ESTADO DE LA CIBERSEGURIDAD 2025

Edición anual

13

Principales amenazas, tendencias emergentes y recomendaciones para los CISO

ÍNDICE

02 EVENTOS DE CIBERSEGURIDAD 2024

03 TENDENCIAS DE CIBERSEGURIDAD

01 INTRODUCCIÓN

05 VULNERABILIDADES GLOBALES DE ALTO PERFIL

06 PERSPECTIVA DE RESPUESTA A INCIDENTES

04 ANÁLISIS GLOBAL

07 PREDICCIONES DE LA INDUSTRIA PARA 2025

08 RECOMENDACIONES PARA LOS CISO

INTRODUCCIÓN ESTADO DE LA CIBERSEGURIDAD EN 2025

00 11

MAYA HOROWITZ

Vicepresidenta de Investigación

INTRODUCCIÓN Me complace presentar la 13.ª edición anual del informe de Check Point sobre el estado de la ciberseguridad. Los avances de 2024, como la IA y la infraestructura en la nube, mejoraron nuestra vida cotidiana, pero también beneficiaron a los ciberdelincuentes. Este informe destaca el impacto de estos cambios en el mundo real y ofrece 2025 ideas y recomendaciones de CISO y para los CISO.

Con más de una década de análisis, las perspectivas de Check Point Research provienen de fuentes de datos inigualables que ninguna otra empresa combina. Recopilamos telemetría de ataques a redes, la nube, el correo electrónico, los terminales y los dispositivos móviles de empresas y pymes. Al incorporar la respuesta a incidentes, la web oscura y los hallazgos de código abierto, logramos visibilidad en más de 170 países para revelar tendencias globales y regionales.

El informe sobre el estado de la ciberseguridad en 2025 destaca las principales amenazas:

• Las tácticas de IA que influyeron en un tercio de las elecciones mundiales mediante la desinformación.

• Aumento del 58 % de los ataques de interceptadores de información, centrados en el acceso a las empresas.

• Los ataques de ransomware pasaron del cifrado a la extorsión por filtración de datos, y la atención médica es ahora el segundo sector más atacado.

• Redes híbridas que permiten el movimiento lateral entre las instalaciones y la nube.

• Las cadenas de suministro de hardware y software registraron el mayor aumento de ataques

Quiero destacar el compromiso de Check Point con la seguridad de los clientes. En 2024, se explotaron los dispositivos perimetrales para acceder a las redes empresariales a través de credenciales filtradas y vulnerabilidades. Una de las muchas vulnerabilidades de día cero divulgadas se encontró en un producto de Check Point: la vulnerabilidad de divulgación de información en la VPN de Check (CVE-2024-24919). Lo revelamos rápidamente, publicamos un parche al día siguiente y proporcionamos asistencia proactiva a los pocos clientes potencialmente afectados mediante la respuesta y mitigación de incidentes. La dedicación a proteger a los clientes está en nuestro ADN.

Aunque el objetivo de Check Point es proteger a los clientes con nuestra investigación, esperamos que este informe responda también a las necesidades de la industria en general, ya que combinamos fuerzas y compartimos conocimientos. En nombre de la familia Check Point, espero que este informe sea útil tanto para los profesionales de la seguridad como para los ejecutivos de nivel C.

¡Que disfrute la lectura!

Maya Horowitz, Vicepresidente de Investigación

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 20254

EVENTOS DE CIBERSEGURIDAD 2024

00 22 ESTADO DE LA CIBERSEGURIDAD EN 2025

Luego de divulgar dos vulnerabilidades de día cero, las VPN de Ivanti Connect Secure se enfrentaron a una explotación masiva. Miles de dispositivos VPN se vieron comprometidos, lo cual afectó a víctimas como la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA).

Check Point Research descubrió una estafa de NFT dirigida a titulares de más de 100 proyectos populares. Los estafadores envían recompensas en activos digitales aparentemente legítimas que enlazan con sitios web fraudulentos. Se engaña a las víctimas para que conecten sus monederos, lo que les permite a los atacantes acceder a sus fondos.

Microsoft informó de un ataque del grupo ruso Midnight Blizzard (Nobelium), que utilizó un ataque de pulverización de contraseñas para comprometer cuentas de correo electrónico corporativas, incluidas las de altos cargos, ciberseguridad y personal jurídico.

Check Point Harmony Endpoint y Threat Emulation brindan protección contra esta amenaza (APT.Win.APT29; APT.Wins.Nobelium)

HealthEC LLC sufrió una filtración de datos que afectó a 4,5 millones de personas. Este ataque comprometió nombres, direcciones, DOB, SSN, información médica y de facturación, y datos de seguros de salud.

La banda de ransomware ALPHV atacó la filial de UnitedHealth Group, con el robo de seis terabytes de datos. Las clínicas y hospitales militares estadounidenses de todo el mundo se vieron afectados, lo que obligó a realizar procesos manuales de prescripción.

Check Point Harmony Endpoint y Threat Emulation brindan protección contra esta amenaza (Ransomware.Wins. BlackCat.ta.*; Ransomware.Win.BlackCat)

Cutout.Pro, un servicio de edición de fotos y videos basado en inteligencia artificial, sufrió una filtración de datos que expuso los datos personales de 20 millones de usuarios, incluidas direcciones de correo electrónico, contraseñas cifradas y direcciones IP.

El grupo APT chino Earth, Krahang, atacó 70 entidades gubernamentales de todo el mundo en una campaña de ciberespionaje, activa desde principios de 2022, utilizando vulnerabilidades en servidores orientados a Internet y tácticas de phishing de objetivo definido.

Check Point Research rastreó al actor de amenazas Magnet Goblin, motivado económicamente, que explotó vulnerabilidades de un día en servidores como Ivanti Connect Secure VPN, Magento y Qlik Sense. El actor desplegó una nueva versión para Linux de NerbianRAT y del ladrón de credenciales JavaScript WARPWIRE, mientras demostró una rápida adopción de los exploits.

Check Point IPS y Harmony Endpoint protegen contra esta amenaza (RAT_Linux_Nerbian_*)

Aprovechando una vulnerabilidad de Fortinet, hackers chinos respaldados por el Estado atacaron una red de investigación militar no clasificada en una operación de ciberespionaje contra el Ministerio de Defensa holandés, lo que supuso la primera atribución pública de un ciberataque a China.

Se identificó una vulnerabilidad de alta gravedad en el motor JavaScript V8 de Google Chrome, CVE-2024-0517. Este fallo podría permitirle a un atacante remoto explotar la corrupción del heap a través de una página HTML manipulada. Google ya solucionó la vulnerabilidad con un parche.

Check Point Harmony IPS protege contra esta amenaza (escritura fuera de límites de Google Chrome [CVE-2024- 0517])

Check Point Research descubrió una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en Microsoft Outlook, denominada #MonikerLink (CVE-2024-21413), que les permite a atacantes remotos desplegar un enlace que elude el Protocolo de Vista Protegida, lo cual puede llevar a la fuga de credenciales y capacidades de la RCE. Microsoft solucionó esta vulnerabilidad con un parche.

Check Point IPS Blade protege contra esta amenaza (Ejecución remota de código de Microsoft Outlook Moniker Link malicioso (CVE-2024-21413)

El Departamento de Justicia de los Estados Unidos desarticuló la red de bots KB, utilizada por la APT Typhoon Volt, afiliada a China, para enmascarar su identidad y atacar infraestructuras críticas en Estados Unidos. El grupo explotó dispositivos SOHO de Cisco y NetGear vulnerables y fuera de uso para el acceso inicial. En respuesta, la CISA y el FBI publicaron una guía para proveedores sobre la seguridad de los routers SOHO.

Check Point Threat Emulation protege contra esta amenaza (APT.Wins.VoltTyphoon; InfoStealer.Wins.VoltTyphoon)

LOS EVENTOS DE CIBERSEGURIDAD QUE DEFINIERON EL 2024

FEB MARENE P1

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 20256

https://blog.checkpoint.com/security/check-point-research-unfolds-navigating-the-deceptive-waters-unmasking-a-sophisticated-ongoing-nft-airdrop-scam/ https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/ https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/ https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/

Los investigadores de Check Point detectaron una campaña de typosquatting compuesta por más de 500 paquetes maliciosos desplegados en PyPI (Python Package Index), lo que supone un riesgo de instalación de malware para el robo de información personal.

Check Point CloudGuard Code Security protege contra esta amenaza.

El grupo hacktivista de habla rusa RGB-TEAM vulneró el sitio web del fiscal general de Rusia y filtró 100 000 expedientes penales de 1993 a 2022 en Telegram. Los datos incluían detalles sobre delitos como el robo y el tráfico de drogas.

Una filtración de datos de AT&T expuso la información personal de aproximadamente 51 millones de clientes antiguos y actuales, que podía incluir nombres completos, direcciones particulares, direcciones de correo electrónico, números de teléfono, números de la seguridad social, números de cuenta de AT&T y contraseñas de AT&T.

Check Point Research informó una oleada de ataques fraudulentos en los que los atacantes utilizan diversos métodos, incluidos códigos QR maliciosos y correos electrónicos de phishing, para obtener las credenciales de los contribuyentes estadounidenses y robarles las devoluciones del IRS.

EE. UU. y el Reino Unido anunciaron una acusación penal y sanciones contra APT31, un grupo de hackers chinos, por su papel en presuntos ataques contra funcionarios gubernamentales de EE. UU. y el Reino Unido. Check Point Research exploró el uso de vulnerabilidades de día cero por parte del grupo.

LOS EVENTOS DE CIBERSEGURIDAD QUE DEFINIERON EL 2024

MAYO JUNIOABR P2

Check Point Research descubrió una campaña de ciberespionaje dirigida a organizaciones gubernamentales africanas y caribeñas. Atribuida al actor de amenazas chino Sharp Dragon, la campaña adopta Cobalt Strike Beacon como carga útil, lo que permite funcionalidades de puerta trasera como la comunicación C2 y la ejecución de comandos, mientras minimiza la exposición de sus herramientas personalizadas. Este enfoque sugiere un conocimiento más profundo de sus objetivos.

La República Checa, Alemania y la OTAN revelaron una campaña de espionaje dirigida a instituciones checas a través de una vulnerabilidad de Microsoft Outlook atribuida al grupo ruso APT28, afiliado al Estado, que llevó a cabo un esfuerzo de espionaje a largo plazo en toda Europa.

Una filtración de datos de Dell afectó a 49 millones de clientes después de que su base de datos apareciera en un foro de hackers. Los datos expuestos incluyen nombres completos, direcciones particulares y detalles de pedidos.

Una filtración de datos expuso 500 GB de datos biométricos de la India, lo que afectó a policías, militares y trabajadores públicos durante las elecciones. La filtración afectó a bases de datos no protegidas de ThoughtGreen Technologies y Timing Technologies, que incluían huellas dactilares y escáneres faciales. La información podría aprovecharse para manipular los sistemas biométricos en las elecciones indias.

ShinyHunters, una conocida banda de ciberdelincuentes, puso a la venta datos de Ticketmaster y del Banco Santander en un foro de ciberdelincuencia. La filtración expone potencialmente la información personal de millones de clientes. Los informes indican que el actor de amenazas obtuvo acceso a Ticketmaster y Santander utilizando las credenciales robadas de un empleado de Snowflake, una importante empresa de almacenamiento en la nube.

La criptobolsa japonesa DMM Bitcoin confirmó una filtración de datos que provocó la pérdida de 308 millones de dólares en BTC, uno de los mayores robos de criptomonedas.

La banda Water Sigbin 8220, vinculada a China, aprovechó las vulnerabilidades en Oracle WebLogic (CVE-2017-3506 y CVE-2023-21839) para implementar malware de minería de criptomonedas utilizando scripts de PowerShell con codificación de URL hexadecimal y técnicas de ejecución sin archivos.

Check Point IPS protege contra esta amenaza (Oracle WebLogic WLS Componente de seguridad Ejecución remota de código [CVE-2017-10271], Oracle WebLogic Server Control de acceso inadecuado [CVE-2023-21839])

Check Point Research analizó Rafel RAT, una herramienta de administración remota de código abierto para ataques de espionaje y ransomware en dispositivos Android. El malware se dirigió a organizaciones de alto perfil, especialmente del sector militar, con víctimas principalmente de Estados Unidos, China e Indonesia. Permite la exfiltración de datos, la vigilancia y el control total del dispositivo, lo que provoca graves filtraciones de privacidad y seguridad.

Harmony Mobile de Check Point protege contra esta amenaza.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 20257

https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/ https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/ https://blog.checkpoint.com/security/beware-the-tax-scam-tsunami-unmasking-qr-code-schemes-bogus-refunds-and-ai-imposters/ https://www.reuters.com/technology/cybersecurity/apt31-chinese-hacking-group-behind-global-cyberespionage-campaign-2024-03-26/ https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/ https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/ https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/

Check Point Research descubrió que más de 20 000 cámaras y routers Ubiquiti son vulnerables (CVE-2017-0938) a ataques de amplificación y riesgos de privacidad debido a los puertos expuestos UDP 10001 y 7004. Estos puertos permiten el acceso no autorizado a la información del dispositivo, que podría explotarse para ataques técnicos y de ingeniería social.

Check Point Research observó un aumento en las vulnerabilidades de inyección de plantillas del lado del servidor (SSTI) que les permiten a los atacantes ejecutar comandos y acceder a datos confidenciales. Casos notables involucran a Atlassian Confluence y CrushFTP. Estas vulnerabilidades plantean riesgos importantes, como el robo de datos y daños a la reputación, que se reflejan en un aumento de CVE críticas

Check Point IPS protege contra esta amenaza (inyección de plantillas del lado del servidor en Python, inyección de plantillas del lado del servidor en Java, inyección de plantillas del lado del servidor en PHP, inyección de plantillas del lado del servidor en Ruby, inyección de plantillas del lado del servidor en Node. js, inyección de plantillas del lado del servidor en Expression Language)

Luego de las elecciones presidenciales venezolanas de julio, Check Point Research reveló que los grupos hacktivistas Anonymous Venezuela y Cyber Hunters lanzaron ataques DDoS e intentos de hackeo contra el gobierno, impulsados por acusaciones de fraude electoral vinculadas a la administración de Nicolás Maduro.

Check Point Harmony Endpoint y Threat Emulation brindan protección contra esta amenaza (InfoStealer.Wins. PhemedroneStealer.*)

Check Point Research identificó la red Stargazers Ghost, formada por 3000 repositorios de GitHub que distribuyen malware y enlaces maliciosos a través de esquemas de phishing utilizando un modelo de distribución como servicio (DaaS). La red compartió varios tipos de malware, como Atlantida Stealer y RedLine, y generó importantes ganancias.

Check Point Harmony Endpoint y Threat Emulation brindan protección contra esta amenaza (InfoStealer.Win.Atlantida.*, Trojan.WIN32.AtlantidaStealer*, InfoStealer.Wins.Lumma.ta*, InfoStealer.Win.Lumma*, Injector.Win.RunPE.C, Loader.Wins. GoBitLoader.A, Trojan.Wins.Imphash.taim.LV, InfoStealer.Wins. Redline.ta.BY)

RockYou2024, una filtración de casi 10 000 millones de contraseñas en texto plano procedentes de múltiples filtraciones de datos, plantea riesgos significativos de ingreso de credenciales y ataques de fuerza bruta que podrían afectar a diversas cuentas y servicios en línea.

Mediante un ataque de ransomware, se robaron 45 millones de registros de Rite Aid, que supuestamente incluían información de identificación de clientes y números de recompensas de Rite Aid. El grupo de ransomware RansomHub se atribuyó la responsabilidad y amenazó con filtrar los datos robados.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (Ransomware.Win.RansomHub; Ransomware.Wins.RansomHub.ta.*)

La aplicación de seguridad de localización Life360 y la herramienta de gestión de proyectos Trello sufrieron filtraciones de datos debido a vulnerabilidades de la API. Se expuso información personal de 442 519 clientes de Life360, mientras que se filtraron 21,1 GB de datos de Trello. El actor de amenazas “emo” se atribuyó la responsabilidad y compartió los datos robados en la web oscura.

LOS EVENTOS DE CIBERSEGURIDAD QUE DEFINIERON EL 2024

AGO SEPTIEMBREJULIO P3

El grupo de ransomware RansomHub robó 93 GB de datos confidenciales de la sucursal de Planned Parenthood en Montanna, lo que afectó principalmente a los sistemas de TI administrativos de la organización.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (Ransomware.Win.RansomHub; Ransomware.Wins.RansomHub.ta.*)

Check Point Research identificó una cibercampaña iraní dirigida a las redes gubernamentales iraquíes utilizando el malware Veaty y Spearal. Las técnicas incluyen una puerta trasera IIS pasiva, túneles DNS y comunicación C2 a través de correos electrónicos comprometidos, lo que indica vínculos con el grupo APT34. La campaña probablemente utiliza la ingeniería social para la infección inicial y cuenta con una sofisticada infraestructura C2.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (APT.Wins.Oilrig.ta.B/C/D/E, APT. Win.OilRig.F, APT.Win.OilRig.WA.G, APT.Win.OilRig.H)

El FBI, la CISA y la NSA informaron que la unidad 29155 del GRU ruso atacó a Ucrania con la desfiguración de sitios web, el robo de datos y el malware WhisperGate, lo que interrumpió los esfuerzos de ayuda. También se dirigieron a sectores de todo el mundo, como la administración pública, las finanzas, el transporte, la energía y la atención de la salud.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (Trojan.Win.WhisperGate; Trojan. Wins.WhisperGate.ta.*; Trojan.Wins.WhisperGate)

Una vulnerabilidad en la app para macOS de ChatGPT les permitió a los atacantes implantar un spyware persistente, SpAIware, en la memoria de la app a través de la inyección indirecta de prompts, lo que permitió la exfiltración continua de datos de las entradas de los usuarios y de futuras sesiones de chat. OpenAI ya resolvió el problema.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 20258

https://blog.checkpoint.com/research/over-20000-ubiquiti-cameras-and-routers-are-vulnerable-to-amplification-attacks-and-privacy-risks/ https://blog.checkpoint.com/research/over-20000-ubiquiti-cameras-and-routers-are-vulnerable-to-amplification-attacks-and-privacy-risks/ https://research.checkpoint.com/2024/server-side-template-injection-transforming-web-applications-from-assets-to-liabilities/ https://research.checkpoint.com/2024/server-side-template-injection-transforming-web-applications-from-assets-to-liabilities/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/iranian-malware-attacks-iraqi-government/

El FBI, el Departamento del Tesoro de Estados Unidos y la Dirección Nacional de Ciberseguridad de Israel (INCD) publicaron un aviso conjunto de ciberseguridad en el que le atribuyen al cibergrupo iraní Emennet Pasargad una campaña de phishing a gran escala que suplantaba la identidad de la INCD y tenía como objetivo organizaciones israelíes. Check Point Research analizó el malware y siguió su evolución y aprendizaje.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (Behavioral.Win. FakeChrome.B and Trojan.Wins.FakeUpdater.A)

Check Point Research supervisó una campaña de phishing a gran escala denominada CopyRh(ight)adamantys, que utiliza la última versión del ladrón Rhadamanthys (0.7). Esta campaña se dirige a regiones como EE. UU., Europa, Asia Oriental y Sudamérica, utilizando un tema de derechos de autor y suplantando la identidad de varias empresas, adaptando cada correo electrónico desde diferentes cuentas de Gmail.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (InfoStealer.Wins. Rhadamanthys.ta.V, InfoStealer.Wins.Rhadamanthys.*, and InfoStealer.Wins.Rhadamanthys.*)

Check Point Research rastreó al actor de amenazas WIRTE, vinculado a Gaza Cybergang, afiliado a Hamás, realizando espionaje contra entidades en la Autoridad Palestina, Jordania, Irak, Egipto y Arabia Saudí, y se expandió hasta realizar ataques disruptivos conectados al malware SameCoin dirigidos a entidades israelíes en 2024.

Check Point Threat Emulation y Harmony Endpoint brindan protección contra esta amenaza (APT.Wins.Wirte.ta.A/B/C/D/ E/F, ransom.win.honey, and infoastealer.win.blackguard.d)

Check Point Research analizó la “Operation MiddleFloor”, una campaña de desinformación dirigida a los sectores gubernamental y educativo de Moldavia antes de las elecciones de octubre de 2024. El grupo alineado con Rusia Lying Pigeon utiliza correos electrónicos fraudulentos para difundir información falsa sobre la adhesión a la UE mientras recopila datos para posibles ataques de malware.

Una nueva plataforma de phishing como servicio, denominada Mamba 2FA, se centra en los ataques de phishing de tipo adversario en el medio. Imita las páginas de inicio de sesión de Microsoft 365 y se salta la autenticación de múltiples factores para robar credenciales y cookies enviadas a los atacantes a través de un bot de Telegram.

El FBI y la CISA investigan las filtraciones del grupo Salt Typhoon, afiliado al gobierno chino, a empresas de telecomunicaciones estadounidenses, como AT&T, Verizon y Lumen Technologies. Los ataques tenían como objetivo los sistemas de escuchas telefónicas y los dispositivos del presidente electo Trump, la exvicepresidenta Harris y otros políticos notables.

LOS EVENTOS DE CIBERSEGURIDAD QUE DEFINIERON EL 2024

NOV DICOCT P4 Check Point Research descubrió un exploit nuevo de Godot Engine, una plataforma de desarrollo de juegos, para ejecutar código GDScript malicioso. La técnica les permite a los atacantes distribuir malware en plataformas como Windows, macOS, Linux, Android y iOS eludiendo la mayoría de las soluciones antivirus. El cargador malicioso “GodLoader” utilizaba esta técnica y ya infectó a más de 17 000 máquinas.

Check Point Harmony Endpoint y Threat Emulation brindan protección contra esta amenaza (Technique.win.GDscript.*, Dropper.Win.Godot.*)

Check Point Research analizó la última variante del ransomware Akira, escrita en Rust, que se dirigía principalmente a servidores de hipervisor ESXi bare metal a principios de 2024. El informe mostró cómo se utilizaban modismos de Rust, código repetitivo y estrategias de compilación para crear montajes complejos.

Check Point Harmony Endpoint y Threat Emulation brindan protección contra esta amenaza (Ransomware_Linux_ Akira_C/D, Ransomware.Wins.Akira.G/H)

La agencia de inteligencia ucraniana HUR confirmó un ataque DDoS contra Gazprombank, uno de los mayores bancos rusos, cuyo objetivo era interrumpir las operaciones financieras relacionadas con los esfuerzos bélicos de Rusia en Ucrania.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 20259

https://research.checkpoint.com/2024/wezrat-malware-deep-dive/ https://research.checkpoint.com/2024/massive-phishing-campaign-deploys-latest-rhadamanthys-version/ https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://research.checkpoint.com/2024/disinformation-campaign-moldova/ https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/ https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/ https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/ https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/

TENDENCIAS DE CIBERSEGURIDAD

00 33 ESTADO DE LA CIBERSEGURIDAD EN 2025

OPERACIONES DE DESINFORMACIÓN E INFLUENCIA En 2024, las campañas de desinformación alcanzaron nuevos niveles de complejidad, impulsadas por la integración de la IA y los grandes modelos de lenguajes (LLM). Estas operaciones se centraron en acontecimientos mundiales, con Estados nación como China, Rusia e Irán acusados de utilizar tácticas avanzadas para manipular a la opinión pública, socavar la confianza e interferir en las elecciones para desestabilizar los procesos democráticos.

