LOS ATAQUES DE DÍA CERO (ZERO DAY): EL NUEVO CAMPO DE BATALLA

Transcripción

1 GUÍA PRÁCTICA PARA COMBATIR EL MALWARE AVANZADO Lo que las empresas pequeñas, medianas y distribuidas deben saber sobre las amenazas de nueva generación en la red PUBLICADO EN SEPTIEMBRE DE 2014

2 LOS ATAQUES DE DÍA CERO (ZERO DAY): EL NUEVO CAMPO DE BATALLA En el campo de la biomedicina, los investigadores y los doctores hace tiempo que comprendieron que los microbios y las bacterias evolucionan a lo largo del tiempo y se vuelven más resistentes a los antibióticos. Saben que es necesario desarrollar medicamentos nuevos y más fuertes para mantenerse al día. Del mismo modo, en el mundo de la seguridad de la información han surgido nuevos brotes de malware, más avanzados y resistentes a las defensas convencionales. Los atacantes han evolucionado a lo largo del tiempo y se han vuelto más inteligentes En este ebook, explicaremos cómo ha sucedido y, lo que es más importante, qué es lo que puede hacer al respecto. 2

3 PARCHES, FIRMAS Y MUCHO MÁS DEFENSAS CON ALCANCE INSUFICIENTE En 2003, el gusano SQL Slammer congestionó el tráfico de Internet en muchas partes del mundo durante varias horas. i Este gusano se hizo desgraciadamente famoso por atacar un conocido punto débil de la base de datos SQL de Microsoft, para el cual existía un parche en el mercado desde hacía seis meses. Las claves de su éxito y su proliferación fueron su pequeño tamaño, el modo en que se reproducía rápidamente y su manera de buscar aleatoriamente nuevos objetivos para infectarlos. Durante los años posteriores, los fabricantes de TI ofrecieron respuesta a este tipo de amenazas. Cada mes, Microsoft lanza al mercado una serie de actualizaciones para corregir los puntos débiles que se hayan detectado en su software. Adobe, siguiendo su ejemplo, proporciona soluciones directas de seguridad cada Patch Tuesday (martes de los parches). Cisco también ofrece un importante conjunto de soluciones relacionadas con la seguridad cada trimestre. Se fomenta la buena práctica para que los administradores parcheen sus sistemas con frecuencia para así tenerlos al día. Otro tipo de defensas incluyen los sistemas de prevención de intrusos (IPS, Intrusion Prevention Systems), que realizan una inspección profunda de los paquetes para buscar patrones conocidos de vulnerabilidades. Los sistemas antivirus bloquean el malware (software malicioso) y lo ponen en cuarentena. Las regulaciones, como el estándar PCI DSS, exigen que las empresas mantengan su software antivirus actualizado con la firma más reciente. Las soluciones de gestión centralizada son usadas para garantizar que todos los usuarios estén usando la última versión de antivirus en su PC o portátil, e incluso en los dispositivos móviles con sistema operativo Android. Pero no es suficiente. 3

4 QUÉ ES UNA AMENAZA PERSISTENTE AVANZADA? Para comprender por qué las tecnologías actuales no bastan para proteger las redes del presente, es necesario conocer las características de las nuevas Amenazas Persistentes Avanzadas (APT). El malware moderno utiliza técnicas avanzadas (como canales de comunicación cifrados, herramientas de intrusión a nivel de núcleo y sofisticadas capacidades de evasión) para superar las defensas de una red. Incluso muy a menudo se aprovechan de los puntos débiles de día cero: defectos para los cuales todavía no existe ningún parche y no se ha creado ninguna firma. En 2012, el equipo de WatchGuard LiveSecurity informó de cuatro puntos débiles de día cero que se estaban explotando y propagando. En 2013, alertamos de cerca de trece amenazas de día cero que se estaban utilizando activamente de manera clandestina. ii El software malicioso moderno es a menudo persistente y está diseñado para quedarse. Es sigiloso y oculta cautelosamente sus comunicaciones; además, vive en la red de las víctimas tanto tiempo como puede, y a menudo borra el rastro que deja tras de sí (elimina registros, utiliza un cifrado fuerte y solo envía informes a su controlador en pequeñas y ofuscadas ráfagas). Actualmente, muchos ataques se basan en combinaciones de distintas técnicas. Los grupos de atacantes, altamente cualificados, motivados y respaldados económicamente, representan una amenaza significativa pues tienen muy claros sus objetivos y su meta: a menudo se trata de beneficios económicos, ya sea por el robo de tarjetas de crédito o por otros tipos de información valiosa. 4

