herramienta y, poco después, esa misma cuenta comienza a realizar tareas de reconocimiento del dominio, conectarse remotamente a otros equipos y modificar privilegios, la historia cambia. En el fondo, no es una acción aislada la que necesariamente genera la alerta, sino la secuencia y el contexto en que ocurre».
La confianza también puede jugar en contra
Para el especialista de NOVARED la amenaza Living off the Land plantea un desafío particular para las organizaciones porque explota una de las características más importantes de cualquier entorno tecnológico como es la confianza. Y es que, en su opinión, las empresas necesitan confiar en sus herramientas, en sus sistemas y en sus usuarios para operar. No obstante, alerta que esa misma confianza puede ser aprovechada por un atacante que consigue entrar.
«Por eso, la pregunta ya no es solamente si una herramienta es legítima o si un usuario tiene autorización para utilizarla. También es necesario preguntarse si esa actividad es coherente con lo que normalmente hace ese usuario, en ese equipo, en ese horario y dentro de ese contexto. Dicho de otra manera, el reto para las áreas de ciberseguridad es aprender a distinguir entre una actividad legítima y una actividad que parece legítima», subraya.
Adicionalmente, asegura que los ataques Living off the Land muestran cómo ha evolucionado el desafío de la ciberseguridad para las empresas. El ciberdelincuente no siempre necesita introducir algo extraño en la organización. En ocasiones, puede aprovechar lo que ya está ahí.
Por eso, recalca que fortalecer las capacidades de monitoreo, correlación y análisis de comportamiento se vuelve cada vez más importante. «No se trata de bloquear las herramientas que permiten operar a una compañía, sino de comprender cómo se están utilizando y detectar cuándo su uso deja de ser normal», concluye.