Según las conclusiones de Check Point Research, la IA se utilizó en al menos un tercio de las elecciones que tuvieron lugar en todo el mundo entre septiembre de 2023 y febrero de 2024, tanto por los propios candidatos o potencialmente por actores extranjeros. Ejemplos recientes demuestran esta evolución, como el grupo APT CopyCop, vinculado a Rusia, que tuvo como objetivo las elecciones primarias de junio de 2024 en EE.UU. con segmentos de noticias fabricados que presentaban retratos falsos de figuras políticas. Distribuido a través de X (antes conocido como Twitter) y Facebook, este contenido explotaba los algoritmos de la plataforma para dirigirse a grupos demográficos específicos de votantes. Los bots generados por IA difundieron además narrativas divisivas, haciéndose pasar por auténticos artículos de opinión para polarizar al electorado.

Las campañas iraníes, a menudo vinculadas al Cuerpo de la Guardia Revolucionaria Islámica (IRGC), también tuvieron como objetivo las elecciones presidenciales estadounidenses, mediante ataques a figuras políticas destacadas en operaciones de robo y filtración de datos (“hack and leak”). Periodistas, activistas y miembros de grupos de presión también fueron objeto de ataques mediante ingeniería social, suplantación de identidad, phishing y programas maliciosos de obtención de credenciales. Estas operaciones demostraron la capacidad de Irán para combinar la desinformación con la infiltración cibernética para influir en la percepción pública.

Mientras tanto, actores alineados con China utilizaron videos falsos generados por IA que mostraban apoyos ficticios y anuncios de servicio público engañosos. Estos videos, ampliamente difundidos en plataformas como X y TikTok, tenían como objetivo desacreditar a los candidatos y profundizar las divisiones partidistas. Además, publicaciones virales con preguntas distorsionadas en las encuestas aparentemente mostraban el apoyo a determinados candidatos o fabricaban pruebas de fraude, lo que socavaba la confianza en el proceso electoral.

Además de las elecciones presidenciales estadounidenses, las de Taiwán y Rumanía y el referéndum de Moldavia se convirtieron en objetivos prioritarios de la guerra de desinformación cibernética. Las campañas atribuidas a China utilizaron artículos generados con IA y publicaciones en redes sociales para imitar fuentes de noticias legítimas, desacreditar a los candidatos e influir en la opinión

EDICIÓN CIBERGUERRAS 2024 La comunidad internacional lleva mucho tiempo especulando con que las guerras devastadoras se librarían en el ciberespacio, con Estados nación desplegando armas digitales del día del juicio final capaces de paralizar infraestructuras críticas en un golpe decisivo. Sin embargo, a pesar de la escalada sin precedentes de las actividades cibernéticas, no se produjo tal acontecimiento apocalíptico. Ya sea debido a las capacidades limitadas, al miedo a la destrucción mutua o a la reticencia a desencadenar un caos irreversible, la naturaleza de la guerra cibernética tomó un camino diferente.

Los Estados nación cambiaron su enfoque hacia conflictos que socavan la confianza pública, explotan las fracturas sociales y desestabilizan las instituciones desde dentro. Las campañas implican manipular la información a través de las redes sociales, los grupos “hacktivistas” se atribuyen ciberataques respaldados por el Estado y la amenaza de acceso encubierto a redes comprometidas y dispositivos mal protegidos es constante.

Ciberguerras - Edición 2024

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202511

https://research.checkpoint.com/2024/beyond-imagining-how-ai-is-actively-used-in-election-campaigns-around-the-world/ https://go.recordedfuture.com/hubfs/reports/cta-2024-0509.pdf https://8726485.fs1.hubspotusercontent-na1.net/hubfs/8726485/Reports/KELA%20Report%20-%20Unmasking%20Deepfakes%20-%20When%20Digital%20Deception%20Becomes%20the%20New%20Reality%20-%202024.pdf https://edition.cnn.com/2024/08/19/politics/us-concludes-iran-behind-trump-biden-harris-hacking/index.html https://www.resecurity.com/blog/article/iranian-cyber-actors-irgc-targeting-the-2024-us-presidential-election https://www.cisa.gov/news-events/alerts/2024/10/08/cisa-and-fbi-release-fact-sheet-protecting-against-iranian-targeting-accounts-associated-national https://blogs.microsoft.com/on-the-issues/2024/04/04/china-ai-influence-elections-mtac-cybersecurity/ https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/how-threat-actors-conduct-election-interference-operations-an-overview/ https://www.state.gov/gec-special-report-how-the-peoples-republic-of-china-seeks-to-reshape-the-global-information-environment/ https://www.npr.org/2024/01/11/1216340756/taiwan-election-disinformation-social-media-ptt

Del mismo modo, el grupo WIRTE, vinculado a Hamás, exhibió sus capacidades cibernéticas en evolución utilizando la variante de wiper SameCoin para atacar hospitales y municipios de Israel, lo que aumentó el costo psicológico y logístico del conflicto en curso.

En Europa del Este, los grupos vinculados a Rusia siguieron desarrollando malware destructivo como parte de su estrategia de guerra híbrida en Ucrania. La célebre APT44 (también conocida como Sandworm), afiliada a Rusia, introdujo AcidPour, una variante de wiper avanzado del malware AcidRain. AcidPour se desplegó para interrumpir las infraestructuras críticas ucranianas, las redes de telecomunicaciones y los proveedores de servicios de Internet. Este malware estaba diseñado no solo para destruir sistemas, sino también para incrustarse en entornos más profundos, filtrar planes militares sensibles y cortar canales de comunicación vitales. Estas operaciones pusieron de manifiesto la intención de Rusia de aprovechar las herramientas cibernéticas como mecanismo de apoyo vital en sus conflictos geopolíticos.

MEDIDAS DE PREVENCIÓN PARA LAS INTERRUPCIONES: POSIBLES “BOTONES ROJOS” Mientras que algunos países aceptaron estos ataques puntuales de gran impacto, otros, como China, adoptaron un enfoque más discreto. Penetraron profundamente en los sistemas críticos, y sentaron las bases para posibles interrupciones a gran escala en el futuro. Los actores afiliados a China se centran ahora en infiltrarse en infraestructuras críticas y mantener una presencia persistente y no detectada. Aprovechando las vulnerabilidades de dispositivos perimetrales como routers, dispositivos VPN y sistemas IoT, grupos como APT41 y Bronze Butler obtuvieron acceso no autorizado a componentes de red menos seguros, lo que les permitió recopilar

pública. Se difundieron ampliamente videos falsos que mostraban a candidatos haciendo declaraciones controvertidas, mientras que las preguntas engañosas de las encuestas sugerían una disminución del apoyo a determinados candidatos. En Rumanía, la injerencia rusa utilizó cuentas falsas en redes sociales y manipuló contenidos para promover al candidato de extrema derecha Călin Georgescu. Después de que Georgescu ganara inesperadamente la primera vuelta, los servicios de inteligencia desclasificados revelaron el alcance de la injerencia extranjera, lo que provocó una anulación sin precedentes de los resultados de las elecciones y la programación de una nueva votación. En Moldavia, una campaña denominada “Operación MiddleFloor”, atribuida a un grupo alineado con Rusia, se dirigió a los sectores gubernamental y educativo utilizando correos electrónicos y documentos falsos para difundir mensajes contrarios a la UE y socavar la confianza en los líderes proeuropeos.

Los Juegos Olímpicos de París se convirtieron en otro foco clave de desinformación. Storm-1679, vinculada a Rusia, difundió falsos mensajes sobre corrupción, arbitrajes irregulares y amenazas de violencia. Cuentas automatizadas y bots amplificaron estas afirmaciones para desacreditar el evento y perturbar la unidad occidental. De forma más agresiva, el grupo iraní Emennet Pasargad aprovechó las vulnerabilidades del proveedor del sistema de visualización de los Juegos Olímpicos para interrumpir las retransmisiones y difundir propaganda antiisraelí, y envió amenazas a los atletas israelíes desde una identidad falsa que imitaba al grupo francés GUD.

Estos ataques contra las democracias y las alianzas políticas occidentales, como la OTAN, se volvieron cada vez más eficaces y peligrosos a medida que los países democráticos se enfrentan a desafíos cada vez mayores. Las guerras culturales en línea, el populismo alimentado por las redes sociales y las plataformas mediáticas politizadas que utilizan algoritmos avanzados para adaptar contenidos favorables

crearon un terreno fértil para que los actores extranjeros socaven la confianza pública. La difusión de contenidos que se alinean con la propaganda de determinados Estados o la apoyan ya se instaló, lo que profundiza las divisiones sociales.

Las democracias respondieron endureciendo la normativa y reconociendo la desinformación como una amenaza para las infraestructuras críticas. El Departamento de Seguridad Nacional de Estados Unidos destacó la interferencia electoral como una amenaza, mientras que Canadá amplió la Ley CSIS para mejorar el intercambio de inteligencia. La Unión Europea estableció normas estrictas a plataformas como Meta para frenar la desinformación rusa. OpenAI y Microsoft están bloqueando cuentas asociadas a grupos de China, Irán, Rusia y Corea del Norte.

MALWARE DESTRUCTIVO Y PERTURBADOR Los Estados nación recurren cada vez más al malware destructivo como arma importante en la ciberguerra. Estas operaciones “ruidosas”, caracterizadas por el malware wiper y otras herramientas disruptivas, tuvieron como objetivo infraestructuras críticas, alteraron servicios esenciales y sembraron el caos.

En medio de las crecientes tensiones en Oriente Medio, Irán y otros grupos de amenazas regionales demostraron el destructivo potencial del malware wiper. Void Manticore, un grupo iraní vinculado al Ministerio de Inteligencia y Seguridad (MOIS), desplegó el wiper No-Justice bajo la apariencia de personajes hacktivistas como Karma y Homeland Justice. Estas campañas se dirigieron contra infraestructuras críticas israelíes y organizaciones privadas para borrar datos e interrumpir servicios.

FASE SIGILOSA FASE PÚBLICA

ENTIDADES HACKTIVISTAS

EXFILTRACIÓN DE DATOS

FILTRACIÓN DE DATOS

ACTIVIDAD DESTRUCTIVA

ACCESO INICIAL

Figura 1: Tácticas típicas de las campañas bélicas de Irán.

Ciberguerras - Edición 2024

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202512

https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/ https://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm https://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835 https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835 https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a https://www.bbc.com/news/articles/cn4x2epppego https://research.checkpoint.com/2024/disinformation-campaign-moldova/ https://blogs.microsoft.com/on-the-issues/2024/06/02/russia-cyber-bots-disinformation-2024-paris-olympics/ https://www.ic3.gov/CSA/2024/241030.pdf https://www.ic3.gov/CSA/2024/241030.pdf https://openai.com/index/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors/ https://research.checkpoint.com/2024/bad-karma-no-justice-void-manticore-destructive-activities-in-israel/

En 2024, la acción hacktivista puso de relieve la evolución de la dinámica de las alianzas y la influencia en el ciberespacio, reflejo de las tensiones geopolíticas entre Oriente y Occidente. Grupos como la Holy League simbolizaban objetivos estratégicos compartidos entre actores rusos e iraníes. Estas alianzas a menudo reflejaban acontecimientos políticos del mundo real: por ejemplo, después de que Corea del Sur enviara observadores a Ucrania durante la implicación de Corea del Norte con las fuerzas rusas, los grupos vinculados a Rusia NoName057(16) y Z Pentest lanzaron ataques DDoS de represalia y hackeos industriales contra entidades surcoreanas. Al enfatizar sus frentes unidos mediante declaraciones recurrentes de colaboración, estos grupos trataron de mantener la atención, reforzar su impacto psicológico y amplificar la influencia global en el panorama cada vez más complejo de los conflictos cibernéticos modernos.

En el frente individual, los grupos hacktivistas respaldados por Irán también intensificaron sus actividades y se centraron principalmente en objetivos israelíes y albaneses. Grupos como Malek Team y Handala Hack llevaron a cabo campañas de desfiguración, operaciones de robo y filtración de datos (“hack and leak”), e interrupciones, y reivindicaron la vulneración de redes israelíes y la filtración de terabytes de datos confidenciales. Karma, asociada al Ministerio de Inteligencia y Seguridad de Irán (MOIS), desplegó herramientas destructivas como los wipers BiBi y No Justice contra organizaciones israelíes. Los Cyber Avengers, vinculados al Cuerpo de la Guardia Revolucionaria Islámica (IRGC), atacaron infraestructuras críticas, como redes eléctricas y sistemas de abastecimiento de agua en Israel, Estados Unidos e Irlanda. El grupo iraní Homeland Justice también atacó instituciones gubernamentales albanesas en represalia por albergar al grupo opositor Mujahedin-e-Khalq (MEK). Estas actividades ponen de relieve el hábil uso que hace Irán de grupos indirectos para combinar el hacktivismo con la guerra cibernética dirigida por el Estado, con el fin de promover sus intereses geopolíticos al tiempo que mantiene una negación plausible.

Del mismo modo, los actores rusos también ejemplificaron esta táctica, con grupos como KillNet, NoName057(16) y el Ciberejército de Rusia, que atacaron infraestructuras críticas en países alineados contra Rusia. Estos grupos llevaron a cabo principalmente ataques de denegación de servicio distribuido (DDoS) y otras manipulaciones, que interrumpieron las operaciones gubernamentales y del sector privado en Ucrania y los países proucranianos.

Además de sus esfuerzos individuales, los hacktivistas alineados con Rusia ampliaron su influencia formando alianzas con actores extranjeros. Un claro ejemplo es el colectivo de hacktivistas High Society, que agrupa a más de 20 bandas cibernéticas afiliadas a Rusia, incluidos grupos vinculados a Rusia como People's Cyber Army, NoName057(16) y UserSec. High Society se incorporó a la 7 October Union, un colectivo de hacktivistas propalestinos formado por más de 40 grupos, muchos de ellos vinculados a Irán. Esta alianza, denominada Holy League, atacó a la OTAN, Europa, Ucrania e Israel, con campañas importantes como el ataque DDoS coordinado y los esfuerzos propagandísticos contra la cumbre del 75.º aniversario de la OTAN en Washington. La campaña buscaba socavar el apoyo público al respaldo de la OTAN a Ucrania, combinando ciberataques con manipulación psicológica para influir en la opinión pública.

información y establecer una capacidad potencial de “botón rojo”, un acceso que podría utilizarse para futuras interrupciones a gran escala. Este posicionamiento estratégico, especialmente evidente en objetivos estadounidenses, les permite a los actores chinos prepararse silenciosamente para posibles conflictos, mientras evitan la visibilidad inmediata y las represalias que conllevan las operaciones destructivas.

El grupo APT chino Volt Typhoon ejemplificó este enfoque intensificando su atención a la explotación de firewalls y routers en infraestructuras críticas estadounidenses. Volt Typhoon utilizó técnicas “living off the land” (LOTL) y se basó en herramientas administrativas legítimas dentro de entornos comprometidos para eludir la detección. Esto le permitió al grupo eludir las medidas convencionales de ciberseguridad y mantener una presencia encubierta, a fin de posicionarse para futuras acciones.

Para agregar otro nivel a esta estrategia encubierta, Salt Typhoon atacó a los principales proveedores de servicios de Internet (ISP), incluidos AT&T y Verizon, aprovechando vulnerabilidades para interceptar y manipular el tráfico de red. Además, los actores vinculados a China utilizaron cajas de retransmisión operativas (ORB), que son redes de VPS y dispositivos IoT comprometidos, para mantener la persistencia, retransmitir comandos y recopilar inteligencia. A menudo gestionadas por contratistas chinos, las ORB les permitían a los agresores permanecer integrados en los sistemas comprometidos, retransmitir órdenes y recopilar información de forma discreta.

GRUPOS “HACKTIVISTAS” El año pasado, los límites difusos de la guerra cibernética respaldada por el Estado se hicieron cada vez más evidentes a medida que los Estados nación se apoyaban en una extensa red de personajes en línea para favorecer sus agendas geopolíticas. Muchas de estas figuras, que se presentaban como hacktivistas independientes ideológicamente motivados, eran pantallas de grupos APT patrocinados por Estados. Al amplificar las narrativas divisivas y atacar la confianza pública, los grupos hacktivistas se convirtieron en componentes críticos de operaciones de influencia más amplias, lo que les permitió a sus patrocinadores ocultar su participación directa mientras aprovechaban la retórica patriótica para amplificar su impacto. En 2024, en un contexto de disminución del interés público y creciente cansancio, surgió una tendencia notable: la formación de alianzas, en las que grupos dispares se unieron bajo banderas compartidas para crear un frente más fuerte y cohesivo.

High Society y 7 October Union. Estamos con el líder de la 7 October Union. Decidimos combinar nuestros equipos y formar uno nuevo. Presentamos “Holy League”. Ahora somos la mayor alianza del mundo. Tenemos más de 70 grupos de hackers activos que apoyan nuestros objetivos. Atacaremos a la OTAN, a Europa y a Ucrania.

Figura 2: Telegrama sobre la creación de la “Holy League”.

Ciberguerras - Edición 2024

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202513

http://www.infosecurity-magazine.com/news/russian-hacktivits-south-korea/ https://socradar.io/dark-web-profile-muddywater-apt-group/ https://socradar.io/dark-web-profile-muddywater-apt-group/ https://socradar.io/dark-web-profile-cyber-av3ngers/ https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org https://therecord.media/noname-hacking-group-targets-ukraine-and-allies https://www.csoonline.com/article/3568804/russian-groups-hack-of-texas-water-system-underscores-critical-ot-cyber-threats.html https://cybernews.com/cybercrime/holy-league-hacker-alliance-attack-nato/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-orb-networks/

CIBERGUERRA FINANCIERA DE COREA DEL NORTE Mientras otras naciones despliegan hacktivistas para perturbar y desestabilizar, los esfuerzos cibernéticos de Corea del Norte trascienden la pretensión de activismo. En su lugar, Pyongyang diseñó un aparato vasto e interconectado de operaciones cibernéticas que combinan la delincuencia financiera con el espionaje para ayudar a sostener su asediado régimen bajo el peso de las sanciones internacionales.

La “guerra financiera” de Corea del Norte es un delicado acto de equilibrio: el ransomware y el robo de criptomonedas financian las ambiciones nucleares del régimen, sus programas de misiles y el desarrollo de otras armas, mientras que las campañas de espionaje recopilan inteligencia para mejorar las capacidades militares y tecnológicas.

El Grupo Lazarus, principal ejemplo de la maquinaria ciberdelictiva de Corea del Norte, encabezó operaciones en 2024 con una sofisticación característica. Una operación disfrazada de juego de criptomoneda con temática de tanques explotó una vulnerabilidad de día cero en Google Chrome para desplegar la puerta trasera Manuscrypt. El objetivo no era solo robar criptomonedas, sino también agregar un elemento de espionaje. A partir de un monedero robado hoy se podría financiar un proyecto militar robado mañana.

Subgrupos como BlueNoroff perfeccionaron aún más este enfoque. Su campaña “Hidden Risk” atrajo a comerciantes de criptomonedas con correos electrónicos de phishing convincentes y sitios web de noticias falsas diseñados para manipular transacciones y desviar fondos a las arcas del régimen. También demostró cómo las estrategias de despliegue de desinformación pueden convertirse en ciberdelincuencia.

Andariel, otra de las APT del régimen, difuminó la línea entre el robo financiero y la destrucción. Se dirigió a organizaciones de salud estadounidenses cifrando sistemas críticos para extorsionar el pago de criptomonedas utilizando el ransomware Play, orientado a la ciberdelincuencia. Estas operaciones no solo buscaban un beneficio económico inmediato, sino que también sirvieron como campo de pruebas para tácticas que podrían alterar sectores vitales en una crisis geopolítica.

Incluso el panorama laboral se convirtió en un campo de batalla. En 2024, las empresas occidentales acogieron sin saberlo a agentes norcoreanos que se hacían pasar por informáticos autónomos a distancia. Al infiltrarse en entornos corporativos con identidades falsas, estos agentes consiguieron un doble objetivo: generar divisas para el régimen y obtener acceso potencial a redes organizativas sensibles.

DE LOS ATAQUES CATASTRÓFICOS PREVISTOS A LAS BATALLAS CONTINUAS En una visión más amplia de este año, la guerra cibernética se fragmentó en batallas más pequeñas y continuas a través de múltiples dominios, en lugar de ataques catastróficos destinados a paralizar naciones de un solo golpe. Estos conflictos rara vez tienen claros vencedores o vencidos, pero en su mayoría consiguen

ELI SMADJA

Gerente del Grupo de Investigación de seguridad

La ciberguerra actual evolucionó de la destrucción inmediata a campañas globales que sientan las bases para erosionar los sistemas, ya sean sociales o físicos. Ahora, los Estado nación esgrimen “armas” cibernéticas como los deepfakes generados por IA y la manipulación de las redes sociales que debilitan los procesos democráticos con el tiempo, mientras sus operaciones encubiertas aseguran el acceso a infraestructuras críticas, a fin de preparar el terreno para futuros ataques.

erosionar la confianza, debilitar las instituciones y difuminar los límites entre las esferas estatal y civil.

Las operaciones de influencia surgieron como un frente clave, con campañas de desinformación potenciadas por IA dirigidas a las elecciones, la cohesión social y la estabilidad geopolítica. Simultáneamente, el malware destructivo, los frentes hacktivistas y la ciberdelincuencia financiera actuaron como herramientas de coerción, desestabilización y autosustento en el caso de regímenes fuertemente sancionados como Corea del Norte.

Mientras las democracias intentan adaptarse endureciendo la normativa e invirtiendo en ciberdefensas, el campo de batalla ya se desplazó bajo sus pies. La guerra cibernética ya no se limita a la infraestructura digital, sino que impregnó el tejido social. Las batallas por la información y la percepción amenazan con durar más que los sistemas físicos a los que antes se dirigían.