5 CARACTERÍSTICAS DE UNA AMENAZA PERSISTENTE AVANZADA Dirigida El objetivo es una determinada empresa, una nación o una tecnología específica. La infiltración no es accidental. Avanzada Un ataque desconocido de día cero que incluye malware y utiliza herramientas de intrusión a nivel de kernel, así como tecnologías de evasión y antidetección. Persistente No se detiene. Continúa realizando phishing, conectándose y probando hasta que encuentra el modo de introducirse. 5

6 Enero 2010 Operation Aurora Objetivo: Google Resultado: Robo del código fuente LA EVOLUCIÓN DE LAS AMENAZAS AVANZADAS PERSISTENTES Junio 2010 Marzo 2011 Stuxnet Objetivo: Irán Resultado:Afectó a las operaciones de una planta nuclear RSA/Lockheed Objetivo: RSA y Lockheed Martin Resultado: Robo de varios SecureID TÉCNICAS GUBERNAMENTALES SON UTILIZADAS PARA GANAR DINERO Las consecuencias de los fallos de seguridad son notables para cualquier empresa. La revista Forbes informó que los beneficios de Target, una gran compañía minorista de EE. UU., disminuyeron casi un 50 % en el cuarto trimestre de 2013, iii y la razón principal fue la publicidad negativa que se originó a causa de una falla en su sistema de seguridad de datos durante la temporada navideña de El precio de las acciones cayó un 9 %. El Director de TI ya no trabaja en la compañía y del 5 % al 10 % de sus compradores afirmaron que nunca más volverán a comprar en sus tiendas. iv Tras el fallo de seguridad de Target, y durante los meses posteriores, otros grandes distribuidores revelaron pérdidas de datos. A finales de julio de 2014, el Departamento de Seguridad Nacional de EE. UU. emitió una advertencia informando que el malware PoS Backoff y sus variantes habían afectado a más de 1000 redes. Las autoridades instaron a las empresas a buscar el troyano Backoff en sus redes para eliminarlo. v Septiembre 2011 MAyo 2012 Enero 2013 Octubre 2013 Diciembre 2013 Septiembre 2014 Duqu Objetivo: Irán, Sudán, Siria y Cuba Resultado: Robo de certificados digitales Flame Objetivo: Países de Oriente Medio Resultado: Recopilación y extracción de datos New York Times Objetivo: NY Times Resultado: Robo de datos y contraseñas corporativas Falla seguridad Adobe Objetivo: Adobe Resultado: Robo de información y datos de clientes Falla seguridad Target Objetivo: Target Resultado: Robo de datos de tarjetas de crédito de clientes Falla seguridad Home Depot Objetivo: Home Depot Resultado: Robo de datos de tarjetas de crédito de clientes. 6

7 LOS ANTIVIRUS NO PUEDEN SEGUIR EL RITMO La lucha contra el malware es muy similar a una carrera armamentística. Cada vez que los defensores introducen nuevas técnicas de detección, los atacantes intentan encontrar nuevas vías para esquivarlas. Las empresas antivirus (AV) tradicionales emplean ingenieros y creadores de firmas que analizan los archivos. Ellos se encargan de monitorizar el funcionamiento de los programas desconocidos en un entorno controlado. También envían los archivos a herramientas como Anubis, las cuales ejecutan un archivo e informan sobre cualquier tipo de actividad o comportamiento que indique la presencia de un virus. Pero el desarrollo de firmas es una alternativa abocada al fracaso pues existe un 88% de probabilidades de que el nuevo malware se haya creado como una variante de otro malware existente evitando su detección por medio de las técnicas clásicas. Lastline Labs publicó un estudio basado en cientos de miles de fragmentos de software malicioso detectados en el transcurso de un año, desde mayo de 2013 hasta mayo de Cada muestra de software malicioso se probó con los 47 antivirus que los vendedores incluyeron en VirusTotal, un sitio web de terceros que agrega distintas soluciones AV y las compara. El objetivo de esta investigación era determinar la efectividad del AV, qué motores captaron las muestras de software malicioso y con qué rapidez se detectaba nuevo software malicioso. Los resultados fueron sorprendentes. 7

