Sum\u00e9rjase en la evoluci\u00f3n de las t\u00e9cnicas de phishing y evasi\u00f3n de malware y comprenda c\u00f3mo los atacantes utilizan m\u00e9todos cada vez m\u00e1s sofisticados para eludir las medidas de seguridad.<\/span><\/em><\/p>\n “Me gusta mucho el dicho de que ‘Esto est\u00e1 fuera de alcance’, nunca lo dijo ning\u00fan hacker. Ya sean trucos, t\u00e9cnicas o tecnolog\u00edas, los hackers har\u00e1n cualquier cosa para evadir la detecci\u00f3n y asegurarse de que su ataque sea exitoso”.<\/em> dice Etay Maor, estratega jefe de seguridad de Cato Networks y miembro de cat\u00f3n CTRL<\/a>. Los ataques de phishing se han transformado significativamente a lo largo de los a\u00f1os. Hace 15 o 20 a\u00f1os, simples sitios de phishing eran suficientes para capturar la joya de la corona de la \u00e9poca: los datos de las tarjetas de cr\u00e9dito. Hoy en d\u00eda, los m\u00e9todos de ataque y defensa se han vuelto mucho m\u00e1s sofisticados, como detallaremos a continuaci\u00f3n.<\/p>\n “Este es tambi\u00e9n el momento en el que comenz\u00f3 el juego ataque-defensa del “gato y el rat\u00f3n”,”<\/em> dice Tal Darsan, director de seguridad y miembro de Cato CTRL. En ese momento, una importante t\u00e9cnica de defensa contra los sitios de phishing de tarjetas de cr\u00e9dito consist\u00eda en inundarlos con grandes vol\u00famenes de n\u00fameros, con la esperanza de abrumarlos para que no pudieran identificar los detalles reales de la tarjeta de cr\u00e9dito.<\/p>\n Pero los actores de amenazas se adaptaron validando datos utilizando m\u00e9todos como el algoritmo de Luhn para verificar tarjetas de cr\u00e9dito reales, verificando la informaci\u00f3n del emisor a trav\u00e9s de n\u00fameros de identificaci\u00f3n bancaria (BIN) y realizando microdonaciones para probar si la tarjeta estaba activa.<\/p>\n A continuaci\u00f3n se muestra un ejemplo de c\u00f3mo los atacantes validaron los n\u00fameros de tarjetas de cr\u00e9dito ingresados \u200b\u200ben sitios de phishing:<\/p>\n A medida que el phishing se hizo m\u00e1s avanzado, los atacantes agregaron t\u00e9cnicas anti-investigaci\u00f3n para evitar que los analistas de seguridad estudiaran y cerraran sus operaciones. Las estrategias comunes inclu\u00edan el bloqueo de IP despu\u00e9s de un acceso \u00fanico para crear una falsa pretensi\u00f3n de que el sitio de phishing estaba cerrado y la detecci\u00f3n de servidores proxy, ya que los investigadores suelen utilizar servidores proxy cuando investigan. <\/p>\n El c\u00f3digo del atacante para el acceso \u00fanico a la direcci\u00f3n IP:<\/p>\n El c\u00f3digo del atacante para la identificaci\u00f3n del proxy:<\/p>\n Los atacantes tambi\u00e9n han estado aleatorizando las estructuras de carpetas en sus URL durante las \u00faltimas d\u00e9cadas, disuadiendo a los investigadores de rastrear sitios de phishing bas\u00e1ndose en nombres de directorios comunes utilizados en los kits de phishing. Esto se puede ver en la imagen a continuaci\u00f3n:<\/p>\n Otra forma de evadir los controles de seguridad en el pasado era modificar malware<\/a> firmas con servicios de cifrado. Esto lo hac\u00eda indetectable para los sistemas antivirus basados \u200b\u200ben firmas. A continuaci\u00f3n se muestra un ejemplo de un servicio que alguna vez fue muy popular:<\/p>\n Pasemos a otras t\u00e9cnicas de evasi\u00f3n modernas. En primer lugar, un ataque de phishing que se dirige a las v\u00edctimas recopilando informaci\u00f3n detallada del dispositivo (como la versi\u00f3n de Windows, la direcci\u00f3n IP y el software antivirus) para que los atacantes puedan hacerse pasar por el dispositivo de la v\u00edctima.