Please enter CoinGecko Free Api Key to get this plugin works.

Bl0ckch41nnewsCredenciales comprometidas y acceso RDP, los canales más comunes del ransomware

34


Según nuevos
datos de Sophos, el compromiso del protocolo de escritorio remoto (RDP) ha alcanzado niveles
récord en ataques de ransomware.

La empresa analizó 150 de sus casos de respuesta a incidentes de 2023 y
descubrió que el abuso de RDP se presentaba en el 90 % de ellos para brindar a
los actores de amenazas acceso remoto a entornos Windows.

Sophos describió la
tasa de abuso de RDP como «sin precedentes»
y dijo que explicaba parcialmente por qué los servicios remotos externos eran
la forma más popular para que los actores de amenazas obtuvieran acceso
inicial en ataques de ransomware, lo que representó el 65% de los casos el año
pasado.

En un caso,
los atacantes lograron comprometer a la misma víctima cuatro veces en seis
meses a través de puertos RDP expuestos.

Una vez dentro, pudieron moverse lateralmente a través de sus redes,
descargando archivos binarios maliciosos, deshabilitando la protección de
endpoints y estableciendo acceso remoto, dijo Sophos.

RDP ofrece varias ventajas para los actores de ransomware:

  • Es extremadamente popular entre los administradores de red.
  • Los atacantes pueden abusar de él para acceder de forma remota sin activar
    ninguna alarma AV o EDR.
  • Ofrece una GUI fácil de usar.
  • El servicio a menudo está mal configurado, lo que significa que está
    expuesto públicamente y protegido sólo con credenciales fáciles de
    descifrar.
  • A veces se utilizan cuentas con privilegios elevados para RDP, lo que
    amplifica el daño que se puede causar.
  • Los administradores suelen desactivar funciones de seguridad como la
    autenticación a nivel de red.
  • Muchas organizaciones olvidan segmentar sus redes, lo que ayuda a los
    atacantes RDP

«Los servicios remotos externos son un requisito necesario, pero riesgoso,
para muchas empresas. Los atacantes comprenden los riesgos que plantean
estos servicios y buscan activamente subvertirlos debido a la recompensa que
se esconde detrás»
, argumentó John Shier, CTO de campo de Sophos.

Exponer los servicios sin una cuidadosa consideración y mitigación de sus
riesgos conduce inevitablemente a un compromiso. Un atacante no tarda mucho en
encontrar y violar un servidor RDP expuesto y, sin controles adicionales, para
luego también vulnerar servidores Active Directory que están del otro lado.

Si bien todos los ataques de ransomware tienen resultados negativos, aquellos
que comienzan explotando vulnerabilidades sin parches son particularmente
brutales para sus víctimas. Las organizaciones afectadas por ataques que
comenzaron de esta manera reportan resultados considerablemente más graves que
aquellas cuyos
ataques comenzaron con credenciales comprometidas, incluida una mayor propensión a:

  • Tener copias de seguridad comprometidas (tasa de éxito del 75% frente al 54%
    para credenciales comprometidas)
  • Tener datos cifrados (tasa de cifrado del 67% frente al 43% para
    credenciales comprometidas)
  • Pagar el rescate (tasa de pago del 71% frente al 45% para credenciales
    comprometidas)
  • Cubrir el costo total del rescate internamente (el 31% financió el rescate
    completo internamente frente al 2% para las credenciales comprometidas)
  • Costos generales de recuperación de ataques 4 veces mayores ($3 millones
    frente a $750.000 para credenciales comprometidas)
  • Tiempo de recuperación más lento (el 45% tardó más de un mes frente al 37%
    para las credenciales comprometidas)

El informe completo se puede descargar desde
aquí y
aquí.

Fuente: Infosecurity-Magazine



Source link

Los comentarios están cerrados.