¿Qué es un ataque a un pozo de agua y cómo protegerse de él?

El panorama de amenazas en línea es un lugar muy diverso. En un extremo del espectro, tienes personas con demasiado tiempo libre tratando de impulsar estafas mal pensadas y aplicaciones infestadas de anuncios que son poco más que una molestia. Luego, tiene hackers moderadamente expertos que saben cómo diseñar un vector de infección eficiente y engañan a muchas personas para que instalen inadvertidamente malware peligroso. Finalmente, tienes el pez realmente grande: equipos sofisticados de piratería (también conocidos como grupos de amenaza persistente avanzada (APT)) que a menudo están patrocinados por el estado y persiguen objetivos específicos de alto perfil. Para lograr sus objetivos, estos grupos sofisticados a veces despliegan lo que se conoce en la industria como un "ataque a un pozo de agua".

La diferencia entre hackers regulares y actores de amenazas patrocinados por el estado

En comparación con los ciberdelincuentes comunes, el trabajo de los APT es mucho más difícil. En primer lugar, sus objetivos suelen ser grandes empresas u organizaciones gubernamentales que saben lo valiosa que puede ser su infraestructura de TI y han pensado en su seguridad. El malware APT debe ser muy bueno para cumplir sus tareas sin ser detectado, pero incluso esto puede no ser suficiente porque implementar dicho malware podría implicar pasar por el factor humano.

En las campañas de rociar y rezar dirigidas a usuarios que hacen clic con satisfacción, esto no es un gran problema, pero las víctimas de los piratas informáticos patrocinados por el estado podrían ser mucho más difíciles de engañar. Las personas que trabajan para grandes organizaciones a menudo reciben una amplia capacitación en seguridad cibernética y, por lo tanto, es mucho menos probable que abran archivos adjuntos aleatorios o hagan clic en enlaces en correos electrónicos. Es por eso que, aunque no está completamente ausente del arsenal de APT, el phishing en este entorno podría no ser tan efectivo. Aquí es donde entran los ataques de los pozos de agua.

¿Qué es un ataque a un pozo de agua?

Una de las características distintivas de las actividades cibercriminales realizadas por los grupos APT es el hecho de que a menudo se basa en un estudio cuidadoso de la rutina diaria del objetivo. Cuando preparan un ataque a un pozo de agua, los piratas informáticos usan herramientas de reconocimiento o información pública para aprender más sobre los hábitos de navegación de la víctima. Luego comprometen uno o más de los sitios web que la víctima visita regularmente y lo usan como un vector de ataque.

Para minimizar el daño colateral y evitar la detección, el código malicioso que los hackers inyectan a menudo verifica la IP de cada visitante y desencadena la infección solo si detecta la dirección de la víctima. Dicho esto, los ataques a los pozos de agua pueden dirigirse no solo a un solo objetivo sino a un grupo de organizaciones que trabajan en el mismo sector.

De aquí proviene el nombre del ataque del pozo de agua, justo cuando los depredadores acechan en los agujeros de agua reales para atacar a su presa, los piratas informáticos tienen suficiente información sobre las rutinas en línea de los objetivos y la aprovechan para crear un vector de ataque efectivo. Algunos de ustedes podrían decir que suena un poco exagerado, pero, como una parte del sector bancario de Polonia aprendió a su propio costo hace un par de años, es todo lo contrario.

En 2017, "algunos" bancos comerciales polacos notaron que algo no estaba del todo bien con sus sistemas informáticos. Se llamó a los expertos, y pronto quedó claro que todos los bancos afectados fueron afectados por la misma variedad de malware previamente indocumentado.. Una investigación adicional reveló que la fuente de infección era el sitio web del regulador financiero nacional de Polonia, y los investigadores de Symantec más tarde notaron que otros grupos de piratería habían utilizado las mismas herramientas para llevar a cabo ataques similares de pozos de agua en otras partes del mundo.

Prevención de ataques de abrevaderos

Los ataques de abrevaderos muestran que en el mundo moderno en línea, no todo depende de usted. Todos usan sitios web y servicios de terceros durante su vida diaria, y el hecho de que estos servicios de terceros pueden verse comprometidos es lo que hace posible los ataques a los pozos de agua. Dicho esto, en la mayoría de los casos, la infección real depende de los kits de exploits, y no tienes excusa para no protegerte a ti y a tu organización contra esta amenaza en particular.

Obviamente, el software totalmente actualizado y las herramientas de seguridad acreditadas son lo primero que hay que implementar, pero probablemente no sean suficientes. Como hemos mencionado en el pasado , aunque los kits de exploits son en su mayoría automatizados, a veces dependen de un poco de ingeniería social y, a menudo, algunos conocimientos técnicos básicos pueden ser muy útiles. Por lo tanto, si trabaja para una organización que podría ser objeto de ataques de pozos de agua, asegúrese de que las actualizaciones automáticas para todas las aplicaciones que usa estén encendidas e intente mantener los ojos bien abiertos en todo momento.