8 En el día 0, sólo el 51 % de los escáneres del AV detectaron nuevas muestras de malware Transcurridas 2 semanas, se observó un salto considerable en los índices de detección (hasta un 61 %), lo que indica la existencia de una demora habitual en el desarrollo por parte de los vendedores de AV. El software malicioso en la categoría del 1.er percentil, el menos probable de ser detectado (línea roja), pasó desapercibido para la mayoría de los escáneres del AV durante meses y, en algunos casos, nunca llegó a detectarse. 8

9 LAS DEFENSAS EVOLUCIONAN PASO 1: MÁS ALLÁ DEL ENTORNO SEGURO (SANDBOX) En la actualidad, las soluciones sandbox se utilizan automáticamente como parte del proceso de detección. El código se ejecuta y analiza de manera dinámica en el sandbox sin ningún tipo de supervisión humana. Por desgracia, los programadores de malware utilizan técnicas evasivas para asegurarse de que sus programas no revelen ninguna actividad maliciosa cuando se ejecutan en tales entornos de análisis automatizados. Algunas de las técnicas comunes utilizadas por malware son: Los fabricantes de seguridad reaccionaron añadiendo algunas medidas de contrainteligencia a sus sistemas. Comprueban si el malware está haciendo peticiones a claves de registro conocidos, y fuerzan a despertarle en caso que entre en reposo. Pero esta estrategia continúa siendo reactiva. Los sistemas de análisis de malware deben actualizarse manualmente para tratar cada nueva y evasiva artimaña. Los desarrolladores de malware que crearon las evasiones de día cero pueden esquivar la detección hasta que la sandbox se actualice. Comprobar si se está ejecutando en una máquina virtual Solicitar las claves de registro conocidas de Windows que indiquen la presencia de una sandbox concreta Entrar en modo de reposo durante un tiempo, esperando a que la sandbox agote el tiempo previsto para realizar su análisis 9

10 LIMITACIONES DE LOS ENTORNOS SEGUROS (SANDBOXES) BASADOS EN LA VIRTUALIZACIÓN En la actualidad, las implantaciones más comunes de las sandboxes dependen normalmente de un entorno virtual que contiene el sistema operativo huésped. Algunas veces, una sandbox ejecuta el sistema operativo directamente en una máquina real. La clave del problema, y la limitación principal de las sandboxes modernas basadas en la virtualización, es su falta de visibilidad y de profundización en la ejecución de un programa malware. La sandbox necesita observar con el mayor detalle que le sea posible el comportamiento del malware, pero siempre debe hacerlo de manera que quede oculto para el malware. Si el malware puede detectar la presencia de una sandbox, alterará su comportamiento. Por ejemplo, en lugar de simplemente entrar en modo de reposo, los programas más sofisticados llevan a cabo algunas operaciones de computación, que no sirven para nada, pero que dan la apariencia de actividad. Por lo tanto, la sandbox no puede activar el programa de ninguna manera. El programa sencillamente se ejecuta y, desde el punto de vista del sistema de análisis de malware, todo es normal. La mayoría de software malware se ejecuta en modo usuario (ya sea como usuario habitual o como administrador). Las sandboxes basadas en la virtualización examinan las llamadas al Sistema y las llamadas API de Windows procedentes de los programas que se ejecutan en modo usuario. Las llamadas del sistema o las llamadas a funciones capturan todas las interacciones entre un programa y su entorno (p. ej., cuando se leen los archivos, se escriben las claves de registro y se genera tráfico de red). Pero la sandbox no ve nada de lo que sucede entre las llamadas del sistema. Los desarrollares de malware pueden atacar este punto débil. En nuestro ejemplo, el código de infección es un código que se ejecuta entre las llamadas del sistema. 10

