¿Cómo está cambiando la IA la detección de vulnerabilidades?

Los modelos de IA de frontera, como Mythos, están acelerando el descubrimiento de vulnerabilidades y el desarrollo de exploits a una velocidad antes impensable. Esto no solo implica la aparición de nuevas amenazas, sino que también revela años de riesgo técnico acumulado en sistemas heredados sin parches o desactualizados.

Muchas organizaciones ya eran conscientes de esta deuda técnica. La diferencia radica en que las herramientas basadas en IA ahora pueden concentrar vulnerabilidades que habían permanecido dispersas durante años o que se consideraban manejables. Según Saul Escalante, director regional de ventas para América Latina de Infoblox, «en un entorno donde la IA puede descubrir vulnerabilidades más rápido de lo que las organizaciones pueden corregirlas, cerrar las puertas que ya sabemos que están abiertas puede ser tan importante como prepararse para la próxima amenaza desconocida».

¿Por qué los problemas tradicionales siguen siendo un riesgo?

Uno de los principales desafíos es el volumen. Los hallazgos generados por herramientas como Mythos pueden incluir un gran número de vulnerabilidades, falsos positivos o problemas en código no explotable. Para los equipos de ingeniería, esto plantea una pregunta inevitable: «¿Qué se debe corregir primero?»

Las organizaciones ya conviven con miles de riesgos conocidos y carecen de capacidad para aplicar parches a todos ellos. A medida que la IA aumenta el número de vulnerabilidades identificadas, la priorización inteligente deja de ser opcional. El modelo tradicional, basado en puntuaciones CVE/CVSS, ya no es suficiente. La gravedad debe complementarse con otros factores:

• Ubicación de la vulnerabilidad dentro de la infraestructura;
• Si es accesible desde Internet o mediante movimiento lateral;
• Su explotabilidad;
• El impacto empresarial de su compromiso.

El objetivo es avanzar hacia una visión de vectores de ataque priorizados, que refleje cómo se movería un atacante en la organización.

¿Qué estrategias deben adoptar las organizaciones?

La presión sobre los sistemas antiguos

La IA también incrementa la presión sobre los sistemas heredados, críticos para las operaciones empresariales. Incluso las organizaciones con alto nivel de madurez acumulan retrasos en actualizaciones y deben decidir constantemente qué corregir y qué riesgos asumir.

En casos como los dispositivos IoT o sistemas embebidos en ubicaciones remotas, la actualización puede ser prácticamente imposible. Aquí, los controles compensatorios cobran importancia:

• Segmentación de la red;
• Restricciones a nivel de DNS;
• Limitaciones sobre quién puede acceder a servicios específicos.

Estas medidas reducen el radio de impacto cuando no es posible solucionar una vulnerabilidad de inmediato.

De la mentalidad reactiva a la preventiva

La respuesta exige fortalecer los pilares estructurales de la seguridad:

• Arquitectura;
• Segmentación;
• Identidad;
• DNS.

Combinados con una gestión continua de la exposición, permiten identificar qué activos son accesibles y cuáles representan el mayor riesgo.

La IA no eliminará los problemas tradicionales, sino que los amplificará. Una higiene deficiente del DNS, configuraciones erróneas o puertos abiertos siguen siendo oportunidades para los atacantes, incluso sin descubrir nuevas vulnerabilidades de día cero (zero-day). La diferencia radica en la velocidad: la IA reduce las barreras de tiempo y conocimiento para tareas como reconocimiento, ingeniería social y explotación.

Dependiendo exclusivamente de un ciclo reactivo de detección y parcheo resulta cada vez menos sostenible. Las organizaciones deben pasar a un enfoque preventivo, priorizando lo que los atacantes pueden acceder y explotar.

Conclusión: Cerrar las puertas abiertas

En una era de ciberseguridad en rápida evolución, es fundamental que las organizaciones adopten un enfoque proactivo. Esto incluye:

• Descubrir continuamente la exposición real;
• Priorizar riesgos según su accesibilidad y explotabilidad;
• Cerrar problemas conocidos como higiene de DNS o configuraciones incorrectas;
• Implementar resiliencia arquitectónica mediante segmentación y separación de identidades.

Solo así podrán contener amenazas que logren superar las defensas iniciales.

La entrada La IA acelera la detección de amenazas pero los errores del pasado siguen abiertos se publicó primero en PCFORMAT MX.

La complejidad creciente en redes, entornos en la nube y cargas de trabajo de AgenticOps exige soluciones integrales. Con esta adquisición, Infoblox y Kentik buscan ofrecer a las organizaciones la capacidad de identificar, priorizar y remediar problemas de forma proactiva, fortaleciendo así las bases de datos que alimentan las herramientas de inteligencia artificial.

¿Por qué es relevante esta adquisición para los profesionales IT?

En un entorno donde la inteligencia artificial asume roles cada vez más críticos, la calidad e integridad de los datos se vuelven esenciales. La plataforma combinada permitirá a los clientes comprender de manera continua lo que ocurre en su infraestructura, desde el origen del tráfico hasta su comportamiento en tiempo real. Esto acelera la visión de Infoblox de ofrecer una plataforma de seguridad y redes centrada en la infraestructura e impulsada por IA.

¿Qué aporta Kentik a la ecuación?

Kentik, como plataforma de inteligencia y observabilidad para infraestructuras modernas, recopila datos completos de flujos de red, información de enrutamiento, rutas, registros de VPC en la nube, pruebas sintéticas y telemetría de dispositivos en centros de datos, nubes, redes WAN e Internet pública. Esto permite a los equipos saber qué hizo el tráfico, por dónde viajó, cómo se comportó y en qué punto se degradó la experiencia.

Con esta información, los equipos de operaciones pueden resolver interrupciones con mayor rapidez, optimizar el rendimiento y los costos, y obtener una visibilidad integral de entornos híbridos y multinube sin depender de múltiples herramientas.

Beneficios clave de la plataforma combinada

Observabilidad híbrida y multinube

Los mapas topológicos de Kentik, enriquecidos con los nombres DNS, el contexto de activos y la identidad de los usuarios de Infoblox, permitirán que cada flujo revele no solo hacia dónde se dirigió el tráfico, sino también quién lo originó y qué recursos alcanzó. Esto brinda a los equipos de redes y operaciones una visión única y correlacionada del tráfico con contexto completo.

Inteligencia de seguridad preventiva

La inteligencia de amenazas basada en DNS de Infoblox se correlacionará con los datos de flujo de Kentik. Esta combinación permitirá confirmar si un activo comprometido logró conectarse, cuánta información salió de la red y qué otros activos alcanzaron posteriormente. El resultado es una reducción significativa en los tiempos de análisis y un aumento en la confianza en las decisiones de respuesta, todo desde una sola plataforma.

Una base de datos preparada para la IA

Un tejido de datos compartido, limpio y actualizado de forma continua permitirá a los equipos pasar rápidamente de las señales a las respuestas y de las respuestas a la acción. La integración mediante protocolos abiertos, como el Infoblox Model Context Protocol (MCP) Server, conectará esta infraestructura de datos con las herramientas de orquestación e inteligencia artificial que las organizaciones ya utilizan.

