Cómo una campaña de ingeniería social engañó a investigadores de seguridad informática

La persistencia es clave

Lo que hizo que esta campaña fuera exitosa, según la directora ejecutiva de SocialProof Security, Rachel Tobac, es que la ingeniería social y la construcción de relaciones comenzaron muy temprano, mucho antes de lo observado en muchas otras campañas.

"Muchas veces verá a los atacantes ir directamente al señuelo, directamente al malware en su típico ataque de phishing. Eso no es lo que sucedió aquí. A mediados del año 2020, los atacantes comenzaron a construir una buena relación, construyendo una reputación con sus objetivos, la comunidad de seguridad en general, y conseguir esa confianza era algo que se podía ver que era muy importante para ellos".

Tobac le dijo a SearchSecurity que estos actores de estado-nación usaban lo que en el campo de la ingeniería social se denomina como principios de persuasión.

"Lo primero que vimos fue que aprovecharon su autoridad. Crearon autoridad sobre el tema para poder dirigir a las personas a su blog malicioso. Comenzaron con contenido real y auténtico y luego pasaron al ataque. En segundo lugar, los vimos usar la reciprocidad, que es donde discuten detalles personales sobre sí mismos para obtener detalles personales sobre su objetivo", dijo. "Luego vimos la prueba social en acción en la que mencionaron a las personas adecuadas en los blogs y utilizaron su blog como arma, lo que probablemente hicieron todo el tiempo. La comunidad de seguridad confió en el contenido porque parecía real y no debían revisar si estaban comprometidos".

La cuarta táctica que observó Tobac fue el compromiso y la coherencia. "Se trata de hacer preguntas aparentemente inocuas para realmente construir una buena relación, de modo que cuando lleguen a las preguntas espeluznantes se siente bien, un poco en confianza como 'ya he estado hablando con esta persona durante mucho tiempo'".

Un ejemplo que proporcionó Tobac fue preguntarle a un investigador si está usando Chrome.

"Si esa persona dice 'sí', entonces, por supuesto, ese señuelo y el malware que van a usar es un día cero de Chrome contra ese objetivo. Por lo tanto, personalizan su enfoque en función del sistema operativo que está buscando el investigador, el campo de investigación para asegurarse de que el malware funcione en su máquina. Es extremadamente inteligente".

En general, los ataques patrocinados por el estado suelen ser más intensos. Una cosa hace que su metodología de ataque sea única: la persistencia.

"Realmente se congraciaron y ganaron confianza con la comunidad de seguridad y la comunidad de investigadores. Tenían como 2.000 seguidores en todas las cuentas de Twitter. Señalarían un impulso a su propio trabajo entre las cuentas de Twitter. Estos tweets generaron cientos de me gusta y retweets incluso antes de que los atacantes pasaran a enviar mensajes directos a las personas. Tienen la reputación de hablar sobre investigación y publicar buenas investigaciones".

Reed Loden, evangelista jefe de seguridad de código abierto de HackerOne, dijo a SearchSecurity que la plataforma de recompensas de errores (bug bounty) nunca antes había visto investigadores de seguridad siendo el blanco específico de actores estatales a este nivel de detalle y persistencia. Sin embargo, dijo, no es de extrañar.

"Muchos miembros del personal de seguridad tienen acceso privilegiado debido a la necesidad de investigar posibles problemas de seguridad en todos los niveles, por lo que de hecho son objetivos excelentes para los actores estatales", dijo en un correo electrónico a SearchSecurity.

Además, las redes sociales proporcionan una gran cantidad de información que facilita a los actores de amenazas llevar a cabo ataques de ingeniería social.

"Tienen mucho más éxito cuando se alinean con el interés de un objetivo, y toda esta información se puede encontrar en Twitter o Instagram. Otro vector de ataque proviene de lo que los empleados filtran inadvertidamente, por ejemplo, una foto de ellos en el trabajo en LinkedIn puede dar a un ciberdelincuente una guía perfecta de cómo deben verse un uniforme y una insignia", dijo Loden.

Según Tobac, cualquiera que tenga el pretexto adecuado, el momento adecuado y el señuelo adecuado puede verse comprometido. "No nos burlamos de la gente por ser blanco de la ingeniería social porque atrae a quienes somos fundamentalmente como humanos. Simplemente decimos que es así. Los piratas informáticos humanos [van] a piratear humanos".

Esta campaña más reciente atrajo un interés adicional porque es un buen ejemplo de los actores de amenazas que se toman su tiempo, se familiarizan con sus objetivos y desarrollan conexiones con ellos con paciencia, dijo Tobac. "En lugar de construir persistencia en una red y esperar tranquilamente en la red, realmente estamos viendo persistencia en el lado de la ingeniería social, en lugar del lado técnico".