<\/p>\n Estos datos les ayudan a eludir los controles de seguridad, como la verificaci\u00f3n de identificaci\u00f3n del dispositivo, que las organizaciones, como los bancos, utilizan para confirmar inicios de sesi\u00f3n leg\u00edtimos. Al replicar el entorno del dispositivo de la v\u00edctima (por ejemplo, versi\u00f3n de Windows, detalles del reproductor multimedia, especificaciones de hardware), los atacantes pueden evitar sospechas al iniciar sesi\u00f3n desde diferentes ubicaciones o dispositivos.<\/p>\n Algunos servicios de la web oscura incluso proporcionan m\u00e1quinas virtuales preconfiguradas que reflejan el perfil del dispositivo de la v\u00edctima (ver imagen a continuaci\u00f3n), agregando una capa adicional de anonimato para los atacantes y permitiendo un acceso m\u00e1s seguro a las cuentas comprometidas. Esto demuestra c\u00f3mo la ciencia de datos y la personalizaci\u00f3n se han convertido en parte integral de las operaciones criminales.<\/p>\n Otro caso es cuando los defensores se enfrentaron a una banda que utilizaba malware para explotar sesiones bancarias en vivo, esperando a que las v\u00edctimas iniciaran sesi\u00f3n antes de realizar r\u00e1pidamente transacciones no autorizadas. El desaf\u00edo era que estas acciones parec\u00edan provenir de la propia sesi\u00f3n autenticada de la v\u00edctima, lo que dificultaba la detecci\u00f3n.<\/p>\n Esto result\u00f3 en un juego del gato y el rat\u00f3n entre atacantes y defensores:<\/p>\n Esto ilustra la complejidad de detectar fraudes bancarios sofisticados y automatizados en medio de transacciones leg\u00edtimas.<\/p>\n Pasemos ahora a ataques m\u00e1s recientes. Uno de los ataques m\u00e1s destacados analizados por Cato CTRL incluy\u00f3 un inteligente ataque de phishing dise\u00f1ado para imitar el soporte de Microsoft. El incidente comenz\u00f3 con un mensaje de error 403 que dirig\u00eda al usuario a una p\u00e1gina que dec\u00eda ser “soporte de Microsoft”, con indicaciones para “obtener la ayuda y el soporte adecuados”. La p\u00e1gina presentaba opciones para soporte “Inicio” o “Empresa”, pero independientemente de la opci\u00f3n elegida, redirig\u00eda al usuario a una p\u00e1gina de inicio de sesi\u00f3n convincente de Office 365.<\/p>\n Esta p\u00e1gina de inicio de sesi\u00f3n falsa fue dise\u00f1ada como parte de un esquema de ingenier\u00eda social para enga\u00f1ar a los usuarios para que ingresen sus credenciales de Microsoft. El ataque aprovech\u00f3 desencadenantes psicol\u00f3gicos, como la imitaci\u00f3n de mensajes de error y mensajes de soporte, para generar credibilidad y explotar la confianza del usuario en la marca Microsoft. Se trataba de un sofisticado intento de phishing, centrado en la ingenier\u00eda social en lugar de depender \u00fanicamente de t\u00e9cnicas de evasi\u00f3n avanzadas.<\/p>\n En el siguiente an\u00e1lisis, Cato CTRL investig\u00f3 un ataque de phishing que empleaba complejas t\u00e9cnicas de redirecci\u00f3n para evadir la detecci\u00f3n. El proceso comenz\u00f3 con un enlace inicial enga\u00f1oso, disfrazado de un motor de b\u00fasqueda popular en China, que redirig\u00eda a trav\u00e9s de m\u00faltiples URL (usando c\u00f3digos de estado HTTP como 402 y 301) antes de aterrizar finalmente en una p\u00e1gina de phishing alojada en un enlace web descentralizado (IPFS). Esta secuencia de redireccionamiento de varios pasos complica el seguimiento y el registro, lo que dificulta a los investigadores de ciberseguridad rastrear el verdadero origen de la p\u00e1gina de phishing.