11 PASO 2: EMULACIÓN COMPLETA DEL SISTEMA Se requiere una estrategia más inteligente. Un emulador es un programa de software que simula la funcionalidad de otro programa o de un componente de hardware. Desde el momento en que un emulador desarrolla su funcionalidad vía software, le proporciona una gran flexibilidad. La emulación del sistema operativo proporciona un alto nivel de visibilidad de los comportamientos del malware. Ahora bien, los emuladores a nivel de sistema operativo no pueden replicar cada una de las llamadas de un sistema operativo. Habitualmente, se centran en un subconjunto común de funciones. Por desgracia, esta estrategia es la que el malware avanzado detecta con mayor facilidad para evadirse. La emulación completa del sistema, en la que el emulador simula ser el hardware físico (incluidas la CPU y la memoria), proporciona el nivel de visibilidad más profundo del comportamiento del malware y también es la táctica más difícil de detectar para el software malicioso avanzado. 11

12 APT BLOCKER DE WATCHGUARD El APT Blocker, un nuevo servicio disponible para todas las soluciones UTM y NGFW de WatchGuard, utiliza la emulación del sistema (CPU y memoria) para obtener una visión detallada de la ejecución del programa malware. Después de haber sido analizado a través de otros servicios de seguridad, se genera un hash y se contrasta con una base de datos existente: primero en el propio dispositivo y después en la nube. Si el archivo no había sido nunca visto, se analiza mediante el emulador del sistema, monitorizando la ejecución de todas las instrucciones, siendo capaz de detectar las técnicas de evasión que otras sandboxes no perciben. vi Cuando se detecta el malware, es posible bloquearlo inmediatamente en el dispositivo. Si se tratase de un auténtico archivo de día cero (un archivo nunca antes analizado) éste se entregará al usuario, y en paralelo se realizará el análisis en la nube. La seguridad estará siempre garantizada pues el sistema WatchGuard permite garantizar la seguridad y el seguimiento de todas las amenazas por parte del departamento de TI. Puede generar alertas indicando que un fichero sospechoso se encuentra en la red. TIPOS DE ARCHIVOS ANALIZADOS POR APT BLOCKER Todos los archivos ejecutables de Windows Adobe PDF Microsoft Office Archivos del instalador de aplicaciones de Android (.apk) Los archivos comprimidos (como los.zip de Windows) se descomprimen LASTLINE TECHNOLOGY WatchGuard seleccionó el mejor socio de su categoría para el desarrollo del servicio del APT Blocker. Lastline Technology fue fundada por el equipo técnico que desarrolló Anubis, la herramienta que los investigadores de todo el mundo han utilizado durante los últimos ocho años para analizar los archivos en busca de un potencial software malicioso. vii 12

13 DIFICULTAD PARA LA DETECCION DE EVASIONES DE SOFTWARE MALWARE Los sistemas de emulación poseen la mayor capacidad para detectar malware. DIFICULTAD DE EVASIÓN VIRTUALIZACIÓN (VM) Sandbox tradicional INTERCEPCIÓN DE LLAMADAS EN MODO USUARIO EMULACIÓN COMPLETA DE SISTEMA CPU, memoria EMULACIÓN DEL SO CONOCIMIENTO SOBRE EL COMPORTAMIENTO DEL SOFTWARE MALICIOSO 13

14 EL INFORME DE APT MUESTRA ACTIVIDAD MALICIOSA PASO 3: VISIBILIDAD DEL SISTEMA WatchGuard Dimension también incluye la actividad de APT en cuadros de mando de seguridad de primer nivel, junto con informes detallados del resto de servicios de seguridad. La actividad de APT está incluida en el resumen de los informes ejecutivos de alto nivel. Los administradores cuentan con diez informes diferentes predefinidos. El ejemplo anterior muestra varias características que son típicas de un software malicioso. Las dos evasiones de la parte superior muestran cómo la solución ha sido capaz de detectar la actividad maliciosa que habría podido confundir a otro tipo de soluciones con sandboxes. 14