Protección contra el hackeo humano

En muchos casos, la capacitación en concientización sobre seguridad prepara a las personas para lo que pueden esperar de un ataque de ingeniería social. Eso puede funcionar para los correos electrónicos de phishing tradicionales y las tácticas de suplantación de identidad menores, pero cuando se trata de actores del estado-nación capacitados, no es suficiente.

Tim Sadler, cofundador de la empresa de seguridad de correo electrónico Tessian, dijo a SearchSecurity que la formación tradicional de concienciación sobre seguridad ya no es suficiente.

"En este ataque, los ciberdelincuentes utilizaron sofisticadas tácticas de suplantación de identidad para generar confianza a lo largo del tiempo y engañar a los investigadores para que instalaran sin saberlo código malicioso", dijo en un correo electrónico a SearchSecurity. "El entrenamiento tradicional de concientización sobre seguridad no resolvería esto. ¿Por qué? Debido a que muchos de los signos reveladores de una estafa, que a las personas se les enseña a tener en cuenta durante las sesiones de capacitación, simplemente no estaban presentes. El otro problema es que la formación única no tiene en cuenta el hecho de que los piratas informáticos juegan a largo plazo, utilizando múltiples puntos de contacto para dirigirse a sus víctimas. ¿Cómo pueden las empresas esperar que sus empleados recuerden la formación impartida hace más de seis meses, por ejemplo?"

Según Sadler, la capacitación debe evolucionar para mantenerse al día con el panorama de amenazas en evolución.

"Debe entregarse de forma automática y continua, concienciando a los empleados sobre las amenazas potenciales en el momento y aconsejándoles qué acciones tomar. La capacitación en conciencia de seguridad debe utilizar las amenazas del mundo real que enfrentan los empleados para proporcionar contexto. Las plataformas de formación se basan en la simulación de amenazas de phishing y utilizan plantillas predefinidas de amenazas comunes. Si bien este es un enfoque justo para la conciencia de phishing genérica, es ineficaz para preparar a los empleados para las amenazas de phishing altamente específicas y las estafas de suplantación de identidad que probablemente vean hoy".

Tobac estuvo de acuerdo en que la solución no es más capacitación en concientización sobre seguridad, sino más ejemplos de cómo los actores de estado nación usan la ingeniería social. "Yo diría que todos los investigadores de seguridad son muy conscientes de la forma en que funciona la ingeniería social".

Al igual que Johnson en Fuzzing IO, los investigadores de seguridad pueden protegerse mediante el uso de máquinas virtuales que están aisladas de otros sistemas para acceder a recursos o abrir archivos de partes que no son de confianza. Existen otras herramientas técnicas, incluidos los administradores de contraseñas y la autenticación multifactor, así como las mejores prácticas básicas, como no reutilizar las credenciales en cuentas y máquinas.

"Sabemos de un investigador que se vio comprometido, quien mencionó que cree que el hecho de que usaran credenciales similares o idénticas de una máquina a la siguiente en su red, llevó a los cambios dentro de la red a otra máquina. Esas son soluciones técnicas que se pueden usar, pero cuando tienes un actor de estado-nación, van a intentar persistir a través de las herramientas técnicas que tengas", dijo Tobac.

Pero ninguna de las defensas técnicas evita que las personas sean víctimas de la estafa en primer lugar, por lo que los ataques de ingeniería social son un desafío. Estar atento, especialmente en máquinas o cuentas de usuario con permisos elevados, es importante para todas las personas, independientemente de su profesión, dijo Loden.

"Incluso si se está ejecutando un sistema y un navegador completamente parcheados, los exploits de día cero se pueden usar en su contra. Es mejor ser paranoico y tal vez usar una máquina virtual sin privilegios (o un Chromebook o similar) sin acceso especial para cualquier tipo de navegación pausada, separada de cualquier sistema de trabajo que pueda permitir el acceso de un actor malintencionado dedicado a los recursos internos de una empresa".

Además, Loden recomendó la formación proactiva de los empleados y las pruebas de rutina.

"Depende de los equipos de TI y seguridad permitir y capacitar a los usuarios para que comprendan cómo mantenerse seguros y cómo construir un camino mejor, más directo y deseable para ellos. Si un empleado cae en la ingeniería social, no lo culpe. Mire en su reflejo y comprenda qué hizo que el empleado doblara en una esquina, y cómo puede alentarlo. En la práctica, esto significa brindar soluciones técnicas fácilmente utilizables a esos investigadores para garantizar que puedan protegerse mejor de las campañas de ingeniería social exitosas al segmentar cualquier trabajo de investigación de seguridad de otras actividades del día a día".

Tobac dijo que este ataque fue una llamada de atención para muchas personas. "En última instancia, veremos los impactos de este ataque en los próximos años".