Explotación de día cero: todo lo que necesitas saber

Las vulnerabilidades de día cero son fallas de seguridad no descubiertas en los sistemas de TI. Si los actores de amenazas descubren dicha vulnerabilidad antes que nadie, existe la posibilidad de que encuentren un exploit para manipular el sistema (por ejemplo, obtener acceso no autorizado, ejecutar código, robar datos, tomar control remoto, etc.).

Mientras tanto, las víctimas no tienen forma de detener la infracción hasta que esté disponible un parche, lo que puede tardar entre unos días y varios meses.

Este artículo es una guía completa sobre exploits de día cero y las formas en que las empresas enfrentan el peligro de fallas de seguridad no descubiertas en los sistemas de TI. Explicamos cómo suelen ocurrir los exploits de día cero y presentamos las formas más efectivas de evitar que los piratas informáticos aprovechen vulnerabilidades desconocidas en sus sistemas.

¿Qué es un exploit de día cero?

Un exploit de día cero es un método que utilizan los piratas informáticos para aprovechar una falla de software, hardware o firmware que el equipo responsable de corregir la vulnerabilidad desconoce. El término "día cero" indica que no hay tiempo entre el primer ataque y el momento en que el proveedor se entera de la vulnerabilidad.

Un exploit de día cero, una vulnerabilidad y un ataque no son términos intercambiables. Esto es lo que representa cada uno de estos términos:

• Las vulnerabilidades de día cero son fallas de seguridad descubiertas por alguien antes de que el proveedor de software se entere del problema.
• Un exploit de día cero es una técnica o táctica específica que utiliza una vulnerabilidad de día cero para comprometer un sistema de TI.
• Los ataques de día cero son ciberataques que se basan en un exploit de día cero para vulnerar o dañar el sistema objetivo.

Un exploit de día cero suele ser un medio para lograr un fin para un hacker. Un exploit permite a un actor de amenazas obtener acceso no autorizado o manipular un sistema, después de lo cual el delincuente continúa con el verdadero objetivo (por ejemplo, robar datos, inyectar ransomware, configurar una APT, etc.).

Casi el 75 % de los exploits de día cero aprovechan los problemas de corrupción de la memoria que permiten a los actores de amenazas manipular:

• El búfer se desborda.
• Lectura/escritura fuera de límites.

La segunda causa más común (alrededor del 14%) son errores de lógica y diseño que permiten escapes del sandbox y escaladas remotas de privilegios.

En un escenario ideal, la persona que descubre una vulnerabilidad de día cero es un hacker ético que notifica el problema al proveedor. Una vez que el proveedor conoce la falla, corrige el código y distribuye una solución.

Los usuarios deben actualizar sus sistemas inmediatamente cuando el parche esté disponible. Sin embargo, muchos no lo hacen, por lo que los delincuentes suelen seguir utilizando el mismo exploit mucho después de que un proveedor proporcione un parche.

¿Cuál es el mejor ejemplo de exploit de día cero?

A continuación se muestran algunos ejemplos de devastadores exploits de día cero de los últimos años:

• En 2019, los piratas informáticos aprovecharon una vulnerabilidad en la función de llamadas de voz de WhatsApp para instalar software espía en los dispositivos de los usuarios. Como resultado, los atacantes comprometieron miles de dispositivos y espiaron llamadas y mensajes.
• En 2020, los actores de amenazas descubrieron una vulnerabilidad en ZOOM que les permitía acceder de forma remota a la PC de cualquier usuario que ejecutara una versión anterior de Windows.
• En marzo de 2020, Microsoft notificó a sus usuarios sobre dos exploits de día cero en la biblioteca integrada de Adobe Type Manager (ATM). Explota fallas de ejecución remota de código (RCE) y permite a los atacantes ejecutar scripts e infectar dispositivos vulnerables.
• En abril de 2020, los delincuentes lograron explotar una vulnerabilidad de inyección SQL y atacar el servidor de base de datos PostgreSQL integrado de Sophos. Los atacantes utilizaron la falla para inyectar código en la base de datos, cambiar la configuración de seguridad e instalar malware.
• A finales de 2020, los actores de amenazas utilizaron una vulnerabilidad en iMessage para instalar el software espía Pegasus mediante un ataque sin clic (es decir, un ataque que no requiere ninguna acción por parte de la víctima). El malware otorgó a los piratas informáticos acceso remoto a dispositivos iOS y permitió a los delincuentes robar datos y escuchar llamadas.
• En abril de 2021, LinkedIn descubrió que los actores de amenazas comprometieron más de 700 millones de cuentas de usuarios mediante un exploit de día cero. Los piratas informáticos extrajeron datos de un archivo con datos públicos (nombres, direcciones de correo electrónico, números de teléfono, puestos de trabajo, etc.). Los delincuentes vendieron esa información en la Dark Web a cualquier persona interesada en realizar campañas de spam o phishing.
• En agosto de 2021, Microsoft instó a sus usuarios a instalar rápidamente una actualización de seguridad con una solución para una vulnerabilidad en el protocolo Netlogon. Este exploit de día cero permitió a los piratas informáticos obtener privilegios de administrador de dominio.