15 LA ACTIVIDAD DE APT BLOCKER VISTA A TRAVÉS DE WATCHGUARD DIMENSION 15

16 PASO 4: INFORMACIÓN PROCESABLE La detección del software malware no es suficiente. El personal de TI necesita información clara y útil, y no perderse en una cantidad ingente de logs. Los departamentos de TI tienen la tarea de garantizar la continuidad del negocio. A pesar del tremendo impacto que las incidencias de seguridad pueden tener en un negocio, muchos departamentos de TI desconfían de los avisos de seguridad sospechosos. Neiman Marcus tuvo más de incidencias de registro que demostraron la existencia de software malicioso en su red. viii Target contó con ficheros de logs un par de días después de la primera brecha de seguridad indicando la existencia de una problema. Fueron ignorados. ix Cualquier solución avanzada contra malware debe proporcionar lo siguiente: Avisos por correo electrónico cuando un archivo dañino sea detectado Capacidades de registro (logs) e informes que estén estrechamente integradas con otras medidas de seguridad en la red EL APT BLOCKER DE WATCHGUARD cumple todos los requisitos de visibilidad gracias a los avisos por correo electrónico, el análisis de registros (logs) en tiempo real y la capacidad de poder entrar a mayor detalle siempre que se requiera más información. El servicio está totalmente integrado en WatchGuard Dimension, la premiada solución de visibilidad e inteligencia en seguridad x que se incluye gratuitamente en todas las soluciones UTM y NGFW de WatchGuard. Va más allá de un simple aviso que dice que un archivo es sospechoso. Proporciona un informe detallado de la actividad maliciosa de cada uno de los archivos que se califican como software malicioso Indicación clara de por qué el archivo se ha identificado como software malicioso, evitando su inmediato descarte como potencial falso positivo 16

17 MANTENGA SUS DATOS A SALVO CON LA DETECCIÓN AVANZADA DE MALWARE Las amenazas han evolucionado. Hoy en día, los piratas informáticos utilizan las mismas técnicas avanzadas que los ataques a los gobiernos en los pasados años. Las soluciones de seguridad deben evolucionar para anticiparse a estas amenazas y mantener la seguridad de su red. La detección de malware basada en firmas ya no es suficiente. Los antivirus y los servicios de prevención de intrusos (IPS) todavía son una parte necesaria para la defensa de cualquier empresa, pero deben completarse con nuevas capacidades de detección avanzadas que dispongan de cuatro características clave: 1. Sandbox en la nube con una emulación completa del sistema, que tenga la capacidad de analizar varios tipos de archivos 2. Ir más allá de la sandbox para detectar distintas formas de evasiones avanzadas 3. Visibilidad con avisos claros de todo el malware detectado, y el detalle de por qué se considera malicioso cada uno de ellos 4. Capacidad para actuar de forma proactiva y bloquear los archivos perniciosos El APT Blocker de WatchGuard va más allá de la detección antivirus basada en la firma, puesto que utiliza una sandbox basada en la nube con una emulación completa del sistema para detectar y bloquear el malware avanzado y los ataques de día cero. Si desea obtener más información acerca del APT Blocker de WatchGuard y otros servicios punteros de seguridad que WatchGuard ofrece en sus plataformas UTM y NGFW, visite 17

18 DIRECCIÓN: 505 Fifth Avenue South Suite 500 Seattle, WA WEB: VENTAS EN AMÉRICA DEL NORTE: VENTAS INTERNACIONALES: ACERCA DE WATCHGUARD WatchGuard Technologies, Inc. es un líder mundial en el sector de las soluciones integradas de seguridad empresarial multifunción, que combinan hábilmente el hardware industrial estándar, las mejores funciones de seguridad y herramientas de gestión basadas en las políticas. WatchGuard ofrece una protección profesional de alta seguridad y fácil de usar a cientos de miles de empresas de todo el mundo. Los productos de WatchGuard están respaldados por el servicio WatchGuard LiveSecurity y por un innovador programa de soporte. WatchGuard tiene su sede central en Seattle, Washingotn, con oficinas en América del Norte, Europa, Asia-Pacífico y América Latina. Para obtener más información, visite WatchGuard.com. En el presente documento no se proporciona ninguna garantía explícita o implícita. Todas las especificaciones están sujetas a cambios y todos los productos, las características o las funcionalidades previstos para el futuro se proporcionarán según las bases disponibles, si las hay y cuando las haya WatchGuard Technologies, Inc. Todos los derechos reservados. WatchGuard, el logotipo de WatchGuard y WatchGuard Dimension son marcas comerciales registradas o marcas comerciales de WatchGuard Technologies, Inc. en Estados Unidos y/o en otros países. Todos los demás nombres comerciales y marcas comerciales pertenecen a sus respectivos propietarios. END NOTES i ii iii iv v vi vii viii ix x