Las organizaciones y los equipos de seguridad trabajan para protegerse de cualquier vulnerabilidad y, a menudo, no se dan cuenta de que el riesgo tambi\u00e9n lo generan las configuraciones en sus aplicaciones SaaS que no se han fortalecido. El m\u00e9todo de ataque GIFShell recientemente publicado, que ocurre a trav\u00e9s de Microsoft Teams, es un ejemplo perfecto de c\u00f3mo los actores de amenazas pueden explotar funciones y configuraciones leg\u00edtimas que no se han configurado correctamente. Este art\u00edculo echa un vistazo a lo que implica el m\u00e9todo y los pasos necesarios para combatirlo. <\/p>\n
El m\u00e9todo de ataque GifShell<\/h2>\n
Descubierto por Bobby Rauch<\/a>, la t\u00e9cnica de ataque GIFShell permite a los malhechores explotar varias caracter\u00edsticas de Microsoft Teams para actuar como C&C para el malware y filtrar datos usando GIF sin ser detectados por EDR y otras herramientas de monitoreo de red. Este m\u00e9todo de ataque requiere un dispositivo o usuario que ya est\u00e9 comprometido. <\/p>\n Aprenda c\u00f3mo un SSPM puede evaluar, monitorear y remediar las configuraciones incorrectas de SaaS y el riesgo de usuario de Dispositivo a SaaS<\/a>.<\/p>\n El componente principal de este ataque permite a un atacante crear un shell inverso que entrega comandos maliciosos a trav\u00e9s de GIF codificados en base64 en Teams y extrae la salida a trav\u00e9s de GIF recuperados por la propia infraestructura de Microsoft. <\/p>\n Como reportado<\/a> por Lawrence Abrams en BleepingComputer, Microsoft est\u00e1 de acuerdo en que este m\u00e9todo de ataque es un problema, sin embargo, “no cumple con los requisitos para una soluci\u00f3n de seguridad urgente”. Ellos “pueden tomar medidas en una versi\u00f3n futura para ayudar a mitigar esta t\u00e9cnica”. Microsoft reconoce esta investigaci\u00f3n pero afirma que no se han pasado por alto los l\u00edmites de seguridad. <\/p>\n Si bien Rauch afirma que, de hecho, “se descubrieron dos vulnerabilidades adicionales en Microsoft Teams, la falta de aplicaci\u00f3n de permisos y la falsificaci\u00f3n de archivos adjuntos”, Microsoft argumenta: “Para este caso… todos estos son posteriores a la explotaci\u00f3n y dependen de un objetivo que ya est\u00e1 comprometido”. Microsoft afirma que esta t\u00e9cnica utiliza funciones leg\u00edtimas de la plataforma Teams y no es algo que puedan mitigar actualmente. <\/p>\n De acuerdo con las afirmaciones de Microsoft, de hecho, este es el desaf\u00edo que enfrentan muchas organizaciones: hay configuraciones y caracter\u00edsticas que los actores de amenazas pueden explotar si no se fortalecen. Algunos cambios en las configuraciones de su inquilino pueden evitar estos ataques entrantes de inquilinos de Teams desconocidos.<\/p>\n Hay configuraciones de seguridad dentro de Microsoft que, si se fortalecen, pueden ayudar a prevenir este tipo de ataque. <\/p>\n 1 \u2014 Deshabilitar el acceso externo:<\/b> Microsoft Teams, de forma predeterminada, permite que todos los remitentes externos env\u00eden mensajes a los usuarios dentro de ese inquilino. Es probable que muchos administradores de la organizaci\u00f3n ni siquiera sepan que su organizaci\u00f3n permite la colaboraci\u00f3n de equipos externos. Puede endurecer estas configuraciones:<\/p>\n 2 \u2014 Obtener informaci\u00f3n sobre el inventario de dispositivos:<\/b> Puede asegurarse de que todos los dispositivos de su organizaci\u00f3n sean totalmente compatibles y seguros mediante el uso de su soluci\u00f3n XDR\/EDR\/Gesti\u00f3n de vulnerabilidades, como Crowdstrike o Tenable. Las herramientas de seguridad de punto final son su primera l\u00ednea de defensa contra actividades sospechosas, como acceder a la carpeta de registro de equipos locales del dispositivo que se utiliza para la filtraci\u00f3n de datos en GIFShell.