¿Cómo funciona un exploit de día cero?

Todos los exploits de día cero comienzan con el descubrimiento de una falla explotable. Hay dos formas comunes en que los actores de amenazas descubren vulnerabilidades:

• Interactuar y experimentar con una aplicación.
• Comprar información sobre vulnerabilidades en la Dark Web.

Una vez que los piratas informáticos se enteran de una falla, descubren cómo explotarla. En la mayoría de los casos, este paso implica la creación de malware. Los piratas informáticos suelen realizar algunos exploits de prueba de concepto para comprobar si el exploit de día cero funciona como se esperaba.

Los individuos que poseen el exploit deciden entonces a quién apuntar. Hay dos tipos generales de estrategias, según el exploit que descubran los piratas informáticos:

• Ataques dirigidos: los piratas informáticos descubren un exploit y quieren utilizarlo contra una organización o individuo específico.
• Ataques no dirigidos: los piratas informáticos encuentran un exploit y planean infectar tantos sistemas como sea posible. Los delincuentes suelen utilizar bots y escáneres automáticos para identificar a las víctimas con la falla descubierta.

Luego, los piratas informáticos infectan los dispositivos de destino. A menos que la falla de día cero les permita obtener acceso, los piratas informáticos recurren a métodos de infección estándar, como:

• Archivos adjuntos de correo electrónico infectados.
• Sitios web maliciosos que realizan descargas no autorizadas.
• Publicidad maliciosa.
• Ataques directos a la red.

Una vez que los piratas informáticos están dentro del sistema, la vulnerabilidad de día cero les permite realizar una actividad maliciosa, como por ejemplo:

• Ejecución Remota de Código (RCE).
• Inyección de código malicioso.
• Escalada de privilegios.
• Eludir los mecanismos de autenticación.
• Exfiltración de datos (credenciales de inicio de sesión, datos financieros, propiedad intelectual, etc.).
• Interceptación o escucha clandestina del tráfico de la red.
• Manipulación de la infraestructura de red.
• Configuración de acceso persistente y puertas traseras.
• Toma de control remoto.

El atacante continúa explotando la vulnerabilidad hasta que los objetivos detectan e informan sobre actividad maliciosa, después de lo cual el proveedor debe corregir la falla y distribuir una actualización. Este plazo varía mucho dependiendo de la complejidad del problema, pero en promedio demora alrededor de 97 días.

¿Quiénes son los atacantes de exploits de día cero?

Atribuir exploits de día cero es un desafío ya que los atacantes utilizan diferentes técnicas para ocultar sus identidades, como por ejemplo:

• Dirigir ataques a través de múltiples sistemas comprometidos.
• Utilizando diversas técnicas de cifrado.
• Utilizar servicios de anonimización.

Más del 40 % de los exploits de día cero de 2020, 2021 y 2022 siguen sin atribuirse ni reclamarse. A continuación se muestran algunas categorías comunes de atacantes de exploits de día cero:

• Individuos y grupos de ciberdelincuentes motivados por ganancias financieras (ya sea violando objetivos directamente o vendiendo exploits a otros piratas informáticos).
• Estados-nación y agencias de inteligencia privadas que desarrollan exploits de día cero para espionaje, vigilancia u operaciones cibernéticas ofensivas.
• Grupos de hacktivismo que piratean sistemas informáticos para promover causas sociales o políticas.
• Investigadores de ciberseguridad que prueban exploits sin la autorización adecuada o para beneficio personal.

¿Quiénes son los objetivos de los ataques de exploits de día cero?

Los exploits de día cero aprovechan las vulnerabilidades en una variedad de sistemas, que incluyen:

• Sistemas operativos.
• Navegadores web.
• Aplicaciones de oficina.
• Protocolos de red.
• Herramientas comerciales y de código abierto.
• Herramientas antivirus y maliciosas.
• Hardware y firmware.
• Componentes de hardware.
• Dispositivos de Internet de las cosas (IoT).

Cualquiera que utilice estas tecnologías puede ser blanco de ataques de día cero, lo que significa que cualquier persona conectada a Internet es una víctima potencial. Los atacantes persiguen un objetivo específico o buscan infectar a tantas víctimas como sea posible:

• Los ataques de día cero dirigidos persiguen objetivos potencialmente valiosos (PYMES, grandes organizaciones, agencias gubernamentales, personas de alto perfil, organizaciones sanitarias, empresas de tecnología, etc.).
• Los ataques no dirigidos atacan a cualquier persona que tenga un dispositivo que contenga una vulnerabilidad. Estas campañas permiten a los atacantes recopilar datos personales (como contraseñas, información de tarjetas de crédito o datos de atención médica) o convertir dispositivos en bots para ataques DDoS.

¿Qué tan comunes son las hazañas de día cero?

Es imposible estimar cuántos exploits de día cero están activos actualmente ya que, por naturaleza, estas técnicas se basan en vulnerabilidades desconocidas. El consenso es que los exploits de día cero son relativamente raros en comparación con los exploits de vulnerabilidades conocidas.