Declaraciones de los líderes

Scott Harrell, CEO de Infoblox, destacó: «Infoblox ocupa una posición única. Cada dispositivo, aplicación y carga de trabajo en la nube dentro de la red de nuestros clientes pasa por nuestra tecnología, generando un contexto sin precedentes. Con Kentik, ampliamos y enriquecemos ese contexto, ofreciendo a los equipos de redes, nube y seguridad la inteligencia en tiempo real que necesitan para actuar con confianza en entornos híbridos. Nuestros clientes necesitan datos sólidos e información valiosa para impulsar sus operaciones de IA basada en agentes, y junto con Kentik, podemos hacerlo posible».

Avi Freedman, CEO de Kentik, añadió: «La visión de Kentik siempre ha sido ayudar a las organizaciones a operar redes cada vez más complejas mediante inteligencia, no mediante intuición. Infoblox representa la fuente confiable de identidad y verdad que constituye la base de la infraestructura de la que dependen nuestros clientes todos los días. Combinar ese contexto autoritativo con nuestra plataforma de inteligencia de red crea nuevas oportunidades para automatizar operaciones y acelerar la resolución de problemas».

Detalles finales de la adquisición

La adquisición está sujeta a las aprobaciones regulatorias correspondientes y al cumplimiento de las condiciones habituales de cierre. Oppenheimer & Co. Inc. actuó como asesor financiero exclusivo de Kentik, mientras que Fenwick & West LLP fue su asesor legal. Cleary Gottlieb Steen & Hamilton LLP actuó como asesor legal de Infoblox.

Visitar sitio oficial de Infoblox

Visitar sitio oficial de Kentik

La entrada Infoblox adquiere Kentik para unificar DNS autoritativo y observabilidad de red en la era de AgenticOps se publicó primero en PCFORMAT MX.

La entrada Infoblox Analiza las Tendencias de Gestión de Red y Ciberseguridad para 2026, con un Enfoque Especial en América Latina se publicó primero en PCFORMAT MX.

Noviembre de 2025 – Infoblox, líder en unir networking, seguridad y nube mediante una plataforma de DDI protectora, anunció el lanzamiento de las reglas administradas de Infoblox en AWS Marketplace para AWS Network Firewall. Esta integración fortalece la postura de seguridad en la nube de las organizaciones al incorporar inteligencia de amenazas predictiva basada en DNS de forma nativa dentro de los entornos de Amazon Web Services (AWS).

Las reglas administradas de Infoblox ofrecen conjuntos de reglas curadas, impulsadas por inteligencia de amenazas DNS, que permiten a AWS Network Firewall detectar y bloquear conexiones hacia dominios maliciosos antes de que afecten las cargas de trabajo. Esto proporciona una protección preventiva en el perímetro empresarial.

Mukesh Gupta, Chief Product Officer de Infoblox, destacó: «Los atacantes se mueven más rápido que nunca, usando automatización e IA para evadir las defensas tradicionales y comprometer cargas de trabajo en la nube. El DNS es el medio más efectivo para ofrecer protección preventiva. Con las reglas administradas de Infoblox, permitimos a las organizaciones detener amenazas en promedio 68.4 días antes de que otras soluciones sepan siquiera que existen. La integración con AWS Network Firewall lleva esta inteligencia predictiva basada en DNS al perímetro, ayudando a las organizaciones a operar y desplegar cargas de trabajo de forma segura en entornos cloud-native. Es un cambio de juego para quienes buscan adelantarse a las amenazas sin añadir complejidad.»

Beneficios clave de la solución

Protección preventiva en el perímetro de la red

Las reglas administradas de Infoblox permiten que AWS Network Firewall bloquee dominios maliciosos antes de que puedan conectarse o afectar las cargas de trabajo. Los clientes que utilizan los feeds de amenazas de Infoblox reportan una reducción de 5 veces en alertas posteriores en sus sistemas de firewall.

Inteligencia de amenazas predictiva basada en DNS

Con más de 70 mil millones de consultas DNS diarias a nivel global en redes empresariales y de proveedores de servicios, la inteligencia de amenazas de Infoblox alimenta conjuntos de reglas curadas con actualizaciones automáticas, asegurando protección frente a las amenazas más recientes.

Integración nativa con AWS

Los clientes pueden suscribirse y activar los grupos de reglas de Infoblox directamente desde la consola de AWS Network Firewall. El despliegue es simple y completamente nativo del entorno AWS: sin infraestructura adicional, sin creación manual de reglas y sin mantenimiento, acelerando el tiempo de protección en más del 90% comparado con configuraciones manuales.

Operación simplificada

La integración automatiza las actualizaciones de reglas y reduce la carga de configuración, permitiendo que los equipos de seguridad dediquen menos tiempo a tareas operativas y más a prioridades estratégicas. La automatización de Infoblox ahorra a las organizaciones un promedio de 500 horas mensuales de analistas SOC mediante la gestión automatizada de reglas y feeds.

Visibilidad accionable

Las reglas administradas de Infoblox brindan visibilidad ligera mediante alertas y logs nativos de AWS, asegurando que los equipos confirmen que las amenazas están siendo bloqueadas y que las políticas funcionan según lo previsto, sin generar fatiga de alertas ni complejidad adicional.

Cerrando brechas críticas de seguridad

Los atacantes modernos utilizan cada vez más DNS para entregar cargas de phishing, establecer canales de comando y control (C2) y exfiltrar datos. Las defensas perimetrales tradicionales suelen ser reactivas y ofrecen una protección limitada o superficial para DNS.

Las reglas administradas de Infoblox llevan capacidades de seguridad predictiva basada en DNS al AWS Network Firewall, permitiendo que las organizaciones se adelanten a las amenazas en lugar de reaccionar a ellas.

Según el IBM Cost of a Data Breach Report 2024, el costo promedio de una brecha supera los 10 millones de dólares para las organizaciones en Estados Unidos. A través de esta integración, Infoblox y AWS ayudan a los clientes a reducir exposición, evitar brechas costosas y obtener protección de manera más rápida.

Para conocer más sobre la investigación de Inteligencia de Amenazas de Infoblox, visita: https://www.infoblox.com/threat-intel/.

La entrada Infoblox lanza solución predictiva de protección contra amenazas basada en DNS para AWS se publicó primero en PCFORMAT MX.

Este malware utiliza registros TXT de DNS para realizar acciones de comando y control (C2) encubiertas, permitiendo a los sitios comprometidos obtener y ejecutar scripts maliciosos sin revelar los servidores detrás de los ataques. Su éxito radica en operar de manera sigilosa, sin dejar vulnerabilidades claras y atacando solo a usuarios específicos según su ubicación y dispositivo.

¿Cómo opera Detour Dog y por qué es difícil detectarlo?