Ciberguerras - Edición 2024

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202514

https://securelist.com/lazarus-apt-steals-crypto-with-a-tank-game/114282/ https://www.sentinelone.com/labs/bluenoroff-hidden-risk-threat-actor-targets-macs-with-fake-crypto-news-and-novel-persistence/ https://unit42.paloaltonetworks.com/north-korean-threat-group-play-ransomware/ https://cloud.google.com/blog/topics/threat-intelligence/mitigating-dprk-it-worker-threat

EL ECOSISTEMA DEL RANSOMWARE EN 2024: EL IMPACTO DE LAS FUERZAS DE SEGURIDAD, EL SECTOR DE LA SALUD COMO OBJETIVO Y EL AUGE DE LA EXTORSIÓN POR FILTRACIÓN DE DATOS El ransomware siguió siendo la ciberamenaza más importante para las empresas de todo el mundo en 2024, y alcanzó nuevas dimensiones tanto en escala como en impacto. El grupo de ransomware poco conocido Dark Angels habría conseguido un asombroso pago de USD 75 000 000 de una empresa no identificada de Fortune 50, mientras que ALPHV extrajo USD 22 000 000 de Change Healthcare. En el caso de Change Healthcare, el ataque de ransomware provocó meses de interrupción del servicio y el robo de los historiales médicos de más de 100 millones de pacientes. UnitedHealth, la empresa matriz de Change Healthcare, informó un impacto estremecedor de USD 872 000 000 en el primer trimestre de 2024. Esta cifra incluyó USD 593 000 000 en costos de respuesta directa y USD 279 000 000 en interrupción del negocio. Además, la empresa destinó USD 800 000 000 a reservas para futuros reclamos.

A pesar de este aumento, la mediana del pago de rescate en 2024 se mantuvo en aproximadamente USD 200 000, y la mayoría de los ataques se desarrollaron en silencio con poca atención pública.

Aparte de los casos destacados, el panorama de las amenazas cambió radicalmente este año. La presión constante de las fuerzas de seguridad y las disputas entre delincuentes provocaron la caída de LockBit, un actor dominante en el panorama del ransomware durante muchos años, y de su principal rival, ALPHV. Sus salidas allanaron el camino para el surgimiento del nuevo grupo de amenazas RansomHub. Además, el sector de la salud, que antes se consideraba menos atacado debido a su función, se convirtió en uno de los principales objetivos de los ciberdelincuentes. Por último, los actores de amenazas pasan cada vez más de las tácticas tradicionales basadas en el cifrado a la extorsión pura de datos, lo que indica un enfoque más racionalizado y peligroso.

OPERACIONES DE LAS FUERZAS DE SEGURIDAD Y SU EFECTO EN EL ECOSISTEMA DEL RANSOMWARE Aunque las medidas de ciberseguridad ofrecen protección, son insuficientes para contrarrestar lo que se convirtió en la principal amenaza cibernética de las empresas: el ransomware. Los esfuerzos para combatir los ataques se ven obstaculizados por la falta de cooperación internacional, ya que Rusia, Corea del Norte e Irán toleran o apoyan activamente estas actividades.

Para hacer frente a esta amenaza se requieren esfuerzos sostenidos y coordinados de las fuerzas de seguridad internacionales, como el intercambio de información, la coordinación de los marcos jurídicos

Figura 3: Mensaje en la web oscura, en el que se especifican las condiciones de reclutamiento para el grupo Cicada3301! y se prohíbe la actividad contra entidades afiliadas rusas (Comunidad de Estados Independientes - CIS).

El ecosistema del ransomware

15

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202515

https://krebsonsecurity.com/2024/08/low-drama-dark-angels-reap-record-ransoms https://krebsonsecurity.com/2024/08/low-drama-dark-angels-reap-record-ransoms https://www.bleepingcomputer.com/news/security/dark-angels-ransomware-receives-record-breaking-75-million-ransom https://techcrunch.com/2024/10/24/how-the-ransomware-attack-at-change-healthcare-went-down-a-timeline https://www.bleepingcomputer.com/news/security/unitedhealth-change-healthcare-cyberattack-caused-872-million-loss

y la persecución conjunta de los autores y el desmantelamiento de sus infraestructuras. Resulta alentador que en 2024 se vieran varios ejemplos eficaces de este tipo de operaciones.

En los últimos años, las operaciones de desmantelamiento se dirigieron con éxito contra grandes grupos de ransomware como Hive, Ragnar y otros. En febrero de 2024, la Operación Cronos, una operación internacional coordinada dirigida por la Agencia Nacional contra el Crimen (NCA) del Reino Unido y el FBI, golpeó de forma significativa a LockBit, el grupo dominante en el ecosistema del ransomware como servicio (RaaS). La operación incautó los sitios de filtración de datos (DLS) de LockBit y desmanteló la infraestructura crítica, lo que interrumpió significativamente sus operaciones. Las autoridades tomaron el control de 34 servidores en varios países, incluidos los Países Bajos, Alemania y los Estados Unidos. La campaña continuó hasta octubre y se detuvo a actores clave en Polonia y Ucrania, mientras las autoridades judiciales francesas y estadounidenses emitían acusaciones. Los organismos encargados de seguridad obtuvieron y divulgaron las claves de descifrado y los datos internos de LockBit, lo que expuso las operaciones del grupo y sus redes afiliadas a un mayor escrutinio.

La operación no solo pretendía desmantelar la infraestructura técnica de LockBit, sino también ensuciar su imagen en los círculos ciberdelictivos. La reputación de LockBit era crucial para sus operaciones, como demuestra su participación activa en foros delictivos y entrevistas en los medios de comunicación. El líder del grupo, conocido como LockBitSupp, interactuaba con frecuencia en estas plataformas, promocionando sus servicios de ransomware y manteniendo una imagen pública. Esta visibilidad era esencial para reclutar afiliados y garantizar a las víctimas su “profesionalidad” en el manejo de los datos y el pago de rescates.

Después de la operación Cronos, la actividad de LockBit disminuyó considerablemente. Una vez expuestas sus comunicaciones internas y las identidades de sus afiliados, se perdió la confianza. LockBit intentó proyectar una imagen de “todo sigue igual” publicando listas falsas de reciclados o víctimas de otros atacantes, un fenómeno

que aumentó con el cambio a la extorsión basada en datos. A pesar de los intentos de LockBit por restablecer sus operaciones, la continua presión de las fuerzas de seguridad y la pérdida de credibilidad dentro de la comunidad de ciberdelincuentes dificultan su resurgimiento. Sin embargo, en la última semana de 2024, el grupo anunció una nueva versión, LockBit 4.0. Solo el tiempo dirá si esto marca un resurgimiento de la organización criminal.

ALPHV fue otro de los principales actores de RaaS en salir del escenario. A finales de 2023, sufrieron una operación policial, pero se recuperaron brevemente y reanudaron agresivamente sus operaciones contra entidades de salud.

En febrero de 2024, un afiliado de ALPHV atacó a Change Healthcare. El grupo retuvo los USD 22 000 000 del afiliado, y le negó la parte que le correspondía. A continuación, el grupo fingió un aviso de embargo en su DLS y anunció su retirada.

Aunque la eliminación de estos dos grupos dominantes afectó al panorama del ransomware a corto y largo plazo, no hizo gran cosa por frenar el volumen de ataques del ecosistema. De hecho, la cantidad de víctimas publicadas aumentó constantemente. Esta resiliencia pone de manifiesto la naturaleza de las operaciones RaaS: los afiliados independientes no se ven afectados en gran medida por la caída de una única marca u operador y simplemente migran a otras plataformas. Libres de lealtades previas, estos afiliados encuentran grupos RaaS alternativos que ofrecen la infraestructura necesaria, sitios de filtración y servicios de apoyo, lo que garantiza que su canal de ataques de ransomware permanezca intacto.

200

100

Dic 23

420

293 304

380

477

347 407 387

544 603

534541

386

Dic 24

Nov 24

Oct 24

Sep 24

Ago 24

Jul 24

Jun 24

May 24

Abr 24

Mar 24

Feb 24

Ene 24

0

300

400

500

600

700

Figura 5: Cantidad total de víctimas reportadas en sitios de filtración de datos de ransomware.

Figure 4 - Capturas de pantalla del sitio de denuncia pública de LockBit que socavan su reputación (fuente: NCA).

El ecosistema del ransomware

16

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202516

https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant https://www.europol.europa.eu/media-press/newsroom/news/ragnar-locker-ransomware-gang-taken-down-international-police-swoop https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation https://blog.checkpoint.com/research/ransomwares-evolving-threat-the-rise-of-ransomhub-decline-of-lockbit-and-the-new-era-of-data-extortion/ https://krebsonsecurity.com/2024/03/blackcat-ransomware-group-implodes-after-apparent-22m-ransom-payment-by-change-healthcare https://www.darkreading.com/threat-intelligence/lessons-from-the-lockbit-takedown https://www.darkreading.com/threat-intelligence/lessons-from-the-lockbit-takedown https://www.nationalcrimeagency.gov.uk/images/Feb2024/Leak_site.jpeg

LA SALUD EN LA MIRA La migración de los grupos de ransomware a las organizaciones de salud subraya el descenso gradual de las pautas “éticas” establecidas anteriormente. En los primeros meses de la pandemia COVID-19, muchos operadores de RaaS declararon públicamente que los hospitales y los proveedores médicos estaban excluidos. Sin embargo, con el tiempo, estas restricciones se debilitaron. Algunos administradores de RaaS adoptaron un enfoque más matizado. Aunque desaconsejaban la interrupción directa del servicio, como el cifrado de sistemas críticos, permitían el robo de datos médicos confidenciales. Los afiliados podían entonces extorsionar a las víctimas amenazándolas con filtrar información sobre los pacientes y presionar a las entidades de salud para que pagaran sin poner en peligro directamente a los pacientes.

Este enfoque se deterioró aún más tras la operación policial contra ALPHV. El grupo alentó abiertamente a los afiliados a dirigirse específicamente a los hospitales. En febrero de 2024, ALPHV atacó principalmente a los sectores de la salud y médico, que representaron el 30 % de sus víctimas.

Inmediatamente después, ninguna entidad pudo replicar el dominio del mercado que antes tenían LockBit y ALPHV. Aunque RansomHub parecía estar a punto de asumir un papel protagonista, su posición estaba lejos de estar garantizada. En su lugar, el panorama entró en un período de fragmentación competitiva, con actores de tamaño medio, como Akira, Play, Medusa, Dan0n, Hunters y Bianlian, luchando por reclutar afiliados y ganar impulso

Las consecuencias de que ALPHV retuviera la cuota de rescate de un afiliado, combinadas con la reputación dañada de LockBit y la disponibilidad de código de ransomware filtrado, impulsaron el auge de más operadores autónomos. Surgió una cantidad creciente de grupos más pequeños e independientes, reacios a depender de marcos RaaS establecidos o a compartir beneficios con operadores centralizados. Aprovechando el código filtrado, estos actores personalizaron sus propias cepas e infraestructuras de ransomware, con lo que redujeron la dependencia de los principales proveedores de RaaS y fomentaron un ecosistema más descentralizado y competitivo.

Al cierre de 2024, RansomHub emergió como el nuevo actor dominante, con una responsabilidad del 16 % de las víctimas registradas en noviembre. Más de otros 40 grupos de ransomware de doble extorsión permanecieron activos durante el mismo período, cada uno manteniendo sus propios sitios de filtración de datos y dirigiéndose a nuevas víctimas.

0

40

80

60

20

120

100

160

140

200

180

Dic 23

Nov 23

Nov 24

Oct 24

Sep 24

Ago 24

Jul 24

Jun 24

May 24

Abr 24

Mar 24

Feb 24

Ene 24

Víctimas de LockBit Víctimas de RansomHub

Figura 6: Víctimas de filtraciones de datos reportadas por LockBit frente a RansomHub. en 2024

Akira

6% KillSec3

6% QiLin

5% SafePay

5%

Inc Ransom 4% Hunters4%

Lynx 4%

Medusa 4%

Play 4%

RansomHub

16% Otros

42%

Figura 7: Víctimas de filtraciones de datos por actor, noviembre de 2024.

El ecosistema del ransomware

17

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202517

El carácter crítico de las operaciones de salud hace inaceptable un tiempo de inactividad prolongado del sistema por el riesgo que supone para los pacientes. Como demostró el ataque a Change Healthcare, esto aumenta significativamente la probabilidad de que se paguen rescates.

Las organizaciones de salud y médicas ahora representan el 10 % de todas las víctimas de ransomware reportadas públicamente, lo que convierte a la salud en el segundo sector más atacado en 2024, solo por detrás de la industria manufacturera.

Si bien el ataque de alto perfil a Change Healthcare captó la atención mundial, muchos otros incidentes significativos ponen de relieve esta preocupante tendencia. En febrero de 2024, un ataque del ransomware Phobos tuvo como objetivo el sistema de salud rumano. Afectó directamente a 25 hospitales y causó interrupciones operativas en más de 100 instalaciones adicionales debido a su efecto en el Sistema de Información del Hipócrates (HIS). Como consecuencia de la desconexión a Internet, los hospitales sufrieron

una ralentización de los servicios médicos, retrasos en la atención a los pacientes y una reducción significativa de su capacidad operativa.

En junio, el grupo de ransomware Qilin (Agenda) atacó a Synnovis, un proveedor crucial de servicios de patología para los principales hospitales londinenses. El ataque supuso la petición de un rescate de USD 50 000 000 y la filtración de aproximadamente 400 GB de datos confidenciales. La filtración provocó la cancelación de más de 6000 citas y procedimientos médicos. Además, provocó una escasez de donaciones de sangre en el Servicio Nacional de Salud británico (NHS).

Muchas víctimas del sector de la salud son ahora objetivo de ataques de ransomware: el 19 % para Bianlian, el 23 % para INC Ransomware y el 10 % para RansomHub, a pesar de su política de evitar organizaciones sin ánimo de lucro y hospitales (ver imagen a continuación). Esto subraya la creciente atención que se presta a los actores de amenazas en este sector.

En particular, más del 65 % de las víctimas relacionadas con la atención médica se encuentran en Estados Unidos, una cifra desproporcionadamente alta en comparación con su participación en el ecosistema del ransomware en general. La importancia de las operaciones de salud y su capacidad limitada para soportar interrupciones prolongadas las convierten en objetivos especialmente atractivos. Todo indica que esta tendencia preocupante se mantendrá en 2025.

Figura 8: ALPHV les permite a sus afiliados “bloquear hospitales, centrales nucleares, cualquier cosa, en cualquier lugar”. (fuente).

EL GIRO HACIA LA EXTORSIÓN DE LA FILTRACIÓN DE DATOS (DXF) La fase de cifrado de un ataque de ransomware presenta importantes retos para los atacantes. Es intrínsecamente “ruidoso”, lo que aumenta el riesgo de detección e interceptación. La gestión de múltiples víctimas aumenta la complejidad, ya que requiere distribuir claves de descifrado únicas y proporcionar “asistencia al cliente” para la recuperación de datos. Ambas tareas consumen muchos recursos y son muy exigentes desde el punto de vista operativo. Los grupos de ransomware se basan en gran medida en su reputación de restaurar de forma confiable los datos cifrados para mantener la confianza de las víctimas y asegurar los pagos. Si el descifrado falla, se socava esta confianza y se reduce la probabilidad de que se paguen rescates en el futuro. Además, la dependencia del cifrado aumenta la dependencia de los afiliados de las plataformas RaaS. Esta dependencia puede reducir sus beneficios al tiempo que aumenta su exposición a las fuerzas de seguridad.

La predisposición de las víctimas a pagar rescates por ataques basados en cifrado disminuyó constantemente debido a repetidos casos en los que los pagos no condujeron a la recuperación de datos, junto con organizaciones cada vez más competentes en el mantenimiento de copias de seguridad actualizadas. Los datos de Coveware, una firma estadounidense de respuesta a ransomware, destacan la tendencia: el porcentaje de casos basados en cifrado resueltos mediante el pago de rescates disminuyó del 75 % en 2019 al 32 % en el tercer trimestre de 2024. Por el contrario, la extorsión basada únicamente en la exfiltración de datos mantuvo una tasa de resolución de pagos estable en torno al 35 %. Este cambio, combinado con el aumento de los costos operativos de la gestión de los esfuerzos de descifrado, llevó a muchos actores de ransomware a abandonar el cifrado en favor de las operaciones de solo DXF.

10 % DE LAS VÍCTIMAS DE RANSOMWARE PERTENECEN AL SECTOR DE LA SALUD

EL 65 % DE LAS VÍCTIMAS DEL SECTOR DE LA SALUD SE UBICAN EN LOS EE. UU.

Figura 9: Política oficial de RansomHub desde su DLS.

El ecosistema del ransomware

18

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202518

https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html https://therecord.media/london-hospitals-ransomware-urgent-call-blood-donations-otype https://www.tripwire.com/state-of-security/healthcare-sector-warned-alphv-blackcat-ransomware-after-surge-targeted-attacks https://www.coveware.com/blog/2024/4/17/raas-devs-hurt-their-credibility-by-cheating-affiliates-in-q1-2024

OMER DEMBINSKY

Gerente del Grupo de Investigación de datos

Cada año, el entorno del ransomware se complica progresivamente. Aunque las fuerzas de seguridad lograron desmantelar grandes grupos de ransomware como servicio (RaaS), este año surgieron nuevos grupos. Además, el giro de la extorsión basada en el cifrado a la extorsión de datos plantea nuevos retos. Sin embargo, hay algo que se mantiene constante: la necesidad de adaptar y mejorar la protección de datos, la supervisión y la detección rápida de amenazas.

Los primeros en adoptar la tendencia de la filtración exclusiva de datos, como Karakurt y Lapsus$, allanaron el camino para que otros les siguieran. En 2024, grupos consolidados como BianLian, un grupo de ransomware de habla rusa, pasaron por completo a la extorsión exclusivamente DXF y abandonaron el cifrado. Del mismo modo, Meow, un antiguo grupo de ransomware que anteriormente se dedicaba a la doble extorsión, resurgió este año para centrarse únicamente en la venta de datos, ofreciendo los datos robados a diferentes precios y permitiéndoles a las víctimas “recomprar” su información para evitar su exposición pública.

También surgieron nuevos actores exclusivamente como “plataformas de venta de datos”. Por ejemplo, Bashe (también conocido como Eraleign), que apareció por primera vez en abril de 2024, opera puramente como una plataforma de extorsión basada en la exfiltración de datos. Ofrece un sitio dedicado a la filtración de datos (DLS) y una plataforma de negociación sin proporcionar servicios de cifrado ni herramientas adicionales.

Este enfoque también creó oportunidades para atribuciones falsas de víctimas. Sin la interrupción visible causada por el cifrado, los actores de amenazas pueden reciclar más fácilmente datos filtrados previamente y atribuirse nuevos ataques falsos. Esta táctica complica el seguimiento de las campañas de ransomware y la identificación de los auténticos autores, ya que varios grupos reclaman la responsabilidad de la misma víctima.

El aumento de la extorsión basada únicamente en la filtración de datos marca un cambio crítico en las prioridades de la ciberseguridad. Las organizaciones deben centrarse ahora en reforzar las estrategias de prevención de filtración de datos (DLP) aprovechando los sistemas avanzados de supervisión y detección para identificar y mitigar las posibles brechas con mayor antelación. Dado que los incentivos financieros y operativos para los ataques basados exclusivamente en la filtración de datos siguen creciendo, es probable que esta tendencia se mantenga este año, a medida que más grupos de ransomware adopten estas tácticas para agilizar las operaciones y eludir la detección.

Figura 10: Política de operaciones de Bashe de sus sitios de filtración de datos.

EL RANSOMWARE Y SU EVOLUCIÓN El panorama del ransomware en 2024 refleja un entorno de amenazas dinámico y cada vez más complejo. Los éxitos de las fuerzas de seguridad contra los principales grupos abrieron la puerta a nuevos actores, entre los que destaca RansomHub. Al mismo tiempo, la erosión de los límites éticos en relación con los ataques a organizaciones de salud pone de relieve una crueldad cada vez mayor entre los actores de amenazas. Además, el cambio estratégico de la extorsión basada en cifrado a la DXF introduce nuevos retos, que exigen que las organizaciones adapten sus estrategias defensivas para centrarse en la protección de datos, la supervisión y la detección rápida de amenazas.

El ecosistema del ransomware

19

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202519

Al examinar el panorama cibernético en 2024, los interceptadores de información están en la mira. Esto se debe no solo a la evolución de sus métodos y tácticas, sino también a que el ecosistema delictivo en general maduró y se especializó, lo cual aumenta la eficacia de estas amenazas. Los interceptadores de información adquirieron un poder considerable gracias a su capacidad para gestionar eficazmente, procesar con rapidez y vender grandes cantidades de registros. Constituyen el primer paso hacia las filtraciones a gran escala de las redes corporativas. Un aspecto crucial de la distribución de los interceptadores de información es que se basan principalmente en un enfoque “a diestra y siniestra” en lugar de dirigirse directamente a redes corporativas. A pesar de esta estrategia, uno de sus principales objetivos es extraer credenciales para acceder a los recursos corporativos en BYOD (Bring Your Own Device). Cyberint, una empresa de Check Point, informa que más del 70 % de los dispositivos infectados por interceptadores de información son personales y no corporativos o gestionados.

DEFINICIÓN DE INTERCEPTADOR DE INFORMACIÓN Los interceptadores de información, a menudo denominados “interceptadores”, son programas maliciosos diseñados para extraer de forma encubierta datos confidenciales de sistemas comprometidos, principalmente datos de navegación. También pueden extraer archivos de las máquinas infectadas y realizar capturas de pantalla. Los robos se propagan a través de correos electrónicos de phishing o descargas maliciosas. Una vez que se infiltran en una computadora, pueden cosechar una amplia variedad de información valiosa que puede utilizarse para otros delitos cibernéticos o actividades fraudulentas. Esto incluye nombres de usuario y contraseñas, datos financieros, configuraciones del sistema, cookies del navegador y carteras de criptomonedas. Los interceptadores de información se comercializan en la web oscura como malware como servicio (MaaS), donde los compradores reciben asistencia al cliente, actualizaciones periódicas y documentación detallada, lo que reduce la barrera de entrada para los posibles ciberdelincuentes.

DE LOS REGISTROS DE INTERCEPTADORES DE INFORMACIÓN A LAS FILTRACIONES COMPLETAS: LA POTENCIA DE LOS INTERCEPTADORES DE INFORMACIÓN EN UN ECOSISTEMA DE CIBERDELINCUENCIA MADURO Con el descenso de las grandes botnets y el malware bancario, los interceptaron de información surgieron como el nuevo gran mal, ahora distribuidos a través de campañas a gran escala. Una búsqueda rápida en Russian Market, uno de los mercados delictivos clandestinos más grandes, revela que actualmente se pueden comprar más de 10 millones de registros de interceptadores de información. Estos registros contienen credenciales de usuario robadas, tokens de autenticación y datos confidenciales. Los ciberdelincuentes pueden utilizarlos como poderosas herramientas para robar fondos de individuos, usurpar identidades o vulnerar redes informáticas en todo el mundo.

