De acuerdo con la actividad de seguimiento de Trend Micro, exploraron tres grupos criminales de diferentes tamaños para determinar cómo se comparan con negocios legítimos de tamaño similar en términos de cómo están organizados. También se discutieron las ventajas de conocer el tamaño objetivo de una organización de ciberdelincuencia para los investigadores de delitos cibernéticos.
El panorama de las amenazas cibernéticas en las últimas dos décadas ha evolucionado claramente: desde una era de ataques cibernéticos impulsados principalmente por investigaciones ofensivas con cargas destructivas, el espacio del crimen cibernético se ha convertido en un terreno fértil para los actores malintencionados que se han organizado en grupos para buscar ganancias financieras colectivamente.
Apostar por un reclamo decisivo en un mercado enormemente lucrativo ha motivado a una nueva generación de ciberdelincuentes a adaptarse y organizarse de maneras que tienen un parecido sorprendente con las corporaciones legítimas. La investigación revela que a medida que aumentan la membresía y los ingresos de los grupos de delitos cibernéticos, se crean capas de jerarquía en el proceso, lo que hace que su estructura organizativa sea más compleja.
Eso viene a resultar en un par de pregunta importantes dentro de este estudio que realiza Trend Micro y son las siguientes:
El tamaño importa: ¿Existen las sociedades de ciberdelincuencia? ¿Por qué es importante?
Las organizaciones delictivas, como cualquier otro grupo humano, tienden a hacerse más complejas a medida que crecen. Esta complejidad se manifiesta a medida que un grupo forma grupos similares a departamentos, con directivos al mando que dependen de otros situados más arriba en la jerarquía. Esto ya lo sabemos por las empresas y sus subdivisiones departamentales:
- Los grupos de ciberdelincuentes suelen organizarse como empresas. Las estructuras más complejas evolucionan a medida que un grupo aumenta sus ingresos y su número de miembros.
- Los grandes grupos delictivos son muy complejos en su forma de organizarse, pero no hay muchos. La mayor parte del panorama está formada por equipos muy pequeños de delincuentes que obtienen ingresos moderados. Estos pequeños grupos se componen de unos pocos miembros que operan bajo un modelo de asociación.
- Los grupos delictivos más grandes tienen departamentos similares a los de las empresas, como los de recursos humanos (RRHH) y tecnología de la información (TI), entre otros. Incluso pueden tener programas para empleados, como el reconocimiento de un empleado ejemplar del mes y evaluaciones de rendimiento.
- Las grandes organizaciones delictivas se distinguen no sólo por su tamaño, sino también porque suelen ser más difíciles de gestionar, se enfrentan a más problemas políticos y tienen que lidiar con más delincuentes de bajo rendimiento. Tienen que lidiar con más problemas de confianza, además de gestionar los gastos generales derivados del tamaño de sus operaciones. Crecer sin abordar estas cuestiones afecta negativamente a una organización delictiva a largo plazo.
Los grupos delictivos pequeños suelen estar formados por un jefe de equipo, un codificador, un responsable de apoyo y un administrador de red. Con una plantilla tan reducida, cada uno suele desempeñar múltiples funciones además de las responsabilidades habituales, como la publicidad, la contratación y el manejo del dinero.
Ejemplos
Un ejemplo de pequeña empresa de éxito es Yalishanda. Se trata de uno de los proveedores de servicios de alojamiento a prueba de balas más populares en la comunidad clandestina, según un análisis de Brian Krebs, y se cree que está dirigido por sólo dos personas.
Las empresas delictivas medianas tienen una estructura más jerárquica, como las que suelen encontrarse en las empresas legales. Suelen tener un organigrama piramidal que describe la autoridad dentro de la organización, con una persona en la cima que está al mando de toda la empresa.
Un ejemplo de empresa criminal mediana es el grupo GozNym. En mayo de 2019, 10 personas fueron acusadas de este grupo. Según el escrito de acusación, el equipo estaba formado por un líder, un desarrollador, criptógrafos, un especialista en la toma de control de cuentas, un cajero, un administrador técnico, un asistente principal, un “cobrador” o “drop master”, un administrador de un servicio de alojamiento a prueba de balas y spammers4.
Las grandes empresas delictivas tienen estructuras muy jerarquizadas, seguidas de un número cada vez mayor de mandos inferiores y supervisores. La organizaciones delictivas grandes están mucho más estructuradas que las medianas. Las grandes empresas exitosas demuestran asociaciones efectivas con otros, exhiben liderazgo e implementan seguridad operativa (OPSEC). Las grandes organizaciones delictivas son más capaces de competir con otros actores de la ciberdelincuencia que las pequeñas empresas y pueden operar una o más instalaciones físicas. También suelen contratar a más empleados y generar ingresos considerables.
Tambien
Como uno de los grupos de ransomware más prolíficos y notorios de la historia reciente responsable de muchos ataques de alto perfil, elegimos a Conti para examinar el funcionamiento interno de una gran empresa criminal. Conti es un destacado proveedor de ransomware-as-a-service (RaaS) ampliamente considerado como el sucesor del ransomware Ryuk. Los operadores de Conti se han ganado la infamia por su hábil uso de las técnicas de doble extorsión y se sabe que venden accesos a organizaciones de víctimas que se negaron a negociar, además de publicar datos robados.
Independientemente del tamaño, las organizaciones son vulnerables a los ataques de malware modernos, considerados como una de las amenazas importantes para la salud empresarial ahora y en el futuro previsible. Los actores maliciosos tienen todos los motivos para actualizar constantemente su arsenal de malware, idear esquemas más sigilosos para superar a la competencia y obtener una mayor parte de la recompensa. Por lo tanto, es clave una mentalidad proactiva para mitigar los riesgos de los ataques de malware. Recomendamos adoptar las siguientes soluciones de ciberseguridad:
Recomendación
Trend Micro Email Security y Vision One incluida dentro del portafolio de soluciones de seguridad de Nova, son soluciones que nos ayudan a gestionar la ciberprotección en un panorama de amenazas que evolucionan continuamente y nos pueden ayudar a tener una protección todo en uno automatizada y detallada, dentro de la cual Trend Micro Email Security™ ofrece protección continuamente actualizada contra BEC, ransomware, spam y ataques dirigidos avanzados y Trend Micro Vision One™ ofrece una perspectiva más amplia y un mejor contexto para detectar amenazas con las capacidades de XDR líderes de la industria.
Con Trend Micro Email Security, los administradores de correo configuran políticas para gestionar los mensajes de correo electrónico en función de las amenazas detectadas. Por ejemplo, los administradores pueden eliminar el malware detectado de los mensajes entrantes antes de que lleguen a la red corporativa o poner en cuarentena el spam detectado y otros mensajes inapropiados.
Además, Trend Micro Email Security ofrece Email Continuity contra eventos de tiempo de inactividad planificados o no