En 2022, los actores de amenazas descubrieron y aprovecharon un total de 55 vulnerabilidades de día cero (53 de las cuales permitieron a los piratas informáticos elevar privilegios o ejecutar código de forma remota). Esa cifra es inferior a la del año anterior (hubo al menos 66 exploits de día cero diferentes en 2021), pero el número total de ataques está aumentando.

¿Cómo detectar ataques de exploits de día cero?

Un exploit de día cero es difícil de detectar con firewalls y software antimalware estándar. Los ataques de día cero no tienen firmas conocidas (patrones que permiten a las herramientas reconocer amenazas, como bytes específicos o secuencias de instrucciones), por lo que la mejor manera de identificar un exploit es confiar en el análisis de comportamiento.

Así es como las empresas aumentan sus posibilidades de detectar exploits de día cero:

• Impulse el monitoreo de la red con herramientas que analizan el tráfico y el comportamiento de la red en busca de anomalías y actividades sospechosas. Utilice un sistema de detección de intrusiones (IDS) para identificar patrones de red inusuales y tráfico de datos inesperado.
• Utilice herramientas de análisis basadas en el comportamiento que monitoreen los procesos del sistema, el comportamiento del usuario y las actividades de las aplicaciones. Estas herramientas establecen una línea de base del comportamiento normal y señalan todas las actividades que se desvían de la norma.
• Mejore la seguridad de los terminales con herramientas que utilizan análisis basado en el comportamiento, aprendizaje automático e inteligencia artificial para detectar y detener actividades maliciosas en los terminales.
• Implemente una herramienta de administración de la superficie de ataque (ASM) que monitoree continuamente su superficie de ataque en busca de activos no autorizados (por ejemplo, dispositivos de TI en la sombra o instancias de nube no autorizadas).

La formación de los empleados también mejora su capacidad para detectar vulnerabilidades de día cero. Aumente la conciencia de su fuerza laboral sobre las amenazas de día cero y edúquelos sobre técnicas de ingeniería social y prácticas informáticas seguras.

¿Cuáles son las mejores defensas contra los ataques de exploits de día cero?

Dado que cada exploit de día cero apunta a una vulnerabilidad desconocida, las empresas no pueden protegerse contra exploits específicos. Sin embargo, existen algunas medidas generales que las organizaciones toman para reducir sus niveles de riesgo, así que esto es lo que debe hacer:

• Asegúrese de que todos en la organización apliquen todos los parches tan pronto como estén disponibles. Esta estrategia minimiza la ventana de oportunidad para que los atacantes aprovechen las vulnerabilidades descubiertas recientemente.
• Configure los programas para que se actualicen automáticamente (cuando sea posible).
• Implemente herramientas con análisis basados en el comportamiento para detectar anomalías y actividades inusuales.
• Configure su herramienta antivirus para marcar el software desactualizado.
• Asegúrese de que los empleados nunca descarguen ni instalen software de fuentes no confiables.
• Eduque a los empleados sobre las mejores prácticas de seguridad para reducir la probabilidad de violaciones de ingeniería social.
• Configure un esquema de seguridad (por ejemplo, Wi-Fi Protected Access 2) para aumentar la protección contra ataques inalámbricos.
• Segmente su red para limitar la capacidad de un atacante de moverse lateralmente y alcanzar partes de la red de misión crítica.
• Utilice una herramienta de seguridad de endpoints que supervise y responda automáticamente a la ejecución de código anómalo.
• Aplique la seguridad de confianza cero para reducir el impacto potencial de los exploits de día cero exitosos y evitar que los atacantes obtengan control o acceso excesivo.
• Refuerce los controles de acceso a la red para evitar que máquinas no autorizadas obtengan acceso remoto a sistemas de misión crítica.
• Realice validación y desinfección de entradas para evitar que los piratas informáticos experimenten con campos de entrada.
• Utilice IPsec (el protocolo de seguridad IP) para aplicar cifrado y autenticación en tránsito al tráfico de red.
• Realice evaluaciones periódicas de vulnerabilidades para descubrir fallas explotables.
• Considere la posibilidad de subcontratar servicios de pruebas de penetración para ver cómo sus sistemas resisten a los piratas informáticos éticos.
• Desarrolle un plan de respuesta a incidentes para responder rápida y eficazmente a ataques y vulnerabilidades de día cero.

Recuerde ser proactivo con su estrategia defensiva. Encuentre puntos débiles y puntos ciegos ante los actores de amenazas, asegúrese de que los administradores tengan total transparencia sobre el tráfico de la red y nunca ignore los parches de los sistemas operativos y las aplicaciones.

No arriesgue nada con los exploits de día cero

A pesar de su relativa rareza en comparación con el malware y los virus, los exploits de día cero siguen siendo una preocupación considerable para las organizaciones. Que un actor de amenazas pase por alto todas las defensas sin alertar a nadie es una receta para el desastre, razón por la cual cualquier presupuesto de seguridad debe tener espacio para la gestión proactiva de parches, evaluaciones de vulnerabilidades y detección de amenazas basada en el comportamiento.