Figura 11: Hilo de un foro en la web oscura en el que se promociona la venta de un interceptador de información de Lumma.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202520

EL MERCADO DE LOS INTERCEPTADORES DE INFORMACIÓN El mercado de los interceptadores de información es sólido y muy competitivo, con precios que reflejan la sofisticación del producto y el nivel de asistencia que ofrecen los desarrolladores. Por ejemplo, RedLine Stealer está disponible por unos USD 150, StealC cuesta unos USD 200, y el precio de Lumma ronda los USD 250. Los actores de amenazas que operan estos servicios de malware, a menudo denominados “afiliados”, compran licencias y utilizan los interceptadores en campañas de infección individuales dentro del modelo MaaS. Los datos o “registros” recopilados por los afiliados consisten en lotes de información que se roban de computadoras individuales. A continuación, los registros se venden o intercambian en plataformas como Telegram o en mercados clandestinos de delincuentes como el Russian Market, normalmente por unos USD 10 cada uno. La información robada alimenta actividades ilícitas, como el fraude financiero, el robo de identidad y otros ciberataques, con lo que se perpetúa un ecosistema de ciberdelincuencia más amplio.

Los tokens de sesión y las cookies se encuentran entre los tipos de datos que más les interesan a los interceptadores de información. Estos artefactos son especialmente valiosos porque proporcionan acceso inmediato a las cuentas de usuario sin necesidad de credenciales de inicio de sesión. Adquirir registros “frescos” o robados recientemente es fundamental, ya que las cookies de sesión activas son sensibles al tiempo. Si se obtienen y venden rápidamente, pueden secuestrar sesiones en curso y eludir los mecanismos de autenticación de múltiples factores (MFA) en los que se basan muchos sistemas de seguridad. Los ciberdelincuentes suelen analizar los datos obtenidos de los interceptadores de información para descubrir credenciales de cuentas corporativas. Estas credenciales pueden proporcionar un punto de apoyo inicial dentro de una red corporativa o conceder acceso a recursos críticos. Los objetivos suelen incluir credenciales y tokens para cuentas de VPN, cuentas de Microsoft 365, sistemas de mensajería corporativa, etc.

Para hacer frente a este importante riesgo de seguridad, Google introdujo en julio el cifrado App-Bound. Sin embargo, en septiembre, varios interceptadores ya habían adoptado técnicas para saltarse esta protección y descifrar los datos sensibles robados.

La necesidad de una explotación rápida pone de relieve otra área clave en la que compiten los vendedores de información interceptada: la presentación y clasificación eficaces de los datos robados. Se desarrollaron paneles de operador y mecanismos de descarga avanzados para proporcionarles a los afiliados un acceso rápido y claro a los registros. Algunos sistemas ofrecen la transmisión automática de los registros a los canales de Telegram, lo que permite la explotación casi en tiempo real de los tokens de sesión en directo. Las interfaces de usuario eficaces no solo facilitan el acceso rápido, sino que también analizan y destacan automáticamente las credenciales de alto valor, lo que aumenta la eficacia y el atractivo del malware para los afiliados.

La infraestructura que soporta estas actividades maliciosas suele ser completa y la mantienen los propios proveedores de MaaS. Esta infraestructura puede incluir un mecanismo de autenticación de paneles, servidores de mando y control (C2) que proporcionen complementos y actualizaciones adicionales, y ubicaciones seguras para almacenar y descargar los datos robados. La dependencia de una amplia infraestructura puede resultar a veces el talón de Aquiles del malware, ya que las fuerzas de seguridad pueden atacar y apoderarse de estos recursos para interrumpir las operaciones de MaaS.

DISTRIBUCIÓN DE INTERCEPTADORES DE INFORMACIÓN Los afiliados que compran licencias a los desarrolladores y gestionan de forma independiente las campañas de infección son los responsables de las campañas de los interceptadores de

Figura 12: Registros de Lumma Stealer robados de una computadora francesa para su venta en el mercado ruso.

Figura 13: Vista del panel de StealC.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202521

https://www.bleepingcomputer.com/news/security/google-chrome-adds-app-bound-encryption-to-block-infostealer-malware/ https://www.bleepingcomputer.com/news/security/google-chrome-adds-app-bound-encryption-to-block-infostealer-malware/ https://www.bleepingcomputer.com/news/security/new-tool-bypasses-google-chromes-new-cookie-encryption-system/

puede monetizarse aún más. En muchos casos, los IAB revenden el acceso a objetivos cuidadosamente seleccionados en otros foros, lo que atrae a afiliados de ransomware deseosos de explotar estas oportunidades. Luego, estos afiliados despliegan ransomware, a menudo adquirido de proveedores de ransomware como servicio (RaaS), para ejecutar sus ataques.

Los fondos que generan los ataques exitosos de ransomware alimentan todo este ecosistema. Los datos personales robados también les ofrecen otras vías lucrativas a los ciberdelincuentes. La información de identificación personal (PII), los datos financieros y los números de tarjetas de crédito pueden utilizarse para el robo de identidad, el fraude y las transacciones no autorizadas, lo que da lugar al Business Email Compromise (BEC). Todas estas actividades dependen de una infraestructura delictiva madura y funcional que facilite el intercambio, la venta y la explotación de datos robados.

información. Para propagar el malware, utilizan métodos creativos, como correos electrónicos de phishing, publicidad maliciosa, distribución de software falso o crackeado, anuncios engañosos y sitios web falsos que imitan plataformas legítimas como servicios de criptomonedas, herramientas de IA y aplicaciones de groupware. Los afiliados también pueden explotar plataformas como GitHub para alojar repositorios maliciosos, como se vio en campañas que utilizaban cuentas fraudulentas para difundir interceptadores de información populares. Otras tácticas incluyen plantillas de phishing dirigidas a usuarios que buscan software crackeado, páginas CAPTCHA falsas diseñadas para engañar a los usuarios para que descarguen malware y anuncios maliciosos de Google que redirigen a sitios de descarga falsificados. A diferencia de los desarrolladores, que se centran en crear y actualizar el malware, los afiliados determinan por completo la distribución, lo que da lugar a una amplia variedad de innovadoras campañas de infección.

LA MONETIZACIÓN Y EL ECOSISTEMA DE LA CIBERDELINCUENCIA Para comprender el impacto total de los interceptadores de información, debemos examinar su papel dentro del ecosistema más amplio de la ciberdelincuencia. Muchos operadores de interceptadores de información dependen de clientes y canales de distribución eficaces para monetizar los datos que roban. Los mercados clandestinos y los canales de Telegram proporcionan plataformas inmediatas en las que los vendedores pueden ofrecer los datos robados, y los compradores pueden buscar eficazmente registros específicos que se ajusten a sus objetivos.

Los intermediarios de acceso inicial (IAB) aprovechan esta información para hacerse un hueco en las redes corporativas. El acceso obtenido mediante credenciales robadas es muy valioso y

Figura 14: Anuncio que ofrece acceso a redes corporativas.

Las credenciales y las cookies de sesión robadas de las computadoras domésticas de los empleados pueden utilizarse para vulnerar las redes corporativas. Un estudio reveló que el 90 % de las empresas atacadas tenían credenciales corporativas filtradas en el registro de un interceptador de información antes de la vulneración. Esta estadística subraya el papel fundamental que desempeñan los interceptadores de información a la hora de posibilitar ciberataques más significativos y pone de relieve la importancia de abordar esta amenaza en el contexto más amplio de la ciberseguridad.

A principios de este año, la gigantesca filtración de datos Snowflake expuso información confidencial de más de 165 organizaciones, entre ellas Advance Auto Parts, Ticketmaster y el Banco Santander, lo que afectó a millones de clientes. Lo más probable es que los

90 % DE LAS EMPRESAS INFECTADAS HABÍAN SUFRIDO FILTRACIONES DE CREDENCIALES CORPORATIVAS EN EL REGISTRO DE UN INTERCEPTADOR

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202522

https://securelist.com/tusk-infostealers-campaign/113367/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://www.mcafee.com/blogs/other-blogs/mcafee-labs/behind-the-captcha-a-clever-gateway-of-malware/ https://www.malwarebytes.com/blog/news/2024/06/poseidon-mac-stealer-distributed-via-google-ads https://flare.io/learn/resources/breached-identities-and-infostealers-one-of-the-largest-ongoing-data-leak-in-history/ https://flare.io/learn/resources/breached-identities-and-infostealers-one-of-the-largest-ongoing-data-leak-in-history/ https://www.wired.com/story/infostealer-malware-password-theft/

interceptadores de información extrajeran las credenciales y las vendieran en línea, lo que dio inicio a la vulneración.

ANÁLISIS DE INTERCEPTADORES DE INFORMACIÓN A LA VENTA Un análisis de los registros a la venta en plataformas como Russian Market revela qué interceptadores de información son los más prolíficos en cuanto a datos recopilados. Lumma Stealer, del que se

informó por primera vez en 2022, es actualmente el interceptador de información más destacado, con la mayor cantidad de registros disponibles a la venta. Le siguen RisePro, Vidar y StealC. Los datos sugieren que estas familias de malware fueron especialmente eficaces en campañas recientes o que disponen de amplios canales de distribución.

Las conclusiones del análisis de datos de las puertas de enlace de Check Point revelan una perspectiva diferente de la actividad de los interceptadores de información. En estos conjuntos de datos, AgentTesla aparece como el interceptador más activo, seguido de cerca por FormBook (en el capítulo siguiente se ofrecen estadísticas detalladas). Las diferencias entre estas fuentes de datos pueden atribuirse a los tipos de víctimas analizados. Los datos de Check Point se centran principalmente en empresas, mientras que los de Russian Market abarcan un espectro más amplio de víctimas, la mayoría de las cuales son usuarios de dispositivos personales.

Otros análisis de datos de Cyberint, una empresa de Check Point, destacan las principales credenciales URL robadas de las máquinas infectadas. Aunque muchas de estas URL pertenecen a los principales servicios de Internet y a las plataformas de redes

sociales, como era de esperar, otros sitios visitados con frecuencia son Roblox, Discord, Twitch y EpicGames. Esto sugiere que los aficionados a los videojuegos pueden ser más susceptibles a las

infecciones de los interceptadores de información, probablemente debido a unas prácticas de higiene en Internet menos estrictas en estas comunidades.

Otra observación significativa es la trayectoria de crecimiento de determinadas familias de malware. Por ejemplo, la prevalencia de RedLine Stealer se multiplicó por más de cuatro en los últimos tres años.

El aumento de los interceptadores de información puede atribuirse a la disminución de la popularidad de las botnets. En mayo, una operación de coalición denominada “Endgame” se dirigió contra las infraestructuras de las botnets utilizadas para distribuir malware, y se centró en grupos como IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC y Trickbot. Como resultado de Endgame, se desmantelaron más de 100 servidores y se incautaron más de 2000 dominios que utilizaban estos ciberdelincuentes. Las botnets desempeñaban anteriormente un papel central en la distribución de malware, y su interrupción afectó drásticamente al ecosistema, lo que contribuyó indirectamente al auge de los interceptadores de información.

La popularidad de los interceptadores de información no pasó desapercibida para las coaliciones internacionales encargadas de la aplicación de la ley. Dos familias de interceptadores estrechamente relacionadas, RedLine y Meta, fueron el centro de una operación

Lumma

51%

Risepro

15%

Vidar

13%

StealC

10%

RedLine

8%

Racoon

3%

Figura 15: Registros de una familia de interceptadores de información en el mercado ruso (noviembre de 2024).

Ene NovSepJulMar May Ene NovSepJulMar May

202420232022

NovSepJulMar May Ene

Total

Figura 17: Registros de RedLine en canales de Telegram rastreados 2022-2024 (Cyberint, una empresa de Check Point).

Figura 16: Principales URL que aparecen en los datos de interceptadores de información, según datos de Cyberint, una empresa de Check Point.

accounts.google.com facebook.com roblox.com login.live.com instagram.com netflix.com discord.com login.microsoftonline.com amazon.com paypal.com twitch.tv twitter.com epicgames.com

1

13

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202523

https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact https://cyberscoop.com/redline-meta-operation-magnus-infostealers/

SERGEY SHYKEVICH

Inteligencia sobre amenazas Gerente del grupo

Luego del descenso de las grandes botnets, los interceptadores de información se convirtieron en una amenaza significativa y a gran escala. Ofrecen a los ciberdelincuentes formas eficaces de robar credenciales y tokens de sesión, lo que contribuye al fraude financiero y al robo de identidad y actúa como punto de entrada a las redes corporativas. A medida que las empresas adoptan cada vez más el trabajo remoto y las políticas de “traiga su propio dispositivo” (BYOD), es esencial que apliquen estrategias de protección.

interconectadas amenazas que plantean los interceptadores de información modernos.

Resto del mundo 55%

India 10%

Brasil 8%

Vietnam2% Tailandia3%

Filipinas3% Turquía4%

Egipto 5%

Pakistán 5%

Indonesia 5%

Figura 18: Registros en el mercado ruso según el país de origen.

policial importante conocida como “Magnus”. En octubre, esta operación concluyó con la incautación de múltiples servidores y dominios asociados a estas cepas de malware.

El análisis geográfico de los registros a la venta también arroja datos importantes. Una parte sustancial de los registros en el mercado ruso proviene de la India y Brasil.

Aunque la tecnología de los interceptadores de información no evolucionó drásticamente en el último año, el entorno en el que opera el malware se transformó radicalmente. Los interceptadores de información ocupan ahora un lugar destacado en el panorama de las ciberofensivas. La maduración del mercado de los productos interceptadores de información y de los registros que generan les permite a los IAB buscar y explotar eficazmente credenciales valiosas, lo que en última instancia les permite penetrar en las redes corporativas.

COMBATA A LOS INTERCEPTADORES DE INFORMACIÓN: REFUERCE LA

SEGURIDAD EMPRESARIAL EN LA ERA DEL TRABAJO REMOTO La superficie potencial de ataque corporativo se amplió con la adopción generalizada del trabajo remoto y las políticas BYOD, ya que los empleados acceden a los activos corporativos desde dispositivos personales, lo que extiende las redes empresariales a los entornos domésticos individuales. La rapidez de los registros y su capacidad de búsqueda permiten a los IAB identificar rápidamente posibles puntos de entrada a las redes corporativas, que a menudo eluden los mecanismos MFA con cookies de sesión válidas robadas que se encuentran en los dispositivos personales.

Para combatir estas amenazas en evolución, las empresas deben extender sus medidas de seguridad para cubrir la superficie ampliada, incluidos los puntos de acceso de los empleados. Las organizaciones deben buscar activamente indicios de artefactos relacionados con la empresa que se estén vendiendo en mercados delictivos para adelantarse a posibles filtraciones. Ampliando las estrategias de protección y manteniéndose alerta, las empresas pueden reforzar sus defensas contra las sofisticadas e Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202524

COMPLEJIDAD DE LA ADMINISTRACIÓN DE LA NUBE La complejidad de administrar la infraestructura de la nube agrega una capa significativa de vulnerabilidad que no puede resolverse con un simple parche. La rápida evolución del ecosistema y la multitud de proveedores de nube, cada uno de los cuales ofrece decenas de servicios, terminologías y mecanismos de seguridad, crean una complejidad difícil de sortear. Como resultado, los administradores se ven a menudo abrumados por la cantidad de ajustes y configuraciones necesarios para proteger sus entornos con eficacia. Esto conduce a la exposición de recursos en línea o entornos penetrables que permiten rutas fáciles de escalada de privilegios.

Un ejemplo de esta complejidad administrativa puede verse con las identidades no humanas (cuentas de servicio, claves API, usuarios integrados, etc.), que resultan difíciles de proteger. En enero de 2024, Microsoft fracasó en la protección de su propio entorno de Azure cuando un grupo de amenazas de Estado nación avanzado, Midnight Blizzard, penetró en el entorno de producción de Microsoft a través de principios de aplicación y servicio OAuth mal configurados. Esto les permitió a los atacantes pasar de entornos de prueba a entornos de producción y acceder a sistemas internos, código fuente y correos electrónicos de ejecutivos de Microsoft.

Los errores de configuración conocidos y las prácticas de seguridad deficientes siguen desempeñando un papel importante en las filtraciones de datos a gran escala. Por ejemplo, en la India, 500 GB de información personal y datos biométricos de millones de personas, incluidas fuerzas de seguridad y personal militar, quedaron expuestos en un bucket S3 mal configurado. La alternativa de Microsoft a los buckets S3, los contenedores Azure Blob Storage, también es susceptible de errores de configuración. Un empleado de Fujitsu expuso públicamente grandes cantidades de datos confidenciales, incluida información privada de clientes, correos electrónicos, claves de AWS y contraseñas en texto plano. BMW también sufrió las consecuencias de un contenedor de almacenamiento expuesto, que filtró claves secretas para acceder a buckets privados y credenciales de otros servicios en la nube.

En el ámbito de las malas prácticas de seguridad de las API, los desarrolladores del Rabbit R1, un dispositivo de asistencia personal basado en inteligencia artificial, recibieron una notificación después de que se encontraran en su código claves de API codificadas para servicios de terceros. Estas claves eran excesivamente permisivas, y básicamente permitían leer todas las respuestas de chat de cada cliente, lo que podía revelar información confidencial.

LA NUBE: UNA SUPERFICIE DE ATAQUE EN CONSTANTE EXPANSIÓN La infraestructura en la nube se convirtió en 2024 en parte integrante del marco de TI de la mayoría de las organizaciones. Empresas de todos los tamaños aprovechan ahora la escalabilidad y flexibilidad que ofrece la nube para dar soporte a sus requisitos operativos, como servicios de correo electrónico, operaciones de desarrollo, almacenamiento de datos y alojamiento de servicios de producción. La nube les permite a las organizaciones desplegar y escalar rápidamente sus entornos para adaptarlos a sus necesidades. Al mismo tiempo, esta adopción generalizada dio lugar a una nueva serie de vulnerabilidades de seguridad que son explotadas cada vez más por los actores de amenazas.

Ciberguerras - Edición 2024

El ecosistema del ransomware

Aumento de interceptadores de información

Complejidades de la nube

ANÁLISIS GLOBAL04

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202525

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

04

EL ECOSISTEMA DEL RANSOMWARE05

AUMENTO DE INTERCEPTADORES DE INFORMACIÓN06

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/ https://www.wiz.io/blog/midnight-blizzard-microsoft-breach-analysis-and-best-practices https://hackread.com/data-leak-indian-police-military-biometric-data/ https://www.thestack.technology/fujitsu-breach-cloud-buckets/ https://www.thestack.technology/fujitsu-breach-cloud-buckets/ https://techcrunch.com/2024/02/14/bmw-security-lapse-exposed-sensitive-company-information-researcher-finds/ https://www.theverge.com/2024/6/26/24186614/rabbit-r1-security-flaw-api-key-codebase https://www.theverge.com/2024/6/26/24186614/rabbit-r1-security-flaw-api-key-codebase

La ausencia de controles sólidos de autenticación y acceso en algunas organizaciones, en particular, la falta de autenticación de múltiples factores (MFA) para los servicios en la nube, contribuyó a un importante incidente de pérdida de datos este año. Los atacantes apuntaron contra Snowflake, una plataforma de almacenamiento de datos en la nube, utilizando nombres de usuario y contraseñas obtenidos a través de varios interceptadores de información. Esto les permitió acceder a las cuentas de Snowflake de al menos 165 empresas, filtrar datos confidenciales y presentar demandas de extorsión.

LOS PELIGROS DE LOS ENTORNOS HÍBRIDOS La integración de recursos locales con servicios en la nube a través de proveedores de gestión de identidades y accesos (IAM), como Microsoft Entra ID, se convirtió en una práctica habitual. Estas configuraciones pretenden agilizar la IAM y permitir la autenticación de inicio de sesión único (SSO). Sin embargo, estas integraciones también se convirtieron en los objetivos principales de los ciberataques debido a su capacidad para facilitar el movimiento lateral bidireccional. Mientras que las organizaciones se benefician de la distribución de sus datos y recursos a través de la nube y los sistemas locales, los atacantes explotan las mismas vías para desplegar ataques destructivos, filtrar datos confidenciales o establecer puertas traseras dentro de las organizaciones.

Las empresas que utilizan servicios de correo electrónico basados en la nube como Microsoft 365 descubrieron que las redes locales comprometidas también pueden exponer sus activos en la nube. Cuando los atacantes obtienen el control de un entorno local, pueden pasar a los entornos en la nube a través de varias vías, como los servidores Azure AD Connect (a través del usuario Microsoft Entra Connect Sync) o las cuentas de usuario híbridas. Por ejemplo, en 2024, el actor de amenazas Storm-0501, con motivaciones económicas, lanzó ataques en varias fases que comprometían entornos de nube híbrida, realizaban movimientos laterales de las instalaciones a la nube y desplegaban cuentas de puerta trasera antes de lanzar finalmente el ransomware a través de la red. La misma táctica se utilizó en 2023, cuando un grupo de amenazas con base en Irán, Mango Sandstorm (alias Mercury) y Storm-1084, atacaron organizaciones israelíes. Los atacantes aprovecharon el paso a entornos en la nube para volcar conversaciones de correo electrónico, enviar correos electrónicos y desplegar ataques destructivos contra activos en la nube.

En otro caso, un actor de amenazas con motivaciones financieras llamado UNC3944 (alias Scattered Spider) explotó cuentas de Okta SSO altamente privilegiadas para extender su intrusión desde la infraestructura local a múltiples aplicaciones en la nube y SaaS, como vCenter, CyberArk, SalesForce, Azure, CrowdStrike,

AWS y GCP. El atacante podría entonces realizar inspecciones de reconocimiento del portal web Okta para identificar las aplicaciones disponibles, realizar asignaciones de roles a estas aplicaciones, y así moverse lateralmente a través de múltiples proveedores de nube y activos de las víctimas.

ATAQUE A LAS CUENTAS SSO Proteger cuentas SSO se convirtió en una tarea cada vez más preocupante y desalentadora. Los actores de amenazas, especialmente los grupos de amenazas avanzadas, están llevando a cabo ataques a gran escala de relleno de credenciales y ataques de fuerza bruta de actividad baja y lenta (low and slow) contra proveedores de SSO y servicios en la nube. En abril de 2024, los investigadores de Okta observaron una importante operación de manipulación de credenciales contra su servicio, en la que los atacantes utilizaron servicios proxy residenciales y otros anonimizadores para eludir la detección. Del mismo modo, los investigadores de Microsoft informaron de un grupo avanzado de habla china que aprovechó miles de dispositivos SOHO comprometidos para ejecutar ataques de rociado de contraseñas de bajo volumen contra cuentas detrás del SSO de Microsoft, en los cuales intentaron solo una o dos contraseñas al día por cuenta de usuario.

A medida que las empresas dependen de proveedores externos de SSO para protegerse contra ataques de fuerza bruta y otras técnicas maliciosas, también confían en los registros y la visibilidad global de los proveedores para detectar actividades sospechosas. Esta dependencia genera preocupación sobre la confianza en las prácticas de seguridad de terceros, manifestada en el informe de septiembre de Microsoft acerca de que algunos clientes solo recibieron una recopilación parcial de registros debido a un problema de los sistemas.