El malware Detour Dog ha evolucionado desde redireccionamientos fraudulentos hasta la distribución de malware avanzado, como el robo de información. Su técnica innovadora consiste en abusar del sistema de nombres de dominio (DNS) para ejecutar acciones C2 desde el servidor, lo que permite que la mayoría de las visitas a sitios infectados parezcan normales. Solo un pequeño porcentaje de consultas DNS desencadena acciones maliciosas: alrededor del 9% son redirecciones y el 1% son tareas de búsqueda y ejecución de código remoto. Esto lo hace especialmente difícil de detectar, ya que las herramientas tradicionales de ciberseguridad suelen pasar por alto la actividad DNS del lado del servidor.

Según el informe oficial de Infoblox, el volumen de actividad es enorme, con picos de más de 2 millones de peticiones de registros TXT de DNS en una hora. Además, los sitios web pueden estar infectados durante más de un año, ya que la mayoría de las visitas no muestran comportamiento sospechoso. La clave de su persistencia es que el servidor, no el cliente, realiza consultas que codifican la IP y el tipo de dispositivo del usuario, decidiendo quién es redirigido a sitios de estafa o recibe instrucciones remotas de «descargar y ejecutar».

Evolución y distribución de campañas maliciosas

La infraestructura de Detour Dog ha evolucionado para distribuir Strela Stealer, un malware dedicado al robo de información, a través de botnets como REM Proxy (basada en MikroTik) y Tofsee. Durante junio y julio de 2025, estas campañas se distribuyeron masivamente, revelando una fuerte afiliación entre este agente y los proveedores de botnets. Más del 69% de los dominios involucrados en estas campañas están controlados por Detour Dog, que actúa como un eslabón clave en la cadena de suministro de ciberamenazas.

El informe destaca que Detour Dog ha sido el único proveedor de las campañas analizadas, prestando servicios a grupos como Hive0145 y utilizando botnets para la distribución de spam. Los dominios comprometidos funcionan como DNS relay, ocultando la verdadera ubicación de los servidores maliciosos y dificultando su rastreo.

DNS: la primera línea de defensa contra ciberamenazas

Infoblox enfatiza que el DNS no solo es una herramienta útil para rastrear posibles ciberamenazas, sino también un sistema de primera línea de defensa. Sin embargo, la eficacia de cualquier estrategia de mitigación depende de la calidad y especificidad de la inteligencia de amenazas utilizada. Dado que los atacantes emplean métodos cada vez más sofisticados, las organizaciones deben contar con visibilidad e inteligencia DNS adaptada para seguir el ritmo de estas amenazas.

El tráfico web cotidiano se convierte en un riesgo para los negocios cuando herramientas tradicionales no logran interceptar actividades maliciosas como las de Detour Dog. La investigación demuestra que solo con inteligencia DNS avanzada es posible detectar y neutralizar estos ataques antes de que afecten a usuarios y empresas.

Datos clave del informe

• Amplio alcance: Más de 30.000 sitios web infectados en 584 dominios de primer nivel.
• Técnica novedosa: Uso de registros TXT de DNS para acciones C2 encubiertas.
• Persistencia: Sitios infectados durante más de un año, con solo ciertos usuarios como objetivo.
• Difícil detección: El 90% de las consultas DNS en sitios infectados reciben una respuesta de «no hacer nada».
• Distribución de botnets: Campañas de Strela Stealer distribuidas a través de REM Proxy y Tofsee.

Para más detalles, consulta el informe completo de Infoblox Threat Intel.

La entrada Detour Dog: el malware que usa DNS para infectar 30,000 sitios web se publicó primero en PCFORMAT MX.

Obstáculos invisibles que afectan la migración a la nube

Aunque los planes de migración suelen centrarse en aplicaciones, servicios de red críticos como DNS, DHCP y la gestión de direcciones IP suelen convertirse en cuellos de botella. Desde la asignación lenta de bloques IP hasta inconsistencias entre DNS locales y Amazon Route 53, los riesgos son significativos. Según Accenture, el 78% de las empresas operan con estrategias de nube híbrida, lo que incrementa estos desafíos.

Cerrando la brecha entre redes locales y AWS

El éxito en la migración a la nube depende de extender la infraestructura de red existente hacia AWS sin sacrificar seguridad ni eficiencia operativa. Esto requiere una conexión fluida entre equipos de red tradicionales y equipos de nube. “Convertirse en una empresa basada en la nube implica dejar atrás la gestión de centros de datos tradicionales”, comentó Iván Sánchez, Director Regional de Ventas de Infoblox.

Tres formas en que Infoblox acelera la migración a AWS

Infoblox ofrece soluciones clave para optimizar la migración a AWS, abordando desafíos comunes y mejorando la eficiencia operativa en entornos híbridos.

1. Elimina la fricción entre equipos de red y nube

La integración nativa con Amazon Route 53 permite conectar infraestructuras DNS locales con entornos AWS sin necesidad de gestionar sistemas por separado. Esto permite que los equipos de red conserven su interfaz habitual mientras los equipos de nube operan nativamente en AWS.

2. Acelera la creación de entornos de aplicaciones

Implementar configuraciones de red en múltiples regiones y zonas de disponibilidad es complejo. Una firma financiera redujo este proceso de 6-8 semanas a solo 15 minutos usando Terraform e Infoblox, demostrando una mejora significativa en la eficiencia operativa.

3. Mejora la seguridad en entornos híbridos

Entre el 80-90% de los ciberataques utilizan DNS. Infoblox brinda visibilidad unificada y capacidades de seguridad proactiva que previenen conexiones a sitios maliciosos y la exfiltración de datos. Un estudio de Forrester indica que esta protección puede reducir incidentes y costos asociados en un 26.5%.

Optimiza también tus procesos de adquisición

Al adquirir Infoblox a través de AWS Marketplace, las organizaciones pueden aprovechar su inversión en el AWS Enterprise Discount Program (EDP), simplificar licencias y evitar procesos presupuestales adicionales.

¿Está listo para migrar más rápido y seguro?

Evalúa tu infraestructura DDI actual, identifica procesos manuales que puedan automatizarse con Terraform, asegura que tus políticas de seguridad se extiendan a AWS y considera adquirir a través de AWS Marketplace para simplificar la gestión.

Infoblox respalda a tres de cada cuatro empresas del Fortune 500, garantizando una migración a AWS más rápida, segura y eficiente.

Más información en: Infoblox para AWS o explora opciones en AWS Marketplace.

Intro para X:

La entrada Infoblox acelera migraciones a AWS eliminando obstáculos en la red se publicó primero en PCFORMAT MX.

Recientemente, se descubrió una técnica que emplea registros de intercambio de correo (MX) para servir dinámicamente páginas de inicio de sesión falsas, suplantando más de 100 marcas. Este método, utilizado por un kit de phishing, aprovecha redirecciones abiertas en infraestructuras de publicidad tecnológica, compromete dominios para la distribución de phishing y envía credenciales robadas a través de diversos mecanismos, incluyendo Telegram. Este actor, denominado Morphing Meerkat, opera una plataforma de phishing como servicio (PhaaS) que ha estado activa durante años.