<\/p>\n Incluso puede ir un paso m\u00e1s all\u00e1 e integrar una soluci\u00f3n SSPM (SaaS Security Posture Management), como Adaptive Shield, con sus herramientas de seguridad de punto final para obtener visibilidad y contexto para ver y administrar f\u00e1cilmente los riesgos que se derivan de este tipo de configuraciones, su SaaS usuarios y sus dispositivos asociados.<\/p>\n Hay dos m\u00e9todos para combatir las configuraciones incorrectas y fortalecer las configuraciones de seguridad: detecci\u00f3n y reparaci\u00f3n manual o una soluci\u00f3n SaaS Security Posture Management (SSPM) automatizada. Con la multitud de configuraciones, usuarios, dispositivos y nuevas amenazas, el m\u00e9todo manual es una p\u00e9rdida de recursos insostenible que deja a los equipos de seguridad abrumados. Sin embargo, una soluci\u00f3n SSPM, como Escudo adaptativo<\/a>, permite a los equipos de seguridad obtener un control total sobre sus aplicaciones y configuraciones SaaS. El SSPM correcto automatiza y agiliza el proceso de monitoreo, detecci\u00f3n y correcci\u00f3n de errores de configuraci\u00f3n de SaaS, acceso de SaaS a SaaS, IAM relacionado con SaaS y riesgo de usuario de dispositivo a SaaS de conformidad con los est\u00e1ndares de la industria y de la empresa. <\/p>\n En casos como el m\u00e9todo de ataque GifShell, las funciones de gesti\u00f3n de configuraci\u00f3n incorrecta de Adaptive Shield permiten a los equipos de seguridad evaluar, monitorear, identificar y alertar continuamente cuando hay una configuraci\u00f3n incorrecta (consulte la figura 1). Luego, pueden remediar r\u00e1pidamente a trav\u00e9s del sistema o usar un sistema de emisi\u00f3n de boletos de su elecci\u00f3n para enviar los detalles pertinentes para una remediaci\u00f3n r\u00e1pida. <\/p>\n De manera similar, la funci\u00f3n Inventario de dispositivos de Adaptive Shield (que se ve en la figura 2) puede monitorear los dispositivos que se usan en toda la empresa y se\u00f1alar cualquier riesgo de Dispositivo a SaaS mientras correlaciona esa informaci\u00f3n con los roles y permisos de los usuarios y las aplicaciones SaaS en uso. Esto permite que los equipos de seguridad obtengan una visi\u00f3n hol\u00edstica de la postura del usuario y el dispositivo para proteger y asegurar los dispositivos de alto riesgo que pueden representar una amenaza cr\u00edtica en su entorno SaaS. <\/p>\n\u00bfComo funciona?<\/h4>\n
\n
la respuesta de microsoft<\/h2>\n
C\u00f3mo protegerse contra el ataque GIFShell<\/h2>\n
\n\n
\n ![\"Ataque](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/09\/1663606947_235_Ataque-GIFShell-de-Microsoft-Teams-que-es-y-como-puede.jpg\" "\\"Ataque")
<\/td>\n<\/tr>\n\n Figura 1: Configuraciones de acceso externo de Microsoft Teams<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n
\n
C\u00f3mo automatizar la protecci\u00f3n contra estos ataques <\/h2>\n
\n\n
\n ![\"Ataque](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/09\/1663606947_394_Ataque-GIFShell-de-Microsoft-Teams-que-es-y-como-puede.jpg\" "\\"Ataque")
<\/td>\n<\/tr>\n\n Figura 2. Vista horizontal de la higiene de la aplicaci\u00f3n SaaS<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n\n
\n ![\"Ataque](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/09\/1663606947_894_Ataque-GIFShell-de-Microsoft-Teams-que-es-y-como-puede.jpg\" "\\"Ataque")
<\/td>\n<\/tr>\n\n Figura 3. Inventario de dispositivos<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n