LA POPULARIDAD DE LA IA La IA también afecta a la nube, ya que los principales proveedores de servicios en la nube (CSP) ofrecen soluciones de IA generativa (GenAI) como servicio. Las empresas eligen las soluciones de los grandes modelos de lenguajes (LLM) de los CSP en lugar de utilizar servicios de GenAI como ChatGPT directamente a través de una API por varias razones. Por un lado, pueden construir, entrenar y desplegar modelos personalizados adaptados a sus necesidades empresariales específicas o utilizar la generación aumentada por recuperación (RAG) para integrar sus bases de conocimiento y conjuntos de datos propios. Otra razón es la privacidad y protección de los datos; al aprovechar las soluciones basadas en CSP, las empresas tienen un mayor control sobre sus datos, lo que garantiza que el contenido del chat no se utilice para entrenar modelos públicos.

Ciberguerras - Edición 2024

El ecosistema del ransomware

Aumento de interceptadores de información

Complejidades de la nube

ANÁLISIS GLOBAL04

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202526

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

04

EL ECOSISTEMA DEL RANSOMWARE05

AUMENTO DE INTERCEPTADORES DE INFORMACIÓN06

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

https://thehackernews.com/2024/06/snowflake-breach-exposes-165-customers.html https://www.microsoft.com/en-us/security/blog/2024/09/26/storm-0501-ransomware-attacks-expanding-to-hybrid-cloud-environments/ https://www.microsoft.com/en-us/security/blog/2024/09/26/storm-0501-ransomware-attacks-expanding-to-hybrid-cloud-environments/ https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/ https://cloud.google.com/blog/topics/threat-intelligence/unc3944-targets-saas-applications https://sec.okta.com/blockanonymizers https://www.microsoft.com/en-us/security/blog/2024/10/31/chinese-threat-actor-storm-0940-uses-credentials-from-password-spray-attacks-from-a-covert-network/ https://www.microsoft.com/en-us/security/blog/2024/10/31/chinese-threat-actor-storm-0940-uses-credentials-from-password-spray-attacks-from-a-covert-network/ https://www.bleepingcomputer.com/news/security/microsoft-warns-it-lost-some-customers-security-logs-for-a-month/

MICHAEL ABRAMZON

Arquitecto de Inteligencia e Investigación de Amenazas

A medida que aumenta la oferta de servicios en la nube, también lo hace la superficie de ataque. Los últimos incidentes ponen de manifiesto la necesidad de una gestión continua de la postura y una prevención proactiva de las amenazas en los entornos híbridos y multinube para detectar y bloquear los ataques sofisticados

Naturalmente, los actores de amenazas encontrarán formas de explotar estas nuevas tecnologías para su propio beneficio financiero. Hasta hace poco, los actores se centraban principalmente en secuestrar recursos en la nube para realizar criptojacking (minería de criptomonedas) en un único servidor vulnerable o en un clúster Kubernetes. Este año, los atacantes encontraron una nueva oportunidad llamada LLMjacking. Después de comprometer una cuenta en la nube, los atacantes toman el control de los modelos LLM alojados existentes o intentan desplegar otros nuevos. En una ocasión, los atacantes utilizaron un proxy LLM para revender el acceso a estos LLM a terceros. En otro caso, los atacantes combinaron la fuga de LLM, una técnica para eliminar las limitaciones sobre temas de chat prohibidos, para vender personajes de chatbot de rol sin censura que eran NSFW.

Debido a que Microsoft y OpenAI descubrieron grupos de amenazas estatales de Rusia, China e Irán haciendo uso indebido de ChatGPT para investigar temas avanzados, crear herramientas y encontrar vulnerabilidades, es posible que algunos actores de amenazas se pasen a instancias LLM privadas para mejorar la seguridad operativa.

RETOS DE SEGURIDAD EN LA INFRAESTRUCTURA DE LA NUBE Los incidentes de este año ponen de manifiesto los graves problemas de seguridad que plantea la adopción generalizada de la infraestructura en la nube. La complejidad de la administración, los errores de configuración y las vulnerabilidades de los entornos híbridos provocaron filtraciones importantes. A medida que las tecnologías de nube sigan evolucionando, también lo harán las tácticas de quienes tratan de explotarlas. Las medidas proactivas serán fundamentales para proteger los entornos en la nube, cada vez más complejos.

Ciberguerras - Edición 2024

El ecosistema del ransomware

Aumento de interceptadores de información

Complejidades de la nube

ANÁLISIS GLOBAL04

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202527

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

04

EL ECOSISTEMA DEL RANSOMWARE05

AUMENTO DE INTERCEPTADORES DE INFORMACIÓN06

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

https://sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack/ https://sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack/ https://www.lacework.com/blog/detecting-ai-resource-hijacking-with-composite-alerts https://www.lacework.com/blog/detecting-ai-resource-hijacking-with-composite-alerts https://permiso.io/blog/exploiting-hosted-models https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/

Tradicionalmente, los dispositivos perimetrales les interesaban sobre todo a los actores patrocinados por el Estado, especialmente los asociados a grupos de amenazas chinos. Sin embargo, los grupos de ciberdelincuentes se dirigen cada vez más a estos activos, adoptando tácticas similares para obtener beneficios económicos.

En 2024, la cantidad de vulnerabilidades de día cero divulgadas que afectan a los dispositivos perimetrales aumentó significativamente, con más de una docena dirigidas específicamente a dispositivos de varios proveedores. Estas vulnerabilidades recibieron una puntuación de riesgo CVSS de ocho o superior, lo que subraya su gravedad crítica y su impacto potencial.

Una novedad importante es el aumento de botnets complejas utilizadas como ORB. Una de las más sofisticadas es la botnet Raptor Train, orquestada por el grupo APT chino Flax Typhoon, que reunió más de 200 000 dispositivos comprometidos, incluidos routers para pequeñas oficinas/oficinas domésticas (SOHO), sistemas NAS y cámaras IP. Organizada en varios niveles, la estructura de la botnet soporta un sistema de mando y control (C2) a través de la plataforma “Sparrow”, que permite operaciones remotas, ataques DDoS y espionaje. Los atacantes aprovechan tanto las vulnerabilidades de día cero como las conocidas, creando una infraestructura de ataque escalable y persistente con alcance global. A través de estos dispositivos, Flax Typhoon mantiene el control operativo, lo que supone riesgos significativos para entidades tanto del sector público como privado.

Flax Typhoon no es el único actor alineado con China que opera a través de ORB. Otro actor patrocinado por el Estado y vinculado a China es Volt Typhoon, conocido por atacar infraestructuras críticas de Estados Unidos. Este grupo opera a través de una red diferente para ocultar sus actividades. La KV-botnet es una sofisticada red de routers y cortafuegos SOHO comprometidos que ataca principalmente a equipos al final de su vida útil (EoL) de fabricantes como Cisco y NetGear. Varios actores chinos utilizan esta red, lo que complica los esfuerzos de atribución.

Además de los actores afiliados al Estado, los atacantes con motivaciones económicas también utilizan servicios proxy alimentados por dispositivos IoT y EoL comprometidos. La red proxy Faceless, creada a partir de una botnet heredada llamada TheMoon, está formada por más de 40 000 dispositivos comprometidos. Los ciberdelincuentes utilizan estos routers antiguos como nodos anónimos para ocultar actividades maliciosas, como la filtración de datos y el robo de credenciales. La dependencia de los dispositivos EoL subraya un riesgo importante: miles de dispositivos no compatibles siguen siendo vulnerables a los ataques, lo que les proporciona a los atacantes una infraestructura resistente que elude las defensas convencionales.

LA AMENAZA CAMBIANTE DE LOS DISPOSITIVOS PERIMETRALES Y LAS ORB En el último año, tanto los ciberdelincuentes como los actores patrocinados por el Estado aumentaron significativamente la explotación de los dispositivos perimetrales como vector de acceso inicial. Los dispositivos perimetrales, como routers, firewalls y dispositivos VPN, son especialmente atractivos debido a su falta de soluciones de seguridad específicas. A menudo, se aprovechan para instalar infraestructuras de anonimización, conocidas como cajas de retransmisión operativas (ORB). Las ORB representan un tipo de infraestructura de red que los actores de amenazas cibernéticos utilizan para anonimizar y retransmitir comunicaciones a través de varios dispositivos, muchos de los cuales están comprometidos, creando canales encubiertos que evaden la detección.

Dispositivos perimetrales y ORB

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

ESTADO DE LA CIBERSEGURIDAD EN 202528

https://blog.lumen.com/derailing-the-raptor-train/ https://blog.lumen.com/derailing-the-raptor-train/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://blog.lumen.com/kv-botnet-dont-call-it-a-comeback/ https://blog.lumen.com/the-darkside-of-themoon/

Este año, los dispositivos perimetrales corporativos se enfrentaron cada vez más a la explotación de día cero, ya que los atacantes continuaron reutilizándolos para una mayor penetración en la red. A principios de 2024, se descubrieron vulnerabilidades de alta gravedad en Ivanti Connect Secure y PAN-OS GlobalProtect de Palo Alto Networks, que permitían la ejecución remota de código y la omisión de múltiples factores. Tanto actores de Estado nación como grupos de ransomware explotaron estos dispositivos como puntos de entrada para acceder y comprometer entornos sensibles. Estos ataques de día cero en dispositivos perimetrales tienen consecuencias significativas, ya que no son fáciles de parchear, dado su papel fundamental en el flujo principal de la red. Parchear los dispositivos perimetrales puede interrumpir los servicios de red durante algún tiempo, lo que puede provocar consecuencias operativas considerables.

Algunos actores recurrieron a la explotación de dispositivos perimetrales como metodología. Magnet Goblin, un actor con motivaciones financieras que apareció por primera vez en 2024, se centra en explotar rápidamente vulnerabilidades recién reveladas en dispositivos perimetrales de uso generalizado. Sus campañas tuvieron como objetivo las VPN de Ivanti Connect Secure y software popular como Magento y Qlik Sense para desplegar malware personalizado. El conjunto de herramientas

de Magnet Goblin incluye NerbianRAT, un troyano de acceso remoto (RAT) multiplataforma, y MiniNerbian, una puerta trasera para Linux. El hecho de que el actor se dedique a explotar con rapidez las vulnerabilidades de los dispositivos perimetrales pone de manifiesto una tendencia más amplia en los ataques con motivaciones financieras contra estos componentes críticos, utilizando herramientas como WARPWIRE, un JavaScript que roba credenciales para acceder a datos confidenciales en tiempo real.

El dispositivo SSLVPN de Check Point también fue atacado a través de la vulnerabilidad de cruce de directorio identificada como CVE- 2024-24919. Este exploit les permitía a los atacantes acceder y leer archivos en dispositivos SSLPN, incluidos hashes de contraseñas sensibles y archivos de configuración. Cuando estos dispositivos se configuran con métodos de autenticación más débiles, como el acceso mediante nombre de usuario y contraseña, son propensos a la lectura no autorizada de datos. Este ataque demuestra la atención cada vez mayor que prestan a los dispositivos perimetrales los distintos actores de amenazas, que pueden explotar rápidamente cualquier vulnerabilidad emergente.

Aunque los ciberdelincuentes mejoraron su explotación de los dispositivos perimetrales, los actores patrocinados por el Estado siguen demostrando su superioridad tecnológica. Utilizan exploits

Activos comprometidos

Plataforma de ORB anónima

Servidores C&C de ORB

Tráfico anónimo

Acceso de puerta trasera a la red corporativa Ataques de fuerza bruta

Ataques DDoS

Routers SOHO Firewalls corporativos

Puertas de enlace de VPN

Dispositivos de IoT

Figura 19: Esquema de la infraestructura de una ORB.

VULNERABILIDADES SIGNIFICATIVAS DE DISPOSITIVOS PERIMETRALES REVELADAS EN 2024

Figura 20: Cronología de las vulnerabilidades de dispositivos perimetrales reveladas en 2024.

Dispositivos perimetrales y ORB

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

ESTADO DE LA CIBERSEGURIDAD EN 202529

https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/ https://support.checkpoint.com/results/sk/sk182336

LOTEM FINKELSTEIN

Director de Inteligencia e Investigación de amenazas

Con miles de dispositivos no compatibles en riesgo de ataque, los actores de amenazas tienen acceso a infraestructuras que eluden las medidas de seguridad tradicionales. Los parches oportunos, la supervisión exhaustiva y los sistemas de detección potentes serán cruciales

de día cero para desplegar implantes personalizados hechos a medida para dispositivos específicos. Los dispositivos de seguridad adaptativos (ASA) de Cisco fueron el objetivo de una sofisticada campaña conocida como ArcaneDoor. Aprovechando los puntos débiles de los ASA, esta operación les permitió a los actores de Estado nación infiltrarse en redes gubernamentales e industriales, obtener información confidencial y establecer capacidades de espionaje a largo plazo. A lo largo de la campaña, los actores de amenazas utilizaron un implante único, hecho a medida para los dispositivos afectados, lo que indica importantes esfuerzos de investigación y desarrollo.

Se descubrieron muchos implantes personalizados para diversos productos de seguridad. Uno de ellos, con nombre en clave Pacific Rim, sugiere que los actores chinos llevan varios años atacando dispositivos perimetrales, como firewalls y pasarelas VPN de Sophos. Pacific Rim utilizó varias tácticas para explotar vulnerabilidades en servicios de Internet, incluidos CVE-2020-12271 y CVE-2022-1040, y permitió el acceso a puntos críticos de la red. Una vez comprometidos, estos dispositivos pasan a formar parte de una red ORB que soporta canales encubiertos de mando y control (C2) que evaden la detección. Los atacantes utilizaron técnicas avanzadas en su operación, como implantes de rootkits y hotfixes ofuscados, para mantener la persistencia y ocultar su presencia en los dispositivos comprometidos. Esto le permitió a la operación pasar de los dispositivos perimetrales a los activos de red internos, y centrarse en objetivos de gran valor en toda la región Indo-Pacífica. El enfoque sostenido y estratégico de Pacific Rim hace hincapié en las vulnerabilidades de los dispositivos perimetrales, especialmente en sectores en los que es difícil llevar a cabo una vigilancia exhaustiva y una aplicación oportuna de parches.

Aunque estas puertas traseras sofisticadas se volvieron más comunes con el tiempo, es importante tener en cuenta que muchas amenazas “clásicas” de dispositivos perimetrales no seguros siguen presentes en el ecosistema cibernético. En septiembre de 2024, CloudFlare comenzó a defenderse de una campaña DDoS de meses de duración que se reveló como el mayor volumen de ataque jamás reportado por una organización. Estos ataques de alta tasa de paquetes parecen originarse en múltiples tipos de dispositivos comprometidos, incluidos dispositivos MikroTik, DVR y servidores web. La alta tasa de bits se originó en una gran cantidad de routers domésticos ASUS comprometidos, que probablemente fueron explotados utilizando una vulnerabilidad crítica. Actualmente, este ataque a gran escala no se atribuyó a ningún actor patrocinado por el Estado o grupo de ciberdelincuencia.

En 2024, las botnets a gran escala creadas a partir de dispositivos perimetrales vulnerables y no supervisados se convirtieron en una parte indispensable de los arsenales de los actores de amenazas avanzadas, ya sea que se utilicen para la anonimización, la explotación de la red, la persistencia o los ataques DDoS que baten récords.

Las ORB y botnets como Raptor Train y Faceless utilizan infraestructuras C2 descentralizadas que pueden alternar dinámicamente entre dispositivos comprometidos. Esto les permite a los atacantes rotar los nodos y eludir eficazmente la detección. Algunas variantes de malware, como TheMoon, emplean estrategias de evasión avanzadas, como la ejecución solo en memoria y el cambio frecuente de IP, lo que complica aún más los esfuerzos de mitigación. Junto con los continuos ciclos de dispositivos infectados, estas tácticas presentan importantes retos para los defensores.

Los atacantes con motivaciones económicas cooptaron la estrategia de atacar dispositivos perimetrales, una táctica que actores estatales habían utilizado inicialmente para infiltrarse de forma encubierta, y ahora aprovechan conjuntos de herramientas estándar. Este enfoque les permitió penetrar en objetivos de gran valor sin ser detectados durante largos períodos. El ataque persistente a dispositivos perimetrales pone de manifiesto una brecha de seguridad crítica. Los dispositivos de red expuestos al público seguirán corriendo un riesgo considerable si no se aplican rápidamente parches, no se realiza una supervisión exhaustiva y no se cuenta con sistemas de detección robustos.

Dispositivos perimetrales y ORB

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

ESTADO DE LA CIBERSEGURIDAD EN 202530

https://blog.talosintelligence.com/arcanedoor-new-espionage-focused-campaign-found-targeting-perimeter-network-devices/ https://news.sophos.com/en-us/2024/10/31/pacific-rim-timeline/ https://blog.cloudflare.com/how-cloudflare-auto-mitigated-world-record-3-8-tbps-ddos-attack/ https://censys.com/june-20-improper-authentication-vulnerability-in-asus-routers/ https://censys.com/june-20-improper-authentication-vulnerability-in-asus-routers/

ANÁLISIS GLOBAL

00 44 ESTADO DE LA CIBERSEGURIDAD EN 2025

GLOBAL

6% Dispositivo móviles

2% Mineros de criptomonedas

19% Interceptador

39% Malware multipropósito

AMÉRICA

4% Dispositivo móviles

1% Mineros de criptomonedas

15% Interceptador

32% Malware multipropósito

EMEA

6% Dispositivo móviles

2% Mineros de criptomonedas

20% Interceptador

42% Malware multipropósito

APAC

8% Dispositivo móviles

5% Mineros de criptomonedas

28% Interceptador

42% Malware multipropósito

La Figura 1 muestra los ataques según el tipo de malware. Estas cifras excluyen los escaneos generales y solo se refieren a los ataques directos, lo que nos permitió clasificar el tipo de malware y su intención.

En 2024, se produjo un notable aumento de los intentos de ataque tanto por interceptadores de información como por malware multipropósito. El malware multipropósito (RAT, botnets y bankers) se utiliza con frecuencia en las fases iniciales de un ataque para desplegar herramientas adicionales y ampliar el control de los atacantes sobre el sistema vulnerado. Por lo tanto, no es de extrañar que este sea el tipo de malware más común, con un 39 % de las organizaciones afectadas en 2024. Esta cifra supone un aumento significativo del 25 % en comparación con 2023, cuando solo el 31 % de las organizaciones se enfrentaron a intentos similares.

Los intentos de los interceptadores de información también aumentaron significativamente, del 12 % al 19 % de las organizaciones afectadas en 2024, un aumento del 58 %. El aumento de estos ataques, que suelen distribuirse en campañas masivas en lugar de dirigirse a víctimas concretas, refleja la maduración del ecosistema y la demanda cada vez mayor de registros de interceptadores de información con credenciales, cookies de sesión y otra información personal. Los interceptadores se utilizan para múltiples actividades maliciosas, que van desde el fraude directo a través de credenciales financieras robadas hasta el aprovechamiento de las cookies de sesión robadas para penetrar en redes corporativas. En el capítulo Tendencias, se ofrecen más detalles sobre la evolución reciente del ecosistema de interceptadores de información y, más adelante, se incluye una sección dedicada a los datos.

Los ataques de minería de criptomonedas, instaladas sin el conocimiento de los propietarios del sistema, disminuyeron significativamente, del 9 % a solo el 2 % de las organizaciones afectadas. La mayoría de los mineros de criptomonedas que observamos tienen como objetivo la criptomoneda Monero, cuya dificultad de minado (esfuerzo computacional necesario para minar Monero) prácticamente se duplicó este año, al pasar de una media de 260 GB en enero a casi 450 GB en diciembre. Esto reduce drásticamente su rentabilidad. En una sección específica se presentan más detalles sobre los mineros de criptomonedas.

CATEGORÍAS DE CIBERATAQUE POR REGIÓN

58 % AUMENTO EN LOS INTENTOS DE INFECCIÓN POR INTERCEPTORES DE INFORMACIÓN EN 2024

Figura 1: Porcentaje de organizaciones afectadas por tipo de malware en 2024.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202532

Riesgo más alto Riesgo más bajo Gris: datos insuficientes

MAPA DEL ÍNDICE DE AMENAZAS GLOBALES

Mayor riesgo Datos insuficientes

Figura 2: En el mapa, se muestra el índice de riesgo de ciberamenazas a nivel mundial, lo que demuestra las principales áreas de riesgo en todo el mundo.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202533

ATAQUES POR ORGANIZACIÓN Los ataques globales generales contra organizaciones aumentaron significativamente en el último año, con un promedio de 1673 ataques semanales por organización. Esta cifra supone un aumento del 44 % con respecto a 2023. La Figura 3 refleja la cantidad promedio de ataques semanales por organización según la industria. En 2024, se produjo un aumento significativo de la cantidad de ataques semanales en la mayoría de los sectores. El sector educativo experimenta el mayor volumen, con un aumento interanual (YoY) del 75 %, lo cual supone un promedio de más de 3574 ataques semanales. Las instituciones educativas fueron un objetivo específico de los ataques para recopilar información personal. Este aumento persistente de los ataques afecta a universidades, escuelas, y departamentos y servicios educativos.

El sector de la salud también fue testigo de un aumento del 47% en el promedio de ataques semanales. Los ciberdelincuentes están abandonando cada vez más sus anteriores prohibiciones autoimpuestas de atacar los servicios de salud. Este sector es especialmente vulnerable a las interrupciones prolongadas de los servicios (como se señaló en la sección anterior sobre ransomware) y a la naturaleza altamente sensible de los datos de los pacientes.

El sector de la cadena de suministro tecnológico, que incluye empresas de software, hardware y semiconductores, también experimentó un aumento significativo de los ciberataques. En particular, las industrias de hardware y semiconductores experimentaron el aumento más pronunciado, con un asombroso incremento del 179 % en el promedio de ataques semanales, con una cantidad total que ahora supera los 1400 ataques. Este aumento puede atribuirse a la creciente demanda mundial de hardware y a la mayor atención dedicada a las tecnologías de IA. Como componentes críticos de la infraestructura moderna y la innovación, estas industrias se convirtieron en objetivos principales para los ciberdelincuentes que buscan explotar las vulnerabilidades de la cadena de suministro para obtener ganancias financieras, espionaje o interrupción.