Morphing Meerkat ha enviado miles de correos electrónicos de spam. La figura 1 muestra que los servidores de correo que enviaron los mensajes están relativamente centralizados, con aproximadamente la mitad perteneciente a proveedores de servicios de internet (ISP) como iomart (Reino Unido) y HostPapa (Estados Unidos). Este comportamiento es consistente con plataformas PhaaS y sugiere que los ataques son orquestados por un sistema común. Si los kits de phishing fueran adoptados por muchas entidades diferentes, se esperaría una distribución más uniforme de la actividad de correo electrónico entre los proveedores.

Figura 1. Distribución de correos electrónicos entre ISP

Plataforma avanzada de PhaaS

La plataforma PhaaS de Morphing Meerkat es relativamente avanzada y ofrece varios servicios poderosos a sus usuarios, incluyendo la entrega masiva de spam. Está equipada con características que ayudan a los correos electrónicos de spam y a los kits de phishing a eludir los sistemas de seguridad tradicionales. Entre sus funciones se encuentran:

• Redirigir a los usuarios a contenido de phishing utilizando sitios web de WordPress comprometidos.
• Explotar vulnerabilidades de redirección abierta en servidores de publicidad tecnológica para eludir sistemas de seguridad de correo electrónico.
• Usar registros DNS MX para identificar el proveedor de servicios de correo electrónico de la víctima y servir dinámicamente páginas de inicio de sesión falsas.
• Entregar credenciales robadas a través de múltiples canales, incluyendo servicios de mensajería de correo electrónico y chat.
• Traducir dinámicamente el contenido de phishing a más de una docena de idiomas diferentes para atacar a usuarios en todo el mundo.
• Ocultar el contenido de phishing mediante código fuertemente ofuscado.
• Evitar sospechas redirigiendo a usuarios sospechosos a páginas de inicio de sesión reales.

Campañas de phishing

Los kits de phishing utilizados en estas campañas han evolucionado con el tiempo, pero aún se puede reconocer su estructura básica de código. Casi todos los ataques de Morphing Meerkat tienen como objetivo las credenciales de inicio de sesión de correo electrónico de los usuarios. Los desarrolladores de la plataforma PhaaS parecen haberla diseñado específicamente para este tipo de actividad.

Descubrimos campañas cibernéticas que utilizaron los kits de phishing desde enero de 2020. Estas versiones iniciales solo podían servir plantillas web de phishing disfrazadas de cinco marcas de correo electrónico: Gmail, Outlook, AOL, Office 365 y Yahoo. No tenían módulo de traducción, por lo que solo podían mostrar texto en inglés en las plantillas de phishing. Con el tiempo, Morphing Meerkat expandió su biblioteca de plantillas y actualmente vemos 114 diseños de marcas diferentes. Para julio de 2023, los kits podían cargar dinámicamente páginas de phishing basadas en registros DNS MX. Hoy en día, los kits también pueden traducir texto dinámicamente según el perfil web de la víctima y atacar a usuarios en más de una docena de idiomas diferentes.

La plataforma PhaaS envía correos electrónicos de spam con enlaces maliciosos a un gran número de usuarios de internet, incluyendo profesionales de alto perfil, como un jefe de operaciones de red para una gran empresa de software de servicios financieros. Los enlaces en los correos electrónicos de spam redirigen a las víctimas a una página de aterrizaje de phishing. El tipo de interacción entre la página y la víctima depende de cómo se configuró el kit de phishing. Algunas de las versiones más avanzadas pueden redirigir a las víctimas a sitios web legítimos para evadir la seguridad, así como usar registros DNS MX para servir dinámicamente plantillas web de phishing relacionadas con el servicio de correo electrónico de la víctima.

Figura 2. Cadena de ataque de Morphing Meerkat

Las campañas de Morphing Meerkat operan a nivel global y llegan a usuarios en muchos idiomas diferentes. Para atacar a las víctimas a gran escala, los kits de phishing utilizan un módulo de traducción JavaScript que puede convertir el texto en la página web de phishing al idioma preferido configurado en el navegador de la víctima. Actualmente, la mayoría de los módulos de traducción que utiliza el kit de phishing muestran más de una docena de opciones de idiomas diferentes formateadas en ISO 639, incluyendo inglés, coreano, español, ruso, alemán, chino y japonés.

Figura 3. Módulo de traducción de Morphing Meerkat

Correos electrónicos de spam

Hasta la fecha, solo hemos observado que Morphing Meerkat despliega correos electrónicos de spam como vector de ataque inicial. La mayoría de los mensajes muestran un nombre y una dirección de correo electrónico del remitente falsificados, como se muestra en los ejemplos de la figura 4. Los datos consistentes de Protocolo de Transferencia de Correo Simple (SMTP) y los señuelos de phishing en los correos electrónicos de spam fueron factores clave en nuestra evaluación de que operan una plataforma PhaaS. Los malos actores que pagan para aprovecharla probablemente pueden personalizar los materiales de correo electrónico y generar kits de phishing que se ajusten a las características deseadas de sus propias campañas cibernéticas.

Figura 4. Correos electrónicos de spam de Morphing Meerkat

Los mensajes de correo electrónico utilizan formato HTML y generalmente muestran un ícono o imagen genérica relacionada con el proveedor de servicios de correo electrónico de la víctima. Ocasionalmente, también encontramos correos electrónicos disfrazados de populares servicios de envío logístico (ver figura 5) o instituciones bancarias. Los mensajes utilizan tácticas de miedo sobre una amenaza para crear un sentido de urgencia y atraer al destinatario a hacer clic en un texto hipervinculado incrustado. El texto con enlace apunta a una URL relacionada con:

• Sitios web de WordPress comprometidos.
• Cuentas fraudulentas en servicios de alojamiento web y compartición de archivos gratuitos (por ejemplo, pages.dev, workers.dev, r2.dev, netlify.app, appspot.com, firebaseapp.com, plesk.page).
• Infraestructura de publicidad tecnológica.
• Dominios fraudulentos creados por Morphing Meerkat.

En realidad, la URL redirige a la víctima a una página de aterrizaje de phishing.

Figura 5. Mensajes de correo electrónico de spam en formato HTML

Evadir la detección

Morphing Meerkat utiliza un número relativamente grande de características de evasión de seguridad en comparación con otros kits de phishing que hemos visto, incluyendo múltiples técnicas para obstaculizar el análisis de amenazas por parte de investigadores de seguridad, así como para eludir sistemas de protección contra phishing y spam. Esta sección explicará algunos de los métodos de evasión más convincentes.

La mayoría de los hipervínculos en los correos electrónicos de spam utilizan dominios relacionados con sitios web de WordPress comprometidos, acortadores de URL o alojamiento web gratuito. En algunos casos, vemos que Morphing Meerkat abusa de la infraestructura legítima de publicidad tecnológica para generar enlaces de redirección a las páginas web de phishing. También explotan vulnerabilidades de redirección abierta en DoubleClick, una red publicitaria propiedad de Google. En un ejemplo, Morphing Meerkat envió correos electrónicos de spam incrustados con la estructura de enlace:

hXXps://ad.doubleclick.net/clk;265186560;90846275;t;pc=[TPAS_ID]?//{phishing_url}.

El enlace redirigirá a cualquier URL que el actor coloque en la posición {phishing_url}. Esta es una técnica simple pero poderosa porque muchos sistemas de seguridad de correo electrónico permitirán el enlace debido a la alta popularidad y buena reputación del dominio.

Los usuarios de internet moderadamente avanzados y los investigadores de seguridad a menudo verifican el estado malicioso de una página web de phishing examinando su código HTML. Este kit de phishing implementa varias medidas de seguridad para bloquear la inspección de dichos usuarios. El kit de phishing monitorea las acciones del visitante web y prohíbe las combinaciones de teclas de acceso directo Ctrl + S, Ctrl + U y el clic derecho del ratón. Respectivamente, estas acciones guardan el código HTML de la página web en la máquina del usuario, abren el código fuente de la página web y abren el menú contextual a través de un clic derecho del ratón.

Figura 6. Características de protección contra análisis web en Morphing Meerkat

Además, Morphing Meerkat complica la legibilidad del código a través de la ofuscación e inflación. Para la ofuscación, a menudo codifica scripts en Base64, convierte caracteres ASCII en valores decimales, coloca valores aleatoriamente en una matriz larga e indexa esos valores más tarde en el script, usa nombres de variables ilegibles o cualquier combinación de estos métodos. Los kits de phishing comúnmente usan funciones JavaScript como atob(), String.fromCharCode() y unescape() para desentrañar el desorden del código en tiempo de ejecución. En algunos casos, el kit de phishing usa generadores de código de ofuscación gratuitos en línea, como snapbuilder.com.

Para la inflación, generalmente anteponen grandes cuerpos de código complicado a las funciones principales del kit de phishing o crean archivos adicionales que contienen JavaScript ofuscado en múltiples capas. Sin embargo, estos objetos no contribuyen en nada a la funcionalidad del kit de phishing. Esta técnica solo sirve para enturbiar el análisis de amenazas y hacer perder el valioso tiempo de los investigadores de amenazas.

Las URL en los mensajes de correo electrónico de spam son los puntos de entrada que desencadenan la serie de redirecciones a la página de phishing generada dinámicamente. Si la URL no forma parte de un servicio acortador, contiene un separador de caracteres de almohadilla seguido de un identificador de fragmento (por ejemplo, hXXps://securedfile.glitch.me/# {email_address}). Después de que la víctima hace clic en el enlace de spam por correo electrónico, la URL ejecuta un script que redirige y pasa el identificador (dirección de correo electrónico) a la página de aterrizaje de phishing.

Si un usuario solicita una URL de punto de entrada o una URL de aterrizaje de phishing sin un identificador de fragmento y un hash, la URL probablemente no sea genuina, lo que indica que un investigador puede estar inspeccionando la URL directamente. Cuando esto sucede, para evadir sospechas y detección por parte de la seguridad, la página de aterrizaje de phishing enviará a los usuarios directamente a la página de inicio de sesión real del proveedor de servicios de correo electrónico.

Si un usuario solicita una URL de punto de entrada o una URL de aterrizaje de phishing con el identificador de fragmento completo intacto, será enviado a la página de inicio de sesión falsa. Después de dos intentos de inicio de sesión, la página de aterrizaje de phishing redirigirá a las víctimas al sitio web auténtico del proveedor de servicios de correo electrónico (ver figura 7). Cada envío de inicio de sesión por parte de la víctima, independientemente de si son correctos, devolverá el mensaje «Contraseña incorrecta. ¡Por favor ingrese la contraseña correcta del correo electrónico.» Este método beneficia al actor de la amenaza si la víctima ingresa incorrectamente sus credenciales en su primer intento y ayuda a evitar el escrutinio de las víctimas que son escépticas del comportamiento del sitio web.

Figura 7. Redirección al sitio web auténtico después de dos intentos de inicio de sesión

Carga dinámica de HTML con DNS MX

La plataforma PhaaS de Morphing Meerkat y sus kits de phishing son únicos en comparación con otros porque sirven dinámicamente páginas web de inicio de sesión de phishing basadas en el registro DNS MX de cada dominio de correo electrónico de la víctima. Este método de ataque es ventajoso para los malos actores porque les permite llevar a cabo ataques dirigidos a las víctimas mostrando contenido web fuertemente relacionado con su proveedor de servicios de correo electrónico. La experiencia general de phishing se siente natural porque el diseño de la página de aterrizaje es coherente con el mensaje del correo electrónico de spam. Esta técnica ayuda al actor a engañar a la víctima para que envíe sus credenciales de correo electrónico a través del formulario web de phishing.

Muchos proveedores de servicios de correo electrónico configuran registros DNS MX con el mismo valor de dominio de segundo nivel (SLD) para múltiples dominios de correo electrónico. Esto generalmente ocurre cuando los proveedores fusionan servicios, cambian la marca de productos o pasan por una adquisición de empresa. En lugar de mapear cada dominio de correo electrónico a un recurso HTML, los actores de amenazas pueden determinar con precisión el proveedor de servicios de un dominio de correo electrónico utilizando su registro MX SLD, y hacerlo a escala. Por ejemplo, la figura 8 muestra la misma respuesta SLD de Outlook MX de DNS sobre HTTPS (DoH) de Google para varios dominios de correo electrónico propiedad de Microsoft.

Figura 8. Ejemplo de mismo DNS MX SLD para múltiples dominios de correo electrónico

Para encontrar el registro MX de un dominio, Morphing Meerkat utiliza Cloudflare DoH o Google Public DNS, un DoH y una API. El kit de phishing pasa la carga computacional de solicitar información MX de los servidores DoH a la víctima. Las figuras 9 y 10 muestran variaciones de las funciones de consulta MX DoH.

Figura 9. Función para consultar registros MX a través de Google DNS

Figura 10. Función para consultar registros MX a través de Cloudflare DoH

Después de que el kit de phishing recupera el registro MX, utiliza un diccionario personalizado para cargar un archivo HTML de phishing asociado con el registro. Este diccionario mapea el nombre del registro MX y su archivo HTML de phishing relevante. La figura 11 muestra un subconjunto pequeño del diccionario completo. La biblioteca de plantillas HTML de Morphing Meerkat contiene al menos 114 diseños únicos de marcas de correo electrónico y páginas de inicio de sesión. Este diccionario destaca las longitudes a las que este actor llega para personalizar la experiencia de phishing.

Figura 11. Mapeo de registros MX a plantillas de phishing

Si un kit de phishing no reconoce el registro MX, generalmente se establece en una página de inicio de sesión HTML de Roundcube (software de correo electrónico de código abierto) o una página de inicio de sesión que muestra el título genérico «Webmail.» El kit llena automáticamente el campo de entrada de nombre de usuario con la dirección de correo electrónico de la víctima. La figura 12 muestra un ejemplo que involucra una cuenta de correo electrónico de prueba y un señuelo de DHL Express.

Figura 12. Página de phishing de correo electrónico de DHL Express

Recolección de credenciales

La ubicación que recopila las credenciales de phishing de correo electrónico robadas depende de cómo un mal actor configure el kit de phishing. En las instancias de ataque que detectamos, hubo cuatro métodos de recolección diferentes: correo electrónico, script PHP en el mismo sitio, transferencia de datos remota a través de solicitud AJAX y comunicación con canales de texto utilizando hooks de API web. Todos los métodos utilizan bibliotecas JavaScript livianas y del lado del cliente para enviar los detalles de las credenciales robadas al actor. En muchos de los casos, el código estaba fuertemente ofuscado y deliberadamente inflado para obstruir el análisis forense.

Para las entregas por correo electrónico, las herramientas de Morphing Meerkat utilizan una biblioteca de correo electrónico JavaScript del lado del cliente llamada EmailJS para pasar las credenciales robadas a la dirección de correo electrónico controlada por el actor. Como se muestra en la figura 13, cuando el navegador de la víctima ejecuta el JavaScript, utiliza una clave pública de EmailJS para enviar un mensaje que contiene las credenciales robadas y la información de la dirección IP de la víctima. Sin embargo, no es posible recuperar mensajes de la cuenta de correo electrónico del actor utilizando esta clave pública.

Figura 13. Código EmailJS para enviar mensajes de correo electrónico con credenciales robadas

Morphing Meerkat también ofrece la opción de transferir las credenciales de correo electrónico de la víctima al canal de Telegram del mal actor. Para hacerlo, el mal actor configura un bot webhook, lo que permite que el kit de phishing envíe mensajes al canal de Telegram en tiempo real. La comunicación requiere un token de API de bot y un ID de chat. Dado que los kits de phishing exponen los tokens de API en su código, probamos muchos de ellos para determinar el número de credenciales robadas y el tamaño de las víctimas comprometidas. Ninguno de los tokens devolvió información de credenciales reales. Sospechamos que los actores inspeccionan los canales y eliminan mensajes en tiempo real para destruir evidencias. Como se muestra en la figura 14, un canal mostró un solo mensaje que fue enviado manualmente, probablemente una prueba del mal actor.

Figura 14. Mensaje de prueba enviado a un canal de Telegram fraudulento

Conclusión

«El enemigo no visto siempre es el más temible.» — George R.R. Martin, A Clash of Kings

La visibilidad y monitoreo de las redes son requisitos críticos para sistemas de seguridad empresarial efectivos. La cita anterior sirve tanto como advertencia como consejo valioso en el ámbito de la ciberseguridad. Después de todo, si un sistema de seguridad no puede ver la amenaza, no puede detectarla. Es por eso que muchas amenazas persistentes avanzadas (APT) como Decoy Dog han pasado desapercibidas y han sobrevivido en redes empresariales durante tantos años. Sin embargo, la persistencia no se limita a los actores estatales. Nuestros blogs anteriores muestran cómo ataques generalizados, como VexTrio Viper, han operado una red de afiliados maliciosos y han entregado contenido web dañino durante casi una década. Principalmente porque han construido su infraestructura de la misma manera que una red publicitaria legítima, ocultan comunicaciones en DNS y utilizan técnicas avanzadas de ocultamiento.

Morphing Meerkat es otro ejemplo de una operación de larga duración que es difícil de detectar a gran escala. Conocen dónde están los puntos ciegos de seguridad y los han explotado a través de redirecciones abiertas en publicidad tecnológica, comunicación DoH y servicios populares de compartición de archivos. Las organizaciones pueden protegerse contra este tipo de ataques agregando una capa fuerte de seguridad DNS a sus sistemas. Esto implica restringir el control DNS para que los usuarios no puedan comunicarse con servidores DoH o bloquear el acceso de los usuarios a la infraestructura de publicidad tecnológica y compartición de archivos que no sea crítica para el negocio. Si las empresas pueden reducir el número de servicios no importantes en su red, pueden reducir su superficie de ataque, dando menos opciones a los ciberdelincuentes para la entrega de amenazas.

Indicadores de actividad

Una selección de indicadores actuales y históricos de Morphing Meerkat está disponible en nuestro repositorio de GitHub aquí.

IndicadorTipo de Indicador
107.173.166.107
109.200.24.11
122.183.248.102
173.224.126.37
175.9.54.154
185.117.90.212
185.209.161.155
185.229.66.117
194.169.172.188
45.133.174.25
5.230.209.74
5.230.210.77
Direcciones IP de servidores de correo que enviaron mensajes de spam
hXXp://ln.run/HxEHS#{user_email}
hXXp://url.rw/3m080/#{user_email}
hXXps://bafybeih66y422foovraku6twm2ajjxww4frb7rxlxu7zbqridm2xkszy2a
.ipfs.dweb.link/axprediir.
html#{user_email}
hXXps://carriertrucks.com/#{user_email}
hXXps://hexatimes.com/0487548Wi/Adobe_PDFViewer/blau.php#{user_email}
hXXps://is.gd/UYdiV6/#{user_email}
hXXps://movesfitnesszoom.co.uk//_fri/xcfm6rms65q2uhzae0r8/{user_email}
hXXps://rebrand.ly/1e2jap#{user_email}
hXXps://s3.us-east-2.amazonaws.com/38474.com/re+(6).html#{user_email}
hXXps://shorturl.at/Kmm6g#{user_email}
Enlaces de redirección maliciosos incrustados en los mensajes de spam
clumsy-fir-mandible.glitch.me
ht2jndn.web.app
jeel.top
login-maildelivery-mailbox.s3.us-east-1.amazonaws.com
nfond.com
pub-a5838f65652541d69d95fd7010df5bb4.r2.dev
setting-raw-jushd.vercel.app
truck-parts.nl
victorious-muddy-basin.glitch.me
zeinabghasemi.ir
Dominios de páginas de inicio de sesión de phishing

Notas al pie

1. https://www.forcepoint.com/blog/insights/threat-actors-harvesting-credentials-telegram-api
2. https://quetzal.bitso.com/p/a-phishing-trip
3. https://hunt.io/blog/exposing-large-scale-phishing-activity-abusing-cloudflare
4. https://blogs.infoblox.com/threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/
5. https://blogs.infoblox.com/threat-intelligence/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program/

La entrada Relato de Phishing con DoH y Abuso de DNS MX se publicó primero en PCFORMAT MX.

La entrada El poder del DNS en la seguridad empresarial en México se publicó primero en PCFORMAT MX.

Ciudad de México a 25 de julio 2024 — En el cambiante panorama de la ciberseguridad, los ataques de Denegación de Servicio Distribuidos (DDoS) siguen siendo una amenaza significativa. Para ayudar a las organizaciones a mantenerse un paso adelante, Imperva, una compañía de Thales, (@Imperva) líder en ciberseguridad que protege aplicaciones, API y datos críticos, en cualquier lugar y a escala, , presentó los resultados del DDoS Threat Landscape Report 2024, que ofrece un análisis detallado a nivel global de la actividad de este tipo ataques DDoS durante la primera mitad de 2024, destacando eventos clave y proporcionando recomendaciones estratégicas para el próximo año.

Una amenaza persistente debido a la automatización 

Los ataques DDoS siguen siendo una de las armas favoritas de los ciberdelincuentes debido a su potencial daño. Estos ataques saturan las redes, los servidores y las aplicaciones con un tráfico excesivo, lo que provoca interrupciones del servicio e importantes trastornos. A pesar de que no es una nueva amenaza, el volumen y la sofisticación de este tipo de ataques van en aumento.

Un factor importante detrás de este crecimiento es el fácil acceso a las herramientas DDoS. La automatización ha hecho posible que personas con conocimientos técnicos limitados puedan lanzar ataques sustanciales. Esta democratización ha ampliado el grupo de atacantes potenciales, por lo que es más importante que nunca que las organizaciones refuercen sus defensas.

Influencia geopolítica en la actividad DDoS

Las tensiones políticas también influyen significativamente en la prevalencia de los ataques DDoS. Los agentes estatales y los activistas políticos suelen utilizar estos ataques para hacer declaraciones o señalar intenciones. Comprender las motivaciones y los métodos que subyacen a los ataques por motivos políticos es esencial para desarrollar estrategias de defensa eficaces.

Puntos clave del informe 2024:

• Aumento del 111% en ataques DDoS mitigados: En la primera mitad de 2024, Imperva mitigó un 111% más de ataques DDoS en comparación con el mismo período de 2023, lo que subraya la necesidad de medidas de seguridad robustas.
• El mayor ataque DDoS a la capa de aplicación: En febrero 2024, un ataque DDoS a la Capa de Aplicación alcanzó la cifra sin precedentes de 4,7 millones de Peticiones Por Segundo (RPS).
• Aumento del 310% del ancho de banda en ataques de amplificación de DNS: En 2023 el tamaño medio de un ataque de Amplificación DNS aumentó un 310%.

Las tensiones geopolíticas impulsan los ataques DDoS:

• Los disturbios en Oriente Próximo provocaron un aumento del 118% en los ataques a Israel.
• El conflicto entre Rusia y Ucrania provocó un aumento del 519% de los ataques contra Ucrania.
• La competencia en ciberseguridad provocó un aumento del 84% en los ataques a China.

Perspectivas sectoriales

Ciertas industrias han sido especialmente atacadas, lo que refleja su papel fundamental y lo mucho que está en juego si se interrumpen sus servicios:

• Telecomunicaciones e ISP: Estos sectores experimentaron un asombroso aumento del 548% en los ataques, destacando su papel crucial en el mantenimiento de la conectividad a Internet.
• Salud: Los ataques a organizaciones de salud aumentaron un 236%, lo que subraya la vulnerabilidad del sector, y el impacto potencial en los servicios críticos y los datos de los pacientes.
• Gaming: El sector gaming experimentó un aumento del 208% en los ataques, que afectaron tanto a las experiencias de juego en línea como a las transacciones financieras.

Prepararse para el futuro

El informe ofrece varios puntos clave para ayudar a las organizaciones a prepararse para el cambiante panorama de las amenazas:

• Seguridad electoral: Con la posibilidad de que se produzcan ataques DDoS por motivos políticos, es esencial aumentar la vigilancia y disponer de ciberdefensas sólidas durante los periodos electorales.
• Variantes de la red de bots Mirai: La supervisión y las actualizaciones continuas son cruciales para mitigar las amenazas de las nuevas variantes de la red de bots Mirai.
• IA y ciberseguridad: A medida que la IA reduce la barrera para los ciberatacantes, la inversión en mecanismos de defensa impulsados por IA se vuelve cada vez más importante.
• Grupos de amenazas en evolución: Mantenerse informado sobre las actividades de los principales grupos de hackers ayuda a anticiparse y prepararse para nuevas amenazas.

“Las conclusiones de este informe demuestran que los ataques DDoS siguen creciendo y siendo una opción cada vez más popular para los ciberdelincuentes y hacktivistas, y representan una amenaza real para las organizaciones de todos los sectores. Los números indican que las organizaciones deben protegerse correctamente con soluciones robustas para evitar las consecuencias de este tipo de ataque como el grave daño a la reputación de la marca o alto costos por disrupción en las operaciones, u otros”, explica Ricardo Cazares, Vicepresidente de Latinoamérica de Imperva.

La entrada Aumentan los ataques DDoS en el mundo por las tensiones geopolíticas se publicó primero en PCFORMAT MX.

 

• Akamai ha mitigado un récord de 1.510 ataques DDoS, un incremento del 180% sobre el tercer trimestre del año pasado; y un 23% más que en el trimestre anterior

• El uso de los métodos DDoS basados en reflexión por sitios de DDoS en alquiler (DDoS-for-hire) representó en promedio ataques más pequeños de los que observamos procedentes de botnets basados en infección

• El sector retail sufrió la amplia mayoría de ataques a aplicaciones web —55%; el sector de juegos online sufrió la mayoría de ataques DDoS; el sector de medios y entretenimiento se enfrentó a la cantidad más elevada de los mayores ataques DDoS 

México a  15 de diciembre de 2015 – Akamai Technologies, Inc. (NASDAQ: AKAM), el líder global en servicios de CDN (Content Delivery Network – Red de Entrega de Contenidos), anuncia la disponibilidad del Informe de Seguridad – Estado de Internet del Tercer Trimestre de 2015. El informe de este trimestre que ofrece un análisis y visión sobre el panorama global de amenazas de ataques a la seguridad de la nube, puede descargarse en www.stateoftheinternet.com/security-report.

“Akamai ha observado un mayor número de ataques de denegación de servicio cada trimestre, y la tendencia a la alza ha permanecido en este trimestre. Aunque los ataques DDoS más recientes fueron en promedio más pequeños y más cortos, siguen planteando un importante riesgo de seguridad para la nube,” dijo John Summers, Vicepresidente de la Unidad de Negocio de Seguridad Cloud de Akamai. “Los ataques se ven impulsados por la fácil disponibilidad de sitios de DDoS en alquiler que identifican y abusan de servicios de Internet expuestos, como SSDP, NTP, DNS, CHARGEN, e incluso ‘Quote of the Day’.”
Un vistazo sobre la actividad de ataques DDoS

La actividad de ataques DDoS en la red de Akamai se incrementó un 23% este trimestre desde niveles ya récord hasta 1.510 ataques, un incremento del 180% sobre el tercer trimestre de 2014. Aunque ha habido bastantes más ataques, en promedio los ataques fueron más cortos con un ancho de banda y volumen más bajos. Ha habido menos mega ataques (mayores que 100 Gbps): se registraron 8 en el tercer trimestre en comparación con los 12 del segundo trimestre y 17 en el tercer trimestre hace un año. El mayor ancho de banda de ataque DDoS en el tercer trimestre –empleando el botnet XOR DDoS – midió 149 Gbps. Un descenso en relación con el pico de 250 Gbps de un ataque DDoS el trimestre anterior. De los ocho mega ataques, el sector de medios y entretenimiento fue el más frecuentemente atacado, con tres ataques.

Aunque el ancho de banda de los ataques se redujo, en el tercer trimestre una medida diferente de tamaño de ataques alcanzó un récord. Una empresa del sector de medios y entretenimiento fue golpeada por un ataque DDoS récord de 222 millones de paquetes por segundo (Mbps), un leve incremento sobre un ataque récord de 214 Mbps en el segundo trimestre. Este gran ataque puede compararse con un volumen pico medio de 1,57 Mpps para todos los ataques DDoS observados por Akamai en el tercer trimestre. Un ataque de este tamaño podría hacer caer un router de primer nivel, como los que utilizan los proveedores de servicios de Internet (ISPs).

El sector de los juegos online estuvo particularmente afectado por los ataques DDoS en el tercer trimestre de 2015, representando un 50% de los ataques DDoS registrados. El sector de los juegos fue seguido por el de software y tecnología, que sufrió un 25% de todos los ataques. La industria de los juegos online lleva más de un año siendo el objetivo principal de los atacantes.

Los ataques DDoS basado en reflexión resultan más populares que aquellos basados en infección. En vez de invertir tiempo y esfuerzos en la construcción y mantenimiento de botnets DDoS como lo hacían en el pasado, más atacantes DDoS han ido explotando el panorama existente de dispositivos de red expuestos y protocolos de servicios no seguros. Mientras que los ataques DDoS reflexivos solo representaron un 5,9% de todo el tráfico DDoS en el tercer trimestre de 2014, dichos vectores de ataques representaron un 33,19% del tráfico DDoS en el tercer trimestre de 2015.

“Akamai Edge Firewall”, una nueva fuente de datos sobre ataques DDoS

Por primera vez, el informe de seguridad incluye también la actividad de ataques observada en el “Akamai Edge Firewall”, el perímetro de nuestra plataforma. El conjunto de datos del “Akamai Edge Firewall” ofrece una amplia visión sobre la actividad de ataques en el perímetro de la plataforma global –con información sobre el tráfico de ataques procedente de más de 200.000 servidores dotados de tecnología Akamai. Hemos identificado que los 10 principales números de sistema autónomo (ASNs) fuente de tráfico de ataques se originaron principalmente en China y otros países asiáticos, mientras que en Estados Unidos y Europa fue más común el uso de  los reflectores de manera distribuida.

Métricas DDoS

Comparado con el tercer trimestre de 2014

• Incremento del 179,66% del total de ataques DDoS
• Incremento del 25,74 % de los ataques a la capa de aplicaciones (Layer 7)
• Incremento del 198,10 % de ataques DDoS a la capa de infraestructura (Layer 3 & 4)
• Descenso del 15,65 % en la duración media de los ataques: 18,86 vs 22,36 horas
• Descenso del 65,58 % del ancho de banda pico medio
• Descenso del 88,72 % del volumen de ataque pico medio
• Incremento del 462,44 % de los ataques reflexivos
• Descenso del 52,94 % de los ataques > 100 Gbps: 8 vs. 17

Comparado con el segundo trimestre de 2015

• Incremento del 22,79 % del total de ataques DDoS
• Descenso del 42,27 % de los ataques DDoS a la capa de aplicaciones (Layer 7)
• Incremento del 30,21 % de los ataques a la capa de infraestructura (Layer 3 & 4)
• Descenso del 8,87 % en la duración media de los ataques: 18,86 vs 20,64 horas
• Descenso del 25,13 % del ancho de banda pico medio
• Descenso del 42,67 % del volumen pico medio de ataques
• Incremento del 40,14 % de los ataques reflexivos
• Descenso del 33,33 % de los ataques > 100 Gbps: 8 vs. 12

Actividad de ataques a aplicaciones web

En el segundo trimestre de 2015, la vulnerabilidad Shellshock dominó los ataques a las aplicaciones web utilizando HTTPS, pero no fue el caso en el tercer trimestre. Como resultado, el porcentaje de ataques a aplicaciones web enviados sobre HTTP vs. HTTPS volvió a un nivel más normal (88% vía HTTP, 12% vía HTTPS). Es probable que el uso de ataques a aplicaciones web sobre HTTPS crezca a medida que más sitios vayan adoptando tráfico preparado para TLS como capa de seguridad estándar. Los atacantes podrían utilizar también HTTPS con la intención de penetrar en las bases de datos de back-end, a las que típicamente acceden aplicaciones servidas mediante HTTPS.

Al igual que en trimestres anteriores, los ataques por inclusión de ficheros locales (LFI) e inyección SQL (SQLi) fueron de lejos los vectores de ataques a aplicaciones web más comunes de todos los clasificados. La industria retail fue golpeada más fuertemente, recibiendo el 55% de los ataques a aplicaciones web, llegando la industria de servicios financieros en una alejada segunda posición, con un 15% de los ataques. Los ataques a aplicaciones web se basaron principalmente en botnets que aprovecharon routers y dispositivos no seguros ubicados en hogares.

El tercer trimestre también fue notable por un incremento de los intentos de ataques a plugins de WordPress, no solo para plugins populares sino también para plugins vulnerables menos conocidos.

En el tercer trimestre de 2015, Estados Unidos fue la principal fuente de ataques a aplicaciones web, representando un 59% del tráfico de origen de ataques, y también fueron el objetivo del 75% de dichos ataques. Los tres primeros Números de Sistema Autónomo (ASNs) fueron asociados a sistemas privados virtuales (VPS) pertenecientes a proveedores cloud bien conocidos en USA. Muchos de los servidores virtuales basados en la nube que se lanzan cada día carecen de la seguridad suficiente y están comprometidos y usados en una botnet u otra plataforma de ataques.

Un vistazo a los “website scrapers”

Un “scraper” es un tipo específico de bot cuyo propósito es adquirir, almacenar y analizar datos de los sitios web objetivos, luego vende o utiliza los datos. Un ejemplo de scraper benigno es un bot de motor de búsqueda. Otros ejemplos son agregadores de clasificados, revendedores y servicios de analítica SEO. En una sección del informe de seguridad se habla de los scrapers y se ofrece una fácil manera de identificarlos.

Métricas de ataques a aplicaciones web

Comparado con el segundo trimestre de 2015

• Incremento del 96,36% de los ataques a aplicaciones web HTTP
• Descenso del 79,02% de los ataques a aplicaciones web HTTPS
• Incremento del 21,64% de los ataques SQLi
• Incremento del 204,73% de los ataques LFI
• Incremento del 57,55% de los ataques RFI
• Incremento del 238,98% de los ataques PHPi

Descargue el informe

Está disponible una copia gratuita del Informe de Seguridad – Estado de Internet del Tercer Trimestre de 2015 en PDF en www.stateoftheinternet.com/security-report.

La entrada Akamai Publica el Informe de Seguridad – Estado de Internet 3er Trimestre 2015 se publicó primero en PCFORMAT MX.