<\/p>\n A medida que avanzaba la investigaci\u00f3n, el investigador de Cato CTRL encontr\u00f3 m\u00faltiples t\u00e9cnicas de evasi\u00f3n integradas en el c\u00f3digo del sitio de phishing. Por ejemplo, la p\u00e1gina de phishing inclu\u00eda JavaScript codificado en Base64 que bloqueaba las interacciones del teclado, inhabilitando efectivamente la capacidad del investigador para acceder o analizar el c\u00f3digo directamente. Otras t\u00e1cticas de ofuscaci\u00f3n inclu\u00edan puntos de interrupci\u00f3n en las herramientas de desarrollo, que obligaban a la redirecci\u00f3n a la p\u00e1gina de inicio leg\u00edtima de Microsoft para dificultar una mayor inspecci\u00f3n.<\/p>\n Al deshabilitar estos puntos de interrupci\u00f3n en las herramientas de desarrollo de Chrome, el investigador finalmente super\u00f3 estas barreras, permitiendo el acceso completo al c\u00f3digo fuente del sitio de phishing. Esta t\u00e1ctica resalta las sofisticadas defensas en capas que los atacantes implementan para frustrar el an\u00e1lisis y retrasar la detecci\u00f3n, aprovechando el anti-sandboxing, la ofuscaci\u00f3n de JavaScript y las cadenas de redireccionamiento.<\/p>\n Los atacantes adaptan constantemente sus propias t\u00e9cnicas de defensa para evitar ser detectados. Los investigadores se han basado en elementos est\u00e1ticos, como recursos de im\u00e1genes e \u00edconos, para identificar p\u00e1ginas de phishing. Por ejemplo, los sitios de phishing dirigidos a Microsoft 365 a menudo replican logotipos e \u00edconos oficiales sin alterar nombres o metadatos, lo que los hace m\u00e1s f\u00e1ciles de detectar. Inicialmente, esta coherencia proporcion\u00f3 a los defensores un m\u00e9todo de detecci\u00f3n fiable.<\/p>\n Sin embargo, los actores de amenazas se han adaptado aleatorizando casi todos los elementos de sus p\u00e1ginas de phishing.<\/p>\n Para evadir la detecci\u00f3n, los atacantes ahora:<\/p>\n A pesar de estas t\u00e9cnicas, los defensores han encontrado nuevas formas de eludir estas evasiones, aunque es un juego continuo de adaptaci\u00f3n entre atacantes e investigadores.<\/p>\n La clase magistral revela<\/a> muchos m\u00e1s ataques de malware y phishing y c\u00f3mo evaden las medidas tradicionales, que incluyen:<\/p>\n \u00bfC\u00f3mo pueden los defensores ganar ventaja en este juego del gato y el rat\u00f3n? Aqu\u00ed hay algunas estrategias:<\/p>\n Mira la clase magistral completa aqu\u00ed.<\/a><\/p>\n <\/p>\nLa evoluci\u00f3n de los ataques de phishing<\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/Volando-bajo-el-radar-tecnicas-de-evasion-de-seguridad.png\")
<\/a><\/div>\nT\u00e9cnicas anti-investigadores<\/h2>\n
<\/a><\/div>\n<\/a><\/div>\n<\/a><\/div>\nEvadir antivirus<\/h2>\n
<\/a><\/div>\nEvadir la verificaci\u00f3n del dispositivo<\/h2>\n
<\/a><\/div>\nEvadir la detecci\u00f3n de anomal\u00edas<\/h2>\n
\n
<\/a><\/div>\nAtaques de phishing evasivos<\/h2>\n
<\/a><\/div>\nCadena de redireccionamiento enga\u00f1osa<\/h2>\n
<\/a><\/div>\nDetecci\u00f3n basada en recursos de phishing<\/h2>\n
<\/a><\/div>\n\n
\n
\u00bfQu\u00e9 sigue para los defensores?<\/h2>\n
\n