+75%

+43%

+47%

+40%

+42%

3,574

2,286

2,210

2,084

1,579

1,577

1,572

1,554

1,553

1,553

1,520

1,510

1,486

1,434

1,422

1,415

1,410 +179%

+33%

+30%

+71%

845 -34%

854

1,180 +58%

1,270 +33%

1,312

1,361

+43%

+109%

Tecnología de la información

Agricultura

Transporte y logística

Hotelería, viajes y ocio

Fabricación industrial

Software

Hardware y semiconductores

Venta al por mayor y distribución

Bienes inmuebles, alquileres y leasing

Servicios empresariales

Biotecnología y farmacia

Servicios financieros

Asociaciones y organizaciones sin fines de lucro

Medios de comunicación y entretenimiento

Automotriz

Bienes de consumo y servicios

Aeroespacial y defensa

Energía y servicios públicos

Construcción e ingeniería

Telecomunicaciones

De salud y médico

Gobierno

Educación

Figura 3: Promedio global de ataques semanales por organización y por industria en 2024 [porcentaje de cambio desde 2023]. [*] Sectores nuevos que no formaban parte del informe anterior.

(% DE CAMBIO A PARTIR DE 2023)

GLOBAL ATAQUES SEMANALES

POR ORGANIZACIÓN Y POR INDUSTRIA EN 2024

LOS ATAQUES GLOBALES CONTRA ORGANIZACIONES AUMENTARON SIGNIFICATIVAMENTE EL AÑO PASADO, CON UN PROMEDIO DE 1673 ATAQUES SEMANALES POR ORGANIZACIÓN. REPRESENTA UN 44 % MÁS QUE EN 2023

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202534

https://blog.checkpoint.com/research/check-point-research-reports-highest-increase-of-global-cyber-attacks-seen-in-last-two-years-a-30-increase-in-q2-2024-global-cyber-attacks https://blog.checkpoint.com/research/check-point-research-reports-highest-increase-of-global-cyber-attacks-seen-in-last-two-years-a-30-increase-in-q2-2024-global-cyber-attacks https://thecyberexpress.com/cuhk-data-breach-in-hong-kong-varsity/ https://thecyberexpress.com/cuhk-data-breach-in-hong-kong-varsity/ https://therecord.media/toronto-school-district-board-ransomware https://www.reuters.com/technology/cybersecurity/blacksuit-hacker-behind-cdk-global-attack-hitting-us-car-dealers-2024-06-27 https://www.reuters.com/technology/cybersecurity/blacksuit-hacker-behind-cdk-global-attack-hitting-us-car-dealers-2024-06-27 https://www.securityweek.com/cisco-confirms-security-incident-after-hacker-offers-to-sell-data/ https://www.theregister.com/2024/08/26/amd_internal_data_intelbroker/ https://www.reuters.com/technology/microchip-technologys-certain-operations-disrupted-by-cyber-incident-2024-08-20

html 61%

22%

5%

4%

3%

0.2%

0.2%

0.7%

0.7%

1.2%

pdf

exe

lnk

js

xls*

doc*

rtf

bat

iso

Figura 5: Correo electrónico – Principales tipos de archivos maliciosos en 2024. xls* incluye archivos comunes de Office Excel como .xls, .xlsx, .xlsm, etc. doc* incluye archivos comunes de Office Word como .doc, .docx, docm y .dot

CORREO ELECTRÓNICO PRINCIPALES TIPOS

DE ARCHIVOS MALICIOSOS EN 2024

exe 54%

11%

8%

5%

4%

1%

1%

1%

2%

3%

dll

pdf

jar

apk

doc*

sh

xls*

elf

msi

Figura 4: Web – Principales tipos de archivos maliciosos en 2024. xls* incluye archivos comunes de Office Excel como .xls, .xlsx, .xlsm, etc. doc* incluye archivos comunes de Office Word como .doc, .docx, docm y .dot

WEB PRINCIPALES TIPOS

DE ARCHIVOS MALICIOSOS EN 2024

El descenso de los ataques con macros maliciosas dentro de documentos de Office provocó un cambio de táctica: la mayoría de los correos electrónicos maliciosos contienen ahora archivos HTML o documentos PDF. Entre los usos maliciosos de los archivos HTML se encuentran el phishing y el robo de credenciales, a menudo mediante la réplica de páginas de inicio de sesión legítimas. Otros casos de uso incluyen técnicas más avanzadas como el contrabando de HTML, la redirección a sitios web maliciosos, la explotación de navegadores y otros métodos. Cabe destacar que el 61 % de los archivos maliciosos enviados por correo electrónico incluyen archivos HTML adjuntos.

Los archivos PDF maliciosos son otro vector de ataque frecuente que se encuentra en el 22 % de los correos electrónicos maliciosos. Normalmente, se trata de código JavaScript o enlaces incrustados en el documento, que pueden provocar descargas de malware o redirigir a las víctimas a sitios web maliciosos. En algunos casos, los PDF aprovechan vulnerabilidades en software de lectura de PDF obsoleto para ejecutar código en la máquina de la víctima.

Aprovechando formatos como ZIP, RAR y 7z, entre otros, los archivos comprimidos maliciosos también se convirtieron en un vector de ataque común en las campañas cibernéticas. Entre ellos, los

Los ataques basados en el correo electrónico continúan siendo el principal vector inicial, con el 68 % de origen de incidentes. Esto persiste a pesar de un aumento significativo de los ataques a través de Internet (32 %), que se atribuye principalmente al predominio de los marcos de distribución de malware basados en sitios web infectados, como FakeUpdates.

EL 68 % DE LOS ATAQUES SE ORIGINAN POR CORREO ELECTRÓNICO

EL 61 % DE LOS ARCHIVOS MALICIOSOS ENVIADOS POR CORREO ELECTRÓNICO INCLUYEN ARCHIVOS HTML ADJUNTOS

84% 16%

86% 14%

89% 11%

68% 32%

2024202320222021

CORREO ELECTRÓNICO

WEB

Figura 7: Protocolos de entrega: vectores de ataque del correo electrónico frente a la Web en 2021-2024.

zip 31%

22%

8%

6%

4%

1%

2%

2.1%

2.6%

3.2%

rar

7z

gz

z

tar

lzh

arj

img

cab

Figura 6: Principales tipos de archivos maliciosos por correo electrónico y la Web en 2024.

ARCHIVOS COMPRIMIDOS PRINCIPALES TIPOS

DE ARCHIVOS MALICIOSOS EN 2024

VECTORES DE ATAQUE

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202535

https://research.checkpoint.com/2023/the-obvious-the-normal-and-the-advanced-a-comprehensive-analysis-of-outlook-attack-vectors/ https://research.checkpoint.com/2023/the-obvious-the-normal-and-the-advanced-a-comprehensive-analysis-of-outlook-attack-vectors/ https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/

archivos ZIP son los más comunes y representan el 31 % de los archivos maliciosos, seguidos de los archivos RAR con un 22 % y los archivos 7z con un 8 %. Los archivos comprimidos son especialmente eficaces para eludir la detección, ya que comprimen las cargas útiles maliciosas y ofuscan su contenido, lo que dificulta su análisis por parte de las soluciones de seguridad.

Un reto importante para los mecanismos de seguridad surge cuando los atacantes utilizan archivos protegidos por contraseña. Estos archivos no pueden analizarse en busca de contenido malicioso sin la contraseña, que a menudo se incluye en el cuerpo del correo electrónico o se comparte por separado. Al cifrar el contenido del archivo, las amenazas intentan eludir las defensas automáticas. Una vez extraídos, estos archivos pueden enviar programas maliciosos directamente al sistema de la víctima. Los atacantes suelen recurrir a la entrega en varias fases, en la que el archivo comprimido inicial contiene documentos o secuencias de comandos aparentemente inofensivos que, al ejecutarse, transfieren la carga útil maliciosa real desde un servidor remoto. El aumento del uso de archivos comprimidos pone de manifiesto la evolución de las tácticas de los ciberdelincuentes para explotar los puntos débiles de la seguridad del correo electrónico y aprovechar la confianza de los usuarios para ejecutar los ataques con éxito.

Los archivos DLL (biblioteca de enlace dinámico) maliciosos, a menudo contenidos en archivos comprimidos, se utilizan habitualmente en técnicas de carga lateral o secuestro de DLL. En estos casos, los atacantes se aprovechan de aplicaciones legítimas vulnerables colocando un archivo DLL malicioso en el mismo directorio que un ejecutable de confianza. Cuando la aplicación se ejecuta, carga la DLL maliciosa en lugar de la prevista, lo que le permite al atacante ejecutar código arbitrario. Esta técnica es especialmente eficaz para eludir la detección, ya que la aplicación legítima actúa como un soporte de confianza para la carga útil maliciosa y las DLL.

Los ataques distribuidos a través de la web suelen basarse en descargas no autorizadas, sitios web comprometidos o anuncios engañosos para distribuir estos archivos, lo que pone de relieve la importancia del filtrado web, la actualización del software de seguridad y la concienciación de los usuarios para mitigar estas amenazas. Los archivos maliciosos distribuidos a través de la web están aumentando, aprovechándose de formatos de archivo como EXE, DLL y PDF para distribuir programas maliciosos. Entre ellos, los archivos EXE son los más frecuentes, ya que representan el 54 % de los archivos maliciosos distribuidos por Internet. Estos archivos ejecutables a menudo se disfrazan de software legítimo o actualizaciones, engañando a los usuarios para que los descarguen y ejecuten. Los archivos DLL constituyen el 11 % de estos ataques, mientras que los archivos PDF representan el 8 %.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202536

https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/massive-phishing-campaign-deploys-latest-rhadamanthys-version/ https://research.checkpoint.com/2024/10-years-of-dll-hijacking-and-what-we-can-do-to-prevent-10-more/

ESTADÍSTICAS DE MALWARE A NIVEL GLOBAL Las comparaciones de datos presentadas en las siguientes secciones se basan en datos extraídos del mapa de amenazas de Check Point Threat Cloud entre enero y diciembre de 2024.

En cada una de las siguientes regiones, presentamos el malware más frecuente en 2024 y el porcentaje de redes corporativas afectadas por cada familia de malware.

ANÁLISIS A NIVEL GLOBAL DE LOS PRINCIPALES MALWARE Nuestro análisis destaca las familias de malware detectadas con mayor frecuencia e identificadas por las protecciones de red de Check Point. Es importante señalar que estas familias no son necesariamente las más sofisticadas o peligrosas, pero son las más ampliamente distribuidas.

FakeUpdates (SocGholish) continúa liderando el ranking de malware más frecuente de Check Point para 2024. Esta operación de malware se basa en una red de sitios web comprometidos para distribuir malware disfrazado de falsos avisos de actualización de navegador o software. Los mensajes engañosos inducen a los usuarios a instalar y ejecutar un programa de descarga basado en JScript que, a su vez, descarga malware adicional. La red de sitios web comprometidos se atribuye a TA569, un importante intermediario de acceso inicial (IAB) que, según se cree, opera con un modelo de pago por instalación (PPI). TA569 les proporciona acceso al sistema a otros ciberdelincuentes, que a menudo despliegan ransomware u otras cargas útiles maliciosas.

Qbot, una de las familias de malware más antiguas y versátiles, experimentó un drástico descenso el año pasado. Anteriormente en el segundo puesto de nuestra clasificación, la actividad de Qbot se vio significativamente interrumpida a finales de 2023 luego de una operación multinacional dirigida por el FBI que atacó y desmanteló su infraestructura. Desde entonces, muchas de las amenazas que distribuían Qbot se desplazaron a otras cepas de malware, como DarkGate.

AgentTesla, presente regularmente en nuestra lista de malware más frecuente desde 2020, se especializa en el robo de información confidencial de los sistemas infectados. Check Point Research continúa supervisando este intereceptador de información que se despliega con frecuencia en campañas globales. AgentTesla puede extraer una amplia variedad de datos de máquinas comprometidas, incluidas pulsaciones de teclas, credenciales de inicio de sesión de navegadores web y credenciales de clientes de correo electrónico.

Figura 8: Malware más frecuente a nivel mundial en 2024. Figura 9: Malware más frecuente en América en 2024.

Figura 10: Malware más frecuente en Europa, Oriente Medio y África en 2024.

Figura 11: Malware más frecuente en Asia-Pacífico en 2024.

Nanocore

NJRAT

Lumma

Androxgh0st

AsyncRAT

Formbook

CloudEyE

Remcos

AgentTesla

FakeUpdates

4%

16%

12%

10%

10%

9%

8%

7%

5%

4%

Mirai

Ramnit

NJRAT

Lumma

AgentTesla

Formbook

Androxgh0st

Remcos

AsyncRAT

FakeUpdates

5%

14%

10%

9%

9%

8%

7%

6%

5%

5%

16%

12%

8%

8%

7%

7%

5%

5%

4%

3%Nanocore

NJRAT

Lumma

CloudEyE

AsyncRAT

Androxgh0st

Formbook

Remcos

AgentTesla

FakeUpdates

2%Darkgate

17%

15%

7%

6%

5%

4%

4%

4%

2%Mirai

NJRAT

Lumma

AsyncRAT

Formbook

Remcos

Androxgh0st

AgentTesla

FakeUpdates

EMEA APAC

GLOBAL CONTINENTE AMERICANO

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202537

https://threatmap.checkpoint.com/ https://threatmap.checkpoint.com/ https://arcticwolf.com/resources/blog-uk/abusing-boinc-fakeupdates-campaign-bundling-malware-legitimate-software/ https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.theregister.com/2024/07/16/darkgate_malware/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/

ANÁLISIS GLOBAL DEL MALWARE MULTIPROPÓSITO El malware multipropósito incluye troyanos de acceso remoto (RAT), botnets y troyanos bancarios, categorías que se actualizan continuamente a medida que evolucionan las capacidades del malware. Las clasificaciones de malware son dinámicas y las actualizaciones que permiten funcionalidades adicionales pueden requerir la reclasificación a una nueva categoría. Check Point supervisa continuamente estos desarrollos, actualiza las clasificaciones de malware y, ocasionalmente, redefine categorías enteras para reflejar mejor la evolución del panorama de las amenazas.

DarkGatees un excelente ejemplo de malware polifacético. Además de su función básica de RAT, downloader y robo de información, DarkGate incorpora capacidades de minería de criptomonedas, lo que hace difícil encuadrarlo en las categorías tradicionales de malware. Sin embargo, estas complejidades no son anomalías. Estas categorías siguen siendo fundamentales para comprender la intención principal de ataques específicos e identificar tendencias generales en el ecosistema de los ciberdelincuentes.

La intensa actividad de las fuerzas de seguridad a lo largo del año modificó significativamente el panorama de las ciberamenazas. En mayo de 2024, una coalición multinacional llevó a cabo la operación Endgame, dirigida contra la infraestructura de botnets responsable de la distribución de malware. Esta operación desmanteló redes de distribución de malware vinculadas a grupos como IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC y Trickbot. La operación supuso el desmantelamiento de más de 100 servidores, la incautación de más de 2000 dominios y la detención de cuatro personas, una en Armenia y tres en Ucrania, así como la inmovilización de activos ilegales.

Históricamente, las botnets desempeñaron un papel central en la distribución de malware. Su desmantelamiento desencadenó cambios significativos, entre los que destaca un notable desplazamiento hacia los interceptadores de información, que a menudo están más descentralizados y son más utilizados por ciberdelincuentes individuales. Esta descentralización hace que la actividad de los interceptadores de información sea más difícil de combatir mediante operaciones de seguridad centralizadas.

Como resultado de estas interrupciones, el mercado de malware multipropósito cambió considerablemente en comparación con el año pasado. Las familias de malware FakeUpdates (40 %), Androxgh0st (18 %), Phorpiex (5 %), Darkgate (5 %) y Raspberry Robin sustituyeron a Qbot y Emotet, que antes dominaban el espacio.

Figura 12 Malware multipropósito más frecuente a nivel mundial en 2024. Figura 13: Malware multipropósito más frecuente en América en 2024.

Figura 14: Malware multipropósito más frecuente a nivel mundial en Europa, Oriente Medio y África en 2024.

Figura 15: Malware multipropósito más frecuente a nivel mundial en Asia- Pacífico en 2024.

FakeUpdates 42%

Otros 24%

Androxgh0st 19%

Darkgate

5% Raspberry Robin 5%

Phorpiex

5%

EMEA

FakeUpdates 28%Otros

33%

Androxgh0st 17%

Glupteba

7% Mirai9%

Phorpiex

7%

APAC APAC

AgentTesla 27% Formbook 21% Lumma 12%

Lokibot 6% SnakeKeylogger 5%

Other 30%

FakeUpdates 40%

Otros 26%

Androxgh0st 18%

Darkgate

5% Phorpiex

5% Mirai

6%

GLOBAL

FakeUpdates 48%

Otros 19%

Androxgh0st 19%

Darkgate

5%

Raspberry Robin 3%

Mirai

7%

CONTINENTE AMERICANO

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202538

https://www.logpoint.com/en/blog/inside-darkgate/ https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown http://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a https://research.checkpoint.com/2021/phorpiex-botnet-is-back-with-a-new-twizt-hijacking-hundreds-of-crypto-transactions/ https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/

Figura 16: Malware interceptadores de información principales a nivel mundial en 2024.

Figura 17: Malware interceptadores de información principales en América en 2024.

Figura 18: Malware interceptadores de información principales en Europa, Oriente Medio y África en 2024.

Figura 19: Malware interceptadores de información principales en Asia-Pacífico en 2024.

AgentTesla 27%Otros30%

Formbook 21%Lumma

12%LokiBot 6%

SnakeKeylogger

5%

EMEA

AgentTesla 15%

Formbook 16%

Amadey

6%

Ramnit 9%

Lumma 11%

Otros 42%

APAC

AgentTesla 29%

Formbook 18%Lumma

12% LokiBot 4%

Ramnit 4%

Otros 33%

GLOBAL

AgentTesla 43%

Otros 24%

Formbook 15%

Lumma 11%

Ramnit 2% Amadey 4%

AMERICAS

ANÁLISIS GLOBAL DE LOS MALWARE INTERCEPTORES DE INFORMACIÓN En 2024, el panorama del malware de interceptadores de información siguió dominado por amenazas ya conocidas y consolidadas, como AgentTesla, que representó el 29 % de todas las detecciones, Formbook, el 18 %, y Lumma, el 12 % de las detecciones. A pesar de la ausencia de nuevos participantes significativos, se produjo un aumento del 58 % en los intentos de infección por interceptadores de información en comparación con el año anterior, y hay una combinación de varias razones posibles que pueden explicarlo.

Las operaciones de las fuerzas de seguridad interrumpieron los canales tradicionales de distribución de malware, como la operación Endgame de mayo de 2024, dirigida contra importantes redes de bots como IcedID, Smokeloader y Trickbot, en la que se desmantelaron más de 100 servidores y se incautaron más de 2000 dominios. Es posible que los ciberdelincuentes estén recurriendo a los interceptadores de información como alternativa. Además, la maduración del ecosistema de los ciberdelincuentes incrementó la demanda de los datos que los interceptadores de información recopilan, comúnmente denominados “registros”. Estos registros, que contienen información sensible como credenciales y datos personales, se venden en mercados clandestinos a otros ciberdelincuentes que buscan explotar esta información.

Como resultado, los interceptadores de información desempeñan un papel cada vez más importante en la evolución del panorama de las amenazas. En los capítulos siguientes, se ofrece un análisis exhaustivo de estas tendencias.

Investigado por Check Point Research, Styx Stealer es un nuevo interceptador de información que surgió este año. Styx deriva del Phemedrone Stealer y está diseñado para extraer información confidencial como contraseñas guardadas, cookies, datos de autocompletado de varios navegadores, detalles de monederos de criptomonedas y datos de sesión de plataformas de mensajería como Telegram y Discord. También recopila información del sistema, incluidos datos específicos del hardware y direcciones IP externas, y puede realizar capturas de pantalla para evaluar el entorno antes de ejecutar su carga útil. En particular, Styx Stealer incorpora funciones como autoarranque, supervisión del portapapeles, criptoclipping, evasión de sandbox mejorada y técnicas antianálisis. A diferencia de su predecesor, que estaba disponible de forma gratuita, Styx Stealer se vende a través de un modelo de suscripción, con precios que van desde los USD 75 por una licencia mensual hasta USD 350 por una suscripción de por vida.

EMEA APAC

GLOBAL CONTINENTE AMERICANO

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202539

https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals https://research.checkpoint.com/2024/unmasking-styx-stealer-how-a-hackers-slip-led-to-an-intelligence-treasure-trove/

Figura 20: Malware de criptominería principal a nivel mundial en 2024. Figura 21: Malware de criptominería principal en América en 2024.

Figura 22: Malware de criptominería principal en Europa, Oriente Medio y África en 2024.

Figura 23: Malware de criptominería principal en Asia-Pacífico en 2024.

LemonDuck 41%

Kinsing 35%

Otros 11%

Lucifer 3%

WannaMine 5% RedTail 5% LemonDuck

58%WannaMine 29%

Kinsing 3%

Otros 5%

Lucifer 2%RedTail

2%

Lucifer 2%

RedTail 5%

LemonDuck 46%

WannaMine 17%

Kinsing 15%

Otros 16%

LemonDuck 42%

Kinsing 19%

RedTail 14%

WannaMine 9%

Lucifer 3% Otros13%

ANÁLISIS GLOBAL DE CRIPTOMINEROS En 2024, el sector de las criptomonedas experimentó importantes avances normativos y de mercado, lo que dio lugar a un repunte. Bitcoin superó la barrera de los USD 100 000 en diciembre y alcanzó un máximo histórico de USD 103 649 dólares. Sin embargo, la cantidad de ataques a la minería de criptomonedas disminuyó, con lo cual pasó de afectar al 9 % de las empresas en 2023 a solo el 2 %.

La minería ilegal de criptomonedas se centra en Monero (XMR) debido a sus sólidas características de privacidad, que hacen que las transacciones sean prácticamente imposibles de rastrear, así como por su facilidad de uso de la CPU y sus menores requisitos computacionales. Sin embargo, el valor de Monero permaneció relativamente estancado a lo largo del año, mientras que su dificultad de minado (esfuerzo computacional necesario para minar Monero) casi se duplicó, de un promedio de 260 GB en enero a casi 450 GB en diciembre. El brusco aumento de la dificultad redujo drásticamente la rentabilidad de la minería, lo que llevó a una disminución de muchas operaciones ilegales y, en consecuencia, de los ataques relacionados con la minería de criptomonedas.

En 2024, LemonDuck siguió siendo una de las cepas de malware de minería de criptomonedas más frecuentes y se desplegó en el 46 % de todos los intentos de ataques de minería de criptomonedas. Descubierto inicialmente en 2018, LemonDuck evolucionó de un simple minero de criptomonedas a un malware altamente sofisticado, modular y multiplataforma con capacidades que ahora incluyen el robo de credenciales, la autopropagación y las operaciones de minería en memoria sin archivos. Estas características agregadas lo hacen versátil y difícil de detectar. La actividad reciente muestra que los operadores de LemonDuck están explotando activamente las vulnerabilidades del bloque de mensajes del servidor (SMB), en concreto el exploit EternalBlue, para infiltrarse en sistemas Windows. Las campañas de LemonDuck utilizan diversos vectores de ataque, como correos electrónicos de phishing con archivos adjuntos maliciosos, ataques de fuerza bruta dirigidos a RDP y SSH, unidades USB con archivos .LNK y otras técnicas de infiltración.

EMEA APAC

GLOBAL CONTINENTE AMERICANO

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202540

https://www.coinwarz.com/mining/monero/difficulty-chart https://notes.netbytesec.com/2024/10/lemonduck-unleashes-cryptomining.html

Figura 24: Malware móviles principales a nivel mundial en 2024. Figura 25: Malware móviles principales en América en 2024.

Figura 26: Malware móviles principales en Europa, Oriente Medio y África en 2024.

Figura 27: Malware móviles principales en Asia-Pacífico en 2024.

Joker 24%

Anubis 13%

Necro 12%AhMyth8%

Otros 38%

Hydra 5%

Joker 25%

Necro 22%

Anubis 10%

AhMyth

7%

Otros 33%

Hiddad 3%

Joker 23%

Necro 19%

Anubis 12%

AhMyth 9%

Otros 34%

Hiddad 4%

Necro 27%

Joker 15%Anubis

10% AhMyth12%

Otros 28%

Hiddad 7%

ANÁLISIS GLOBAL DE MALWARE DE DISPOSITIVOS MÓVILES En 2024, más del 60 % del tráfico mundial de Internet se originó en dispositivos móviles. Los datos confidenciales almacenados en estos dispositivos son muy codiciados, no solo por los ciberdelincuentes que buscan beneficios económicos, sino también por agentes estatales dedicados al espionaje y la recopilación de inteligencia.

Rafel RAT, un troyano de acceso remoto a Android de código abierto, es ampliamente utilizado con fines de espionaje, según revela este informe de Check Point Research. Nuestra investigación descubrió que se desplegó en aproximadamente 120 campañas maliciosas distintas, muchas de las cuales estaban dirigidas a organizaciones de alto perfil, incluidas entidades del sector militar. Rafel RAT les permite a los actores de amenazas exfiltrar datos sensibles, listas de contactos y mensajes de autenticación de dos factores (2FA), obtener acceso a cuentas y eludir los mecanismos de autenticación de múltiples factores. Cabe destacar que se observó que el grupo de espionaje APT-C-35, también conocido como DoNot Team, utilizaba Rafel RAT en sus operaciones, lo que pone de manifiesto la adaptabilidad y eficacia del malware en una amplia variedad de perfiles y objetivos de los actores de amenazas.

El malware móvil más frecuente en 2024 (23 %) fue Joker, un conocido malware dirigido a dispositivos Android desde 2017. El objetivo principal de Joker es suscribir de forma encubierta a los usuarios a servicios prémium simulando clics del usuario e interceptando mensajes SMS y notificaciones. Un caso destacado fue el de una variante de Joker incrustada en la aplicación Beauty Camera de Google Play Store, que obtuvo más de 100 000 descargas. Aunque la aplicación parecía legítima, descargaba en secreto recursos adicionales de servidores remotos de mando y control (C2), lo que permitía realizar otras actividades maliciosas.

El aumento de Necro (19 %) entre los tres principales malware móviles en todas las regiones no es sorprendente. Identificado por primera vez en 2019, Necro es un malware instalador diseñado para descargar y ejecutar cargas útiles adicionales. Recientemente, Necro se distribuyó a través de dos aplicaciones maliciosas en Google Play Store con un total combinado de 11 millones de descargas. Además de Google Play, Necro también se identificó en repositorios no oficiales, incrustado en aplicaciones y juegos populares como WhatsApp, Minecraft y Stumble Guys, entre otros.

Otras dos amenazas móviles destacadas, Anubis y AhMyth, siguen siendo muy utilizadas debido a que su código fuente está disponible públicamente. Anubis, desarrollado originalmente como troyano bancario, evolucionó para incluir funcionalidades de troyano de acceso remoto (RAT), pulsaciones de teclas, grabación de audio e incluso características similares a las del ransomware. Su versatilidad lo convierte en la herramienta preferida de los actores de amenazas dirigidas a instituciones financieras. AhMyth, creado inicialmente como un proyecto educativo y publicado en GitHub, se integró en campañas maliciosas.

EMEA APAC

GLOBAL CONTINENTE AMERICANO

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202541

https://www.statista.com/statistics/306528/share-of-mobile-internet-traffic-in-global-regions/ https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/ https://cert.pl/en/posts/2024/10/analiza-joker/ https://securelist.com/necro-trojan-is-back-on-google-play/113881/

En cuanto a la distribución geográfica, el 50 % de las empresas afectadas este año se encuentran en Estados Unidos, seguidas del Reino Unido, con un 6 %, Canadá, con un 5 %, y Alemania e Italia, con un 3 % cada uno.

Sin embargo, cuando se ajusta al tamaño de la población, el panorama cambia. Aunque Estados Unidos sigue siendo estadísticamente el país más atacado, las diferencias entre los países se hacen menos pronunciadas. Muchos países industrializados contabilizaron entre 2 y 6 víctimas corporativas por cada millón de habitantes, lo que pone de manifiesto una exposición más amplia y global a los ataques de ransomware.

En el modelo RaaS (Ransomware as a Service), los afiliados seleccionan a sus víctimas de forma independiente, lo que conduce a una distribución geográfica de las víctimas que refleja tendencias más amplias del ecosistema en lugar de las preferencias del operador RaaS. Los operadores pueden imponer restricciones, como prohibir los ataques a antiguas repúblicas soviéticas u organizaciones sin ánimo de lucro o dedicadas a la salud. Sin embargo, algunos grupos muestran un enfoque geográfico más definido. Por ejemplo, el grupo de ransomware conocido como “RA Group” se dirige desproporcionadamente a Alemania, donde se encuentra más del 20 % de sus víctimas publicadas, mientras que KillSec se centra en gran medida en la India, donde se encuentra el 30 % de sus víctimas.

Un análisis del promedio global de ataques semanales por organización y por industria (Figura 3) muestra que los sectores de la educación, la administración pública y la salud son los más atacados. Sin embargo, si nos centramos específicamente en la extorsión de ransomware, según los datos de los DLS, el sector

que la inactividad de ALPHV es el resultado de una combinación de acciones de seguridad y disputas internas con afiliados. Aunque LockBit sigue siendo el segundo ransomware más prolífico en 2024, la mayoría de sus ataques a víctimas se produjeron en la primera mitad del año. En los últimos meses de 2024, LockBit informó menos de cinco víctimas al mes. Sin embargo, en la última semana de 2024, el grupo anunció una nueva versión, LockBit 4.0. El tiempo dirá si esto supone un resurgimiento de la organización criminal. (Más detalles en el capítulo 03)

El descenso de estos dos grandes grupos delictivos reconfiguró el panorama del ransomware. El ecosistema está más fragmentado, ya que numerosos grupos más pequeños representan ahora una mayor proporción del total de víctimas anuales. Mientras que los 10 grupos más activos fueron responsables de más del 66 % de todas las víctimas registradas en 2023, su proporción combinada se redujo a solo el 51 % en 2024. El ascenso de RansomHub como principal grupo de doble extorsión puede atribuirse a que consiguió atraer muchos afiliados antiguos de LockBit y ALPHV que carecen de capacidad o deciden no operar de forma independiente.

RANSOMWARE Esta sección presenta datos y perspectivas extraídos de más de 140 sitios de filtración de datos (DLS) de ransomware operados por más de 90 grupos de ransomware de doble extorsión. Los datos de más de 5200 empresas se publicaron en sitios de filtración de datos por parte de ciberdelincuentes que utilizan estas plataformas para aumentar la presión sobre las organizaciones que se niegan a cumplir con las peticiones de rescate. Las empresas que pagan el rescate no suelen aparecer en los DLS y, por lo tanto, quedan excluidas de este conjunto de datos, lo que introduce un sesgo inherente. Sin embargo, la información compartida en estos DLS delictivos ofrece valiosas perspectivas sobre el panorama del ransomware. Los datos aquí analizados abarcan el período comprendido entre enero y diciembre de 2024.

Dos de los actores de ransomware más dominantes en 2023 pasaron a estar inactivos durante 2024. LockBit, responsable del 21 % de las víctimas en 2023, y ALPHV, responsable del 9 %, cesaron o redujeron significativamente sus publicaciones de víctimas. El descenso de LockBit se atribuye a la operación de seguridad Cronos, mientras

Figura 28: Grupos de doble extorsión de ransomware, por porcentaje del total de víctimas publicadas en 2024.*

Resto del mundo 49%

Estados Unidos 10%

España 10%

Australia 6% India 5%

Francia 4%

Brasil 4%

Italia 3%

Alemania 3%

Canadá 3%

Reino Unido 3%

Figura 29: Víctimas por país, según los sitios de filtración de datos en 2024.

Estados Unidos 50%

Resto del mundo 23%

Reino Unido 6%

Canadá 5%

Alemania 3%

Italia 3%

Brasil 2%

Francia 2%

India 2%

Australia 2%

España 2%

Figura 30: Víctimas corporativas de ransomware por cada millón de habitantes, por país.

Noruega

Emiratos Árabes Unidos

Singapur Nueva Zelanda

Suecia

Bélgica

Australia

Reino Unido Suiza

Canadá

Estados Unidos

2.9

7.5

6.4

4.4

4.1

4.1

4.1

3.8

3.5

3.4

3.2

* Los datos de los DLS abarcan el período comprendido entre el 1 de enero de 2024 y el 23 de diciembre de 2024.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202542

https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation

manufacturero aparece como el más afectado, mientras que la administración pública y la educación se sitúan por debajo en la jerarquía de víctimas. Es probable que esta discrepancia refleje diferencias sectoriales en su disposición a cumplir las peticiones de rescate, ya que las organizaciones gubernamentales y educativas suelen estar menos dispuestas a pagar, lo que las convierte en objetivos menos atractivos para los actores de ransomware.

En 2024, los actores de ransomware se dirigieron cada vez más a los proveedores de servicios de salud y médicos, por lo que este sector se convirtió en la segunda industria más atacada.

Encontrará más detalles sobre la evolución del ransomware este año en una sección específica.

Figura 31: Distribución de víctimas de ransomware en la industria, según se informa en los sitios de denuncia pública en 2024.

Fabricación industrial

De salud y médico

Bienes de consumo y servicios

Servicios empresariales

Servicios financieros

Construcción e ingeniería

Educación

Gobierno

Transporte y logística

Software

10%

22%

9%

7%

7%

6%

5%

4%

4%

3%

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202543

00 ESTADO DE LA CIBERSEGURIDAD EN 2025

VULNERABILIDADES GLOBALES DE ALTO PERFIL 55

La siguiente lista de las principales vulnerabilidades se basa en los datos recopilados por la red del sensor del Intrusion Prevention System (IPS) de Check Point y detalla algunos de los aprovechamientos de vulnerabilidades y las técnicas de ataque más destacados e interesantes que detectó Check Point Research (CP<R>) en 2024.

INYECCIÓN DE ARGUMENTOS EN PHP CGI (CVE-2024-4577) CVE-2024-4577 es una vulnerabilidad crítica de inyección de comandos en PHP que afecta específicamente a los sistemas Windows que ejecutan Apache con PHP-CGI, y se explotó un día después de su publicación. En particular, la vulnerabilidad afecta principalmente a las instalaciones de Windows en chino y japonés, aunque también afecta otras instalaciones. Revelado como parte de un parche publicado en junio de 2024, el problema surge del comportamiento “Best-Fit” de Windows durante las conversiones de codificación de caracteres, que puede hacer que el módulo CGI de PHP malinterprete ciertos caracteres como opciones de PHP. Esto les permite a los usuarios no autenticados inyectar argumentos en el binario PHP, lo que lleva a la ejecución remota de código o la exposición de datos sensibles.

Después de su divulgación, la vulnerabilidad fue rápidamente aprovechada por múltiples actores maliciosos, incluso para el despliegue de ransomware, y observamos que afectó a más del 25 % de las redes corporativas. La vulnerabilidad también se utilizó para desplegar malware como la puerta trasera Msupedge, Gh0st RAT, los mineros de criptomonedas RedTail y XMRig.

INYECCIÓN DE COMANDOS IVANTI (CVE-2024-21887) A principios de 2024, se descubrió una vulnerabilidad crítica de inyección de comandos, CVE-2024-21887, en las puertas de enlace Connect Secure y Policy Secure de Ivanti. Esta falla les permite a los atacantes utilizar privilegios administrativos para ejecutar comandos arbitrarios en un sistema comprometido. Cuando se combina con CVE-2023-46805, una vulnerabilidad de omisión de autenticación, los atacantes pueden lograr la ejecución remota de código sin autenticación. Hackers chinos patrocinados por el Estado explotaron activamente estas vulnerabilidades para implantar web shells, robar datos confidenciales y establecer persistencia en los dispositivos comprometidos.

VULNERACIÓN DE LA AUTENTICACIÓN EN VMWARE ESXI (CVE-2024-37085) En junio de 2024, se reveló una vulnerabilidad crítica de omisión de autenticación en el hipervisor ESXi de Broadcom VMware. Esta falla afecta la integración de ESXi con Active Directory (AD) para la gestión de usuarios. Específicamente, cuando un host ESXi se une a un dominio AD, automáticamente otorga privilegios administrativos completos a los miembros de un grupo de dominio denominado “Administradores de ESX”. En particular, este grupo no existe de forma predeterminada en AD, y ESXi no verifica su existencia luego de la integración del dominio. Por lo tanto, cualquier usuario de dominio con permisos para crear grupos puede establecer y asignar usuarios a un grupo de “Administradores de ESX”, con lo cual obtiene acceso administrativo completo al host ESXi. Múltiples operadores de ransomware, incluidos Storm-0506, Storm-1175, Octo Tempest y Manatee Tempest explotaron activamente esta vulnerabilidad. En algunos casos, la técnica posterior al compromiso observada resultó en implementaciones de ransomware Akira y Black Basta.

Un análisis de los datos sobre ataques demostró que las vulnerabilidades reveladas en 2024 y 2023 representaron el 4 % y el 15 %, respectivamente, de todos los intentos de explotación. Las vulnerabilidades recientes son cada vez más graves, más fáciles de explotar y los actores de amenazas las adoptan más rápidamente que en el pasado. Sin embargo, las amenazas siguen centrándose en vulnerabilidades más antiguas, con más del 57 % de los intentos de explotación centrados en CVE publicadas en 2020 o antes. Esto subraya un problema persistente en el que los sistemas permanecen sin parches durante años, incluso después de que están disponibles.

Antes

2014

2015

2016

2017

2018

2019

2020

2021

2022

2023

2024 4%

15%

12%

12%

9%

6%

7%

5%

6%

2%

7%

15%

Figura 38: Porcentaje de ataques que aprovechan las vulnerabilidades por año de divulgación en 2024.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202545

https://www.akamai.com/blog/security-research/2024/jul/2024-php-exploit-cve-one-day-after-disclosure https://www.wiz.io/blog/critical-rce-php-cgi-vulnerability https://www.cisa.gov/news-events/alerts/2024/01/10/ivanti-releases-security-update-connect-secure-and-policy-secure-gateways https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24505 https://www.microsoft.com/en-us/security/blog/2024/07/29/ransomware-operators-exploit-esxi-hypervisor-vulnerability-for-mass-encryption/

PERSPECTIVA DE RESPUESTA A INCIDENTES

00 66 ESTADO DE LA CIBERSEGURIDAD EN 2025

Esta sección se basa en la experiencia y los datos recopilados de una amplia variedad de casos de investigación y mitigación de incidentes del Equipo de respuesta a incidentes de Check Point (CPIRT). A diferencia de las otras secciones, los datos presentados aquí proceden de estudios de casos de hechos reales que desencadenaron informes de incidentes, y no se limitan a los usuarios de productos Check Point. La mayoría de los ataques comprometieron sus objetivos y nos ofrecen una perspectiva diferente del panorama de las amenazas y de los retos prácticos a los que se enfrentan las organizaciones durante las filtraciones activas.

DESENCADENANTES DE INCIDENTES Los clientes se ponen en contacto con el equipo de respuesta a incidentes de Check Point debido a uno o varios desencadenantes procedentes de diversas fuentes, como alertas de seguridad automatizadas, informes de usuarios, interrupciones del servicio o información recopilada de terceros, proveedores o agencias gubernamentales. Recopilar y analizar estos desencadenantes nos ayuda a comprender cómo se descubren las amenazas, qué indicios de amenaza tienen más probabilidades de provocar una acción inmediata y cómo se puede mejorar la velocidad y la eficacia de la respuesta a incidentes.

En 2024, las alertas de seguridad se convirtieron por primera vez en el principal desencadenante de incidentes, por encima de las interrupciones del servicio como principal indicador para iniciar la respuesta a incidentes.

35%

1%

1%

1%

3%

26%

13%

8%

6%

5%

Alerta de seguridad

Interrupción del servicio

Actividad proactiva

Informe de usuario

Notificación gubernamental

Notificación de proveedor

Modificación de los datos financieros

Mensaje extorsivo

Pico de recursos

Desfiguración

Figura 1: Desencadenantes más comunes del contacto con respuesta a incidentes.

De los casos en los que se contactó al CPIRT este año, el 35 % se desencadenó por una alerta de un producto de seguridad, en comparación con solo el 20 % de durante el año anterior. Este cambio indica un aumento significativo de la experiencia de los equipos de seguridad y avances en las tecnologías de detección y prevención. Las organizaciones son cada vez más expertas en reconocer las alertas de los sistemas de seguridad e identificar las infracciones antes de que se conviertan en interrupciones del servicio.

Por ejemplo, el CPIRT fue testigo de varios intentos de ataques de ransomware que se detectaron después de una instalación masiva de herramientas de acceso remoto, como Any Desk y Screen Connect, pero antes de que comenzara la fase de cifrado. El CPIRT presenció múltiples casos este año en los que los equipos de seguridad respondieron rápidamente a las alertas de instalación y pudieron mitigar el ataque antes de que se desplegara el ransomware de cifrado.

Otro aumento notable es el de la cantidad de alertas que originaron las investigaciones proactivas de los equipos y las notificaciones del Equipo de respuesta a ciberemergencias (CERT) o del gobierno. Esto refleja la concienciación cada vez mayor sobre las anomalías en las comunicaciones y las investigaciones activas de fuentes de inteligencia y de la web oscura, e indica unas medidas de

ciberseguridad mejoradas y cada vez más maduras en toda la industria.

Al centrarse en la detección precoz mediante alertas de seguridad y medidas proactivas, las organizaciones pueden responder más eficazmente a las amenazas y reducir el impacto de los incidentes cibernéticos.

ALERTAS DE SEGURIDAD Las organizaciones pueden identificar cada vez mejor las amenazas antes de que escalen a las fases finales del ataque. El análisis de los distintos tipos de alertas que impulsan a los equipos de seguridad a iniciar sus procesos de respuesta a incidentes proporciona información valiosa sobre cómo deben capacitarse y actuar los equipos en estas situaciones.

Reconocimiento

Desarrollo de recursos

Acceso inicial

Ejecución

Persistencia

Escalada de privilegios

Evasión de la defensa

Acceso con credenciales

Movimiento lateral

Mando y control

Exfiltración

Impacto

1% 1%

13% 13%

4% 4%

3%

3%

18%

18%

1% 12%

Figura 2: Tácticas de ataque en alertas de seguridad que desencadenan respuestas a incidentes, ordenadas según la matriz ATT&CK de MITRE.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202547

Un desglose de las alertas de seguridad desencadenadas por las tácticas ATT&CK de MITRE revela que la comunicación de Mando y Control (C2) es el desencadenante más común de la respuesta a incidentes. La actividad maliciosa relacionada con la comunicación C2 puede detectarse a menudo por medios relativamente sencillos, como indicadores de compromiso (IoC), firmas de red sospechosas o patrones de tráfico saliente inusuales. Además, las soluciones de seguridad que detectan estas actividades, como los sistemas de prevención de intrusiones (IPS) y los módulos Anti-Bot/Anti-Virus (AB/AV), están ampliamente implementados en todas las industrias. Estas herramientas mejoran la visibilidad de las acciones C2 y contribuyen al alto índice de detección en esta fase.

La siguiente táctica que más alertas provoca en los IRT es el acceso a credenciales. Aunque puede que esta táctica no genere el mayor volumen de alertas de los productos de seguridad, en muchos de los casos del CPIRT analizados, el acceso a credenciales es a menudo la táctica que lleva a los equipos de seguridad a escalar una alerta a una respuesta completa al incidente. Los intentos de acceso a credenciales incluyen el uso de herramientas como Mimikatz para volcar el proceso Lssas.exe y exfiltrar el archivo NTDS.dit de un DC. Estas alertas rara vez se pasan por alto o se justifican como un comportamiento legítimo del usuario. Por esta razón, suelen

ESTUDIO DE CASO: RESPUESTA RÁPIDA A UNA AMENAZA DE RANSOMWARE A principios de este año, el equipo de detección y respuesta administrados (MDR) de Check Point alertó a un cliente en Norteamérica sobre una posible amenaza de ransomware. En cuestión de minutos, el equipo detectó la instalación de AnyDesk en varios dispositivos de la organización. Los analistas lo identificaron rápidamente como un incidente de seguridad y trasladaron el problema al equipo de respuesta a incidentes para iniciar los protocolos de mitigación e investigación.

La instalación rápida de herramientas de control remoto en múltiples dispositivos es una táctica, técnica y procedimiento (TTP) conocidos de los operadores de ransomware. Por lo tanto, la detección de esta actividad desencadenó inmediatamente una rápida reacción por parte de los experimentados analistas.

En este caso, se descubrió que las herramientas de control remoto se distribuían a través de objetos de directiva de grupo (GPO). Al examinar el controlador de dominio (DC), se encontró un binario de cifrado en una carpeta pública, listo para ser implementado en todos los dispositivos dentro del dominio.

Gracias a la rápida respuesta de los analistas, la amenaza se mitigó antes de que el programa de cifrado pudiera distribuirse, lo que evitó un ataque de ransomware potencialmente grave.

desencadenar una acción inmediata y decisiva por parte de los equipos de seguridad.

INTERRUPCIONES DEL SERVICIO Al igual que en años anteriores, las interrupciones del servicio siguen siendo uno de los principales desencadenantes de la respuesta a incidentes. Las interrupciones del servicio incluyen ataques como el ransomware, en el que el cifrado interrumpe el servicio y hace inaccesibles los recursos críticos; el bloqueo del tráfico, que impide las comunicaciones legítimas; y los ataques DDoS que desbordan la capacidad del sistema, lo que hace que los servicios legítimos no estén disponibles.

ALERTAS DE AGENCIAS GUBERNAMENTALES Y PROVEEDORES DE SEGURIDAD En 2024, aumentaron los desencadenantes de incidentes derivados de alertas emitidas por organismos gubernamentales y proveedores de seguridad.

Large outbound traffic

Dark web intelligence

Communication with malicious IPs

Muchas de estas alertas se basan en el tráfico de red vinculado a direcciones IP maliciosas, a menudo identificadas como indicadores de compromiso (IoC) asociados a agentes de amenazas específicos. Una supervisión similar del tráfico también puede dar lugar a alertas sobre transferencias de datos salientes inusualmente grandes a destinos sospechosos, lo que suele indicar actividades de exfiltración por parte de los actores de amenazas.

La vigilancia de la web oscura por parte de agencias gubernamentales y proveedores de seguridad es otra fuente crítica de información que conduce a posibles alertas de seguridad. Incluye información sobre credenciales filtradas o datos sensibles de empresas compartidos en foros y mercados de la web oscura.

Las alertas de terceros sirven como alertas tempranas cruciales, y les permiten a las organizaciones responder de forma proactiva a inteligencia externa creíble antes de que las amenazas se intensifiquen. Como estas alertas proceden de entidades de confianza y suelen someterse a un análisis profesional antes de su emisión, son muy fiables. Esto impulsa a las organizaciones a actuar con rapidez e iniciar investigaciones de incidentes. Las organizaciones no deben depender exclusivamente de entidades externas y deben llevar a cabo regularmente una supervisión proactiva de la web oscura para facilitar la detección temprana de filtraciones.

Figura 3: Las 3 causas principales de las alertas de gobiernos y proveedores de seguridad.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202548

ESTUDIO DE CASO: RESPUESTA A UNA ALERTA DEL CERT DEL GOBIERNO SOBRE EXFILTRACIÓN DE DATOS En octubre de 2024, una alerta al CERT de un gobierno europeo desencadenó un caso para el CPIRT, en el que se indicaba que una dirección IP de la organización estaba transmitiendo grandes cantidades de datos a una IP asociada a actividades de mando y control (C2). La dirección IP proporcionada era la IP NAT externa de la organización, lo que llevó al equipo SOC y al CPIRT a investigar los registros de firewall y DNS para identificar el dispositivo específico de la red responsable de la transmisión de datos.

La investigación reveló que el controlador de dominio (DC), que también se utilizaba como servidor de archivos, era la fuente de la transmisión de datos. En el servidor, el CPIRT descubrió herramientas de archivado y una instalación reciente de FileZilla.

El CPIRT ayudó al cliente a determinar qué datos podrían haber sido filtrados y llevó a cabo una investigación exhaustiva para identificar cualquier otro punto de apoyo que el actor de la amenaza pudiera haber establecido dentro de la organización.

INFORMES DE USUARIOS

Los informes de usuario proporcionan una fuente adicional para la detección de amenazas al identificar actividades maliciosas que otros mecanismos de seguridad no detectan fácilmente. A medida que los usuarios se vuelven más conscientes de la seguridad, esto proporciona una capa adicional a la estrategia de defensa de la organización. En 2024, la mayoría de los informes de los usuarios se referían a actividades maliciosas manifiestas, como el cifrado de archivos resultante de ataques de ransomware. Sin embargo, los usuarios denunciaron cada vez más intentos sospechosos de autenticación de múltiples factores (MFA) que ellos no habían iniciado. Los informes sobre correos electrónicos sospechosos e intentos de suplantación de identidad también condujeron con frecuencia a la detección de actividades maliciosas.

BÚSQUEDA PROACTIVA DE AMENAZAS

El año pasado se produjo un aumento de los incidentes desencadenados por actividades proactivas y de búsqueda de amenazas dirigidas por los equipos de seguridad, en contraposición a las respuestas a las alertas del sistema. Estos incidentes suelen originarse al examinar los registros del sistema, el comportamiento de los usuarios y el tráfico de red no característico del entorno. Los equipos de seguridad expertos en la topología de

27%

27%

27%

7%Solicitud financiera sospechosa

Correos electrónicos sospechosos

Archivos cifrados

Solicitud de MFA sospechosa

Figura 4: Causas principales por las que los usuarios notifican incidentes.

6%

24%

53%

Exposición de credenciales

Comunicación con IP sospechosas

Anomalía de autenticación

Figura 5: Hallazgos en las actividades proactivas que desencadenan incidentes.

su propia red pueden identificar más fácilmente las actividades sospechosas que los productos de seguridad externos.

Las áreas clave en las que centrarse de forma proactiva incluyen el comportamiento anómalo de los “usuarios administradores” y los patrones de tráfico sospechosos que no coinciden con el flujo operativo habitual, como el tráfico hacia países con los que la organización no hace negocios y desde ellos.

Mediante la búsqueda proactiva de indicadores ocultos de peligro, las organizaciones pueden detectar y mitigar las amenazas que eluden las herramientas de detección automática, lo que refuerza un enfoque de seguridad por capas.

TIPOS DE ATAQUES En 2024, el ransomware sigue dominando el panorama de las amenazas a la ciberseguridad. La familia de ransomware más frecuente en los casos de respuesta a incidentes este año es LockBit, seguido de Akira y Black Basta.

Otros tipos de amenazas destacables son el Business Email Compromise (BEC) y los ataques DDOS. El 25 % de los ataques de casos del CPIRT se identificaron y evitaron en fases tempranas, lo que dificultó la determinación del tipo de ataque.

Figura 6: Principales categorías de ataques en los casos del CPIRT en 2024.

Ransomware

53%

BEC

10%

DDoS

8%

Wiper

4%

Interrupción en fase preliminar

25%

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202549

En 2024, las experiencias y los datos recopilados por el Equipo de respuesta a incidentes de Check Point demuestran que las organizaciones que priorizan las alertas de seguridad y aprovechan los conocimientos de los datos están mejor equipadas para frustrar las amenazas antes de que se intensifiquen, lo que en, última instancia, protege sus activos críticos.

TIM OTIS

Responsable de respuesta a incidentes y detección y respuesta administrados

RANSOMWARE ESXI En 2024, el 11 % de los ataques de ransomware investigados se dirigieron específicamente a servidores VMware ESXi, que son entornos virtualizados fundamentales para muchas infraestructuras empresariales. Al centrarse en los servidores ESXi, los atacantes pueden hacer inaccesibles varios servidores críticos comprometiendo un único dispositivo. Esta estrategia les permite causar una interrupción sustancial sin infectar toda la red o la base de servidores con malware de cifrado. Entre los grupos de ransomware dirigidos a servidores VMware ESXi se encuentra el grupo de ransomware Akira, que estuvo explotando dos vulnerabilidades de ejecución remota de código (RCE) en ESXi: CVE- 2023-20867 y CVE-2024-37085.

EL 11 % DE LOS ATAQUES DE RANSOMWARE INVESTIGADOS SE DIRIGIERON ESPECÍFICAMENTE A SERVIDORES VMWARE ESXI, QUE SON ENTORNOS VIRTUALIZADOS FUNDAMENTALES PARA MUCHAS INFRAESTRUCTURAS EMPRESARIALES.

CONCLUSIÓN Las conclusiones de CPIRT 2024 muestran un progreso alentador en la detección temprana de amenazas y en las medidas de seguridad proactivas entre las organizaciones. Las alertas de seguridad superaron a las interrupciones del servicio como principal desencadenante de la respuesta a incidentes, y hay un mayor compromiso con la búsqueda proactiva de amenazas y la concienciación de los usuarios. Estos datos ponen de relieve la necesidad de una vigilancia continua, el perfeccionamiento de las capacidades de detección y la colaboración con fuentes de inteligencia externas para reforzar la resiliencia de la ciberseguridad.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202550

PREDICCIONES DE LA INDUSTRIA PARA 2025: EL FUTURO DE LA CIBERSEGURIDAD

00 77 ESTADO DE LA CIBERSEGURIDAD EN 2025

Las plataformas en la nube se convierten en la columna vertebral de la ciberseguridad Las plataformas basadas en la nube sirven cada vez más como base de la ciberseguridad, y la integración impulsada por IA demuestra ser más eficaz que las herramientas independientes. Al reunir diversas operaciones de seguridad, estas plataformas reducen la complejidad, lo que les permite a las organizaciones hacer frente a las amenazas y vulnerabilidades en la nube con mayor eficiencia y eficacia. Soluciones como CNAPP, ASPM y DSPM se fusionan para crear suites integrales de gestión de la postura de seguridad (SPM).

A medida que surjan nuevas herramientas como aplicaciones y datos de SPM, es probable que se integren en una plataforma más amplia de protección de aplicaciones nativas en la nube (CNAPP), lo que conduciría al desarrollo de lo que podría denominarse gestión de la postura de seguridad ampliada (XSPM). La integración de la gestión de la superficie de ataque en esta nueva categoría ilustra cómo estas plataformas pueden ofrecer más valor que una simple colección de soluciones puntuales, lo que cambia fundamentalmente la forma en que las organizaciones abordan las vulnerabilidades.

Aumento de los riesgos del uso indebido de la IA y las filtraciones de datos A medida que las tecnologías con IA se integran en los entornos personales y laborales, aumenta la preocupación por su uso indebido. Este año, la posibilidad de que se produzcan filtraciones de datos causadas por empleados que comparten inadvertidamente información sensible con plataformas de IA como ChatGPT o Gemini de Google es un riesgo importante. Los empleados pueden ingresar información confidencial, como datos financieros, para generar informes o análisis, a menudo sin darse cuenta de que personas no autorizadas podrían almacenar estos datos y acceder a ellos. Establecer controles más estrictos sobre las herramientas de IA dentro de los sistemas de una organización será crucial para lograr un equilibrio entre la mejora de la productividad y la protección de la privacidad de los datos.

Delitos financieros impulsados por IA El año 2024 comenzó con titulares que informaban de casos esporádicos pero exitosos de delitos financieros impulsados por la IA generativa. Los ciberdelincuentes reconocieron el potencial de la GenAI y empezaron a invertir en su integración en diversas herramientas tecnológicas, en particular para los métodos de Business Email Compromise (BEC) y Know Your Customer (KYC). Estas amenazas serán más frecuentes este año, ya que los ciberdelincuentes están trabajando activamente para implementar GenAI en estos servicios maliciosos.

Aumento de los ataques a la cadena de suministro de proyectos de código abierto A medida que los proyectos de código abierto ganan popularidad, se convierten en objetivos cada vez más atractivos para los actores maliciosos que pretenden explotar de forma encubierta las vulnerabilidades del software de uso generalizado. Después de la sofisticada operación de varios años que insertó una puerta trasera en Linux XZ Utils, podemos esperar nuevos intentos de ataque similares y el descubrimiento de puertas traseras instaladas con anterioridad. Esta escalada de amenazas pone de manifiesto la necesidad urgente de reforzar las medidas de seguridad y la vigilancia dentro de la comunidad que trabaja con código abierto.

Descentralización de los ecosistemas de ciberdelincuencia Los recientes éxitos de las fuerzas de seguridad en la lucha contra las grandes operaciones de ransomware y botnets impulsaron a los actores maliciosos a realizar una transición hacia redes, metodologías y operaciones más pequeñas y descentralizadas. Los grandes proyectos de ransomware se reestructuraron en grupos más pequeños, mientras que los ecosistemas impulsados por interceptadores de información surgieron como el principal medio para facilitar el acceso inicial. Esta descentralización exige que los defensores adapten sus estrategias, lo que pone de relieve la importancia de mejorar la colaboración y el intercambio de inteligencia.

Mayores exigencias normativas y normas de ciberseguro más estrictas Las organizaciones se enfrentarán a una presión cada vez mayor debido a las nuevas normativas de ciberseguridad, entre las que se incluyen los Reglamentos de la UE sobre IoT, las Normas de Divulgación de Ciberseguridad de la SEC, la Ley de Resiliencia Operativa Digital (DORA) y la Directiva NIS2. El cumplimiento de estos marcos exigirá una inversión significativa de tiempo y recursos para iniciativas como el desarrollo de políticas y nuevas tecnologías de seguridad.

Aunque estas normativas pretenden mejorar las medidas de seguridad, también crean complejidades operativas adicionales. Esto exige que las empresas dediquen más atención y esfuerzo a cumplir estas normas. Además, se prevé que las pólizas de ciberseguro se vuelvan más estrictas, y que las aseguradoras impongan controles y requisitos de cumplimiento más rigurosos como prerrequisitos para la cobertura. Esto intensificará aún más los retos normativos que deben afrontar las organizaciones.

El déficit creciente de talentos en ciberseguridad La escasez mundial de profesionales en ciberseguridad le plantea un reto importante a las organizaciones que intentan defenderse ante la complejidad y el volumen cada vez mayor de las ciberamenazas. Mientras las organizaciones invierten en productos de seguridad versátiles, la necesidad de más expertos capacitados para gestionar e integrar eficazmente estas herramientas da lugar a un enfoque de seguridad fragmentado e ineficaz. La dependencia de numerosos proveedores y los conocimientos internos insuficientes exponen a las organizaciones a ataques, ya que sus medidas de seguridad son cada vez más difíciles de gestionar y menos eficaces. Las empresas tendrán que optimizar las operaciones de seguridad y dar prioridad a la capacitación del personal para mantener la resiliencia.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202552

RECOMENDACIONES PARA LOS CISO

00 88 ESTADO DE LA CIBERSEGURIDAD EN 2025

Al reflexionar sobre los incidentes de 2024, es esencial centrarse en los elementos clave que condujeron al éxito de los atacantes y en las mitigaciones estratégicas que los defensores pueden emplear para frustrar tales amenazas. Esta introducción resume los conocimientos vitales adquiridos y ofrece recomendaciones prácticas para profesionales de la ciberseguridad. Estas pautas sirven de marco práctico para mejorar las defensas y prevenir los graves incidentes descritos en este informe abordando problemas y errores sistémicos comunes que históricamente contribuyeron a los ciberataques.

JONATHAN FISCHBEIN

CISO Global de Check Point Software para EMEA y LATAM

1. Adoptar un enfoque multicapa dentro de la pila de seguridad

Las organizaciones deben aplicar una estrategia de seguridad de varios niveles que incluya copias de seguridad periódicas de los datos, capacitación de los empleados para que tomen conciencia del phishing y un filtrado robusto del correo electrónico para mitigar el ransomware y los interceptadores de información. La utilización de herramientas de detección y respuesta para terminales (EDR) puede ayudar a identificar y aislar las amenazas en una fase temprana. Además, el mantenimiento de controles de acceso estrictos y el empleo de los principios del mínimo privilegio pueden limitar los posibles daños por filtraciones. La actualización periódica del software y los sistemas para parchear las vulnerabilidades y la realización de evaluaciones periódicas de seguridad y simulacros de respuesta a incidentes son esenciales para garantizar la preparación frente a los ataques.

2. Priorizar las soluciones avanzadas de seguridad en la nube

Las organizaciones deben darle prioridad a la seguridad de las API, la gestión de identidades y a la arquitectura de zero trust para hacer frente a las vulnerabilidades de la nube. Las puertas de enlace de API sólidas y las evaluaciones de seguridad periódicas pueden mitigar los riesgos del intercambio de datos. Implantar el acceso con menos privilegios y la autenticación de múltiples factores es esencial para proteger los recursos. Un modelo de zero trust mejora la seguridad mediante la verificación de usuarios y dispositivos antes del acceso. Las herramientas de gestión de la postura de seguridad en la nube (CSPM) identifican y corrigen los errores de configuración, mientras que las plataformas de protección de la carga de trabajo en la nube (CWPP) protegen las cargas de trabajo. En conjunto, estas estrategias ayudan a gestionar eficazmente los riesgos de la infraestructura en la nube.

3. Aprovechar la IA para la prevención y la detección

Aprovechar el poder de las tecnologías avanzadas de inteligencia artificial para mejorar las estrategias de prevención y detección. Mediante el desarrollo de sistemas sólidos basados en IA, las organizaciones pueden identificar y mitigar eficazmente las amenazas potenciales antes de que se agraven. Este enfoque proactivo consiste en implementar soluciones automatizadas que aprovechen las capacidades de la IA para proporcionar una detección oportuna y precisa de los problemas en tiempo real. Estos sistemas mejoran la seguridad general y agilizan los esfuerzos de respuesta, lo que les permite a los equipos actuar con rapidez y eficacia frente a los nuevos retos.

4. Obtener una visibilidad de 360.º de la superficie de ataque

Los delincuentes aprovechan las vulnerabilidades de las prácticas de “traiga su propio dispositivo” y las aplicaciones nativas de la nube, lo que aumenta el riesgo de filtraciones debido a problemas como las credenciales codificadas y la autenticación débil. A menudo, utilizan credenciales y herramientas legítimas, lo que difumina la línea que separa la actividad habitual de los usuarios de las acciones maliciosas. Las organizaciones deben comprender el vínculo entre la identidad, la nube, las terminales y la protección de datos para identificar estas amenazas en múltiples sistemas. Teniendo en cuenta que una empresa utiliza más de 45 herramientas de seguridad en promedio, los silos de datos pueden provocar lagunas de visibilidad. Una plataforma de seguridad unificada con capacidades de IA aumenta la visibilidad y el control, lo que mejora la detección y prevención de filtraciones a la vez que ahorra tiempo y dinero.

5. Desarrollar un programa de confianza del cliente para garantizar el cumplimiento

Las organizaciones deben establecer un programa de confianza del cliente para garantizar el cumplimiento en el entorno normativo actual, el cual cambia con rapidez. Implementar la automatización para el cumplimiento puede agilizar la conformidad con normativas estrictas y reducir los errores humanos durante las auditorías y la elaboración de informes. Priorizar la soberanía de los datos permite a las empresas mantener el control sobre la información sensible. Al incorporar la privacidad desde el diseño, las empresas pueden proteger de forma proactiva los datos de los clientes, mejorar la seguridad y adelantarse a las amenazas digitales. Este enfoque fomenta un marco de cumplimiento sólido que, en última instancia, genera confianza en el cliente.

6. Implementar un programa de gestión de vulnerabilidades y riesgos

La rápida aparición de nuevas vulnerabilidades, en particular los ataques de día cero, plantea un reto importante para la gestión de vulnerabilidades. Los dispositivos perimetrales, que a menudo son de acceso público, están especialmente en peligro. Para gestionar eficazmente estos riesgos, es esencial evaluar sus niveles de

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202554

amenaza y priorizarlos en consecuencia, lo que permitirá aplicar parches con celeridad. Los activos externos y los sistemas críticos deben ser el objetivo principal.

Además, el uso de la inteligencia sobre amenazas junto con la gestión de la superficie de ataque externa proporciona una valiosa visibilidad sobre cómo perciben los adversarios sus medidas de seguridad. Con esta información, podrá aplicar estrategias de prevención inmediatas.

7. Elegir un proveedor de seguridad de confianza

A la hora de elegir un proveedor de seguridad que represente la confianza digital, busque una empresa con un historial probado de prácticas de seguridad eficaces y bajos índices de vulnerabilidad. Priorice a los proveedores que garantizan la rápida publicación de parches, lo que les permite a los usuarios hacer frente a posibles amenazas con rapidez. Además, evalúe sus estrategias de respuesta a incidentes y su historial de gestión de filtraciones.

8. Optimizar las operaciones de seguridad

Dada la escasez de personal capacitado en ciberseguridad, la IA es esencial para mejorar la eficiencia, de modo que los equipos puedan gestionar y priorizar mejor la gestión de las amenazas. Las herramientas de IA pueden automatizar tareas repetitivas, lo que minimiza el tiempo dedicado a tareas como el análisis de eventos y la resolución de problemas mediante la automatización. Los profesionales de la seguridad pueden centrarse en la innovación estratégica y las medidas proactivas con procesos optimizados.

9. Centrarse en la resiliencia y la respuesta a incidentes

Las organizaciones deben darle prioridad a la resiliencia operativa ante las amenazas cada vez mayores del ransomware y la ciberguerra geopolítica. Para reforzar su estrategia de TI, asegúrese de que sus operaciones están efectivamente segregadas. Este enfoque mejorará su respuesta a incidentes en caso de ataque. Además, evalúe y actualice periódicamente sus planes de recuperación en caso de desastre para minimizar las interrupciones causadas por ciberataques o cortes de TI.

La educación de los usuarios es crucial para prevenir las infecciones por malware. Los empleados deben conocer las fuentes de los archivos y correos electrónicos y saber si pueden confiar en los remitentes. Los métodos de infección de ransomware más comunes siguen siendo los correos electrónicos de phishing y las descargas web maliciosas. Una mayor concienciación de los usuarios suele evitar los ataques. Eduque a los usuarios y aliéntelos a informar inmediatamente a los equipos de seguridad de cualquier hecho inusual o sospechoso.

Aumento de interceptadores de información

TENDENCIAS DE CIBERSEGURIDAD 03

EVENTOS DE CIBERSEGURIDAD 202402

INTRODUCCIÓN01

PREDICCIONES DE LA INDUSTRIA PARA 202507

RECOMENDACIONES PARA LOS CISO 08

ANÁLISIS GLOBAL04

VULNERABILIDADES DE ALTO PERFIL05

PERSPECTIVA DE RESPUESTA A INCIDENTES06

Ciberguerras - Edición 2024

El ecosistema del ransomware

Complejidades de la nube

Dispositivos perimetrales y ORB

ESTADO DE LA CIBERSEGURIDAD EN 202555

CONTÁCTENOS

SEDE MUNDIAL

5 Shlomo Kaplan Street, Tel Aviv 6789159, Israel

Teléfono: 972-3-753-4599

Correo electrónico: info@checkpoint.com

SEDE DE LOS EE. UU.

100 Oracle Parkway, Suite 800, Redwood City, CA 94065

Teléfono: 800-429-4391

¿ESTÁ SIENDO ATACADO?

Póngase en contacto con nuestro equipo de respuesta a incidentes:

emergency-response@checkpoint.com

Check Point Research

Para recibir nuestras más recientes investigaciones y otros contenidos exclusivos,

visítenos en www.research.checkpoint.com

www.checkpoint.com

ACERCA DE CHECK POINT SOFTWARE TECHNOLOGIES LTD.

Check Point Software Technologies Ltd. (www.checkpoint-com) es un proveedor líder de plataformas de ciberseguridad en la nube basadas en IA que protege a más de 100 000 organizaciones en todo el mundo. Check Point aprovecha el poder de la IA en todas partes para mejorar la eficiencia y precisión de la ciberseguridad a través de su plataforma Infinity, con tasas de captura líderes en la industria que permiten la anticipación proactiva de amenazas y tiempos de respuesta más inteligentes y rápidos. La plataforma integral incluye tecnologías entregadas en la nube, como Check Point Harmony para asegurar el espacio de trabajo, Check Point CloudGuard para asegurar la nube, Check Point Quantum para asegurar la red y Check Point Infinity Core Services para operaciones y servicios de seguridad colaborativos.

mailto:info%40checkpoint.com?subject= mailto:emergency-response%40checkpoint.com?subject= https://www.research.checkpoint.com http://www.checkpoint.com

© 2025 Check Point Software Technologies Ltd. Todos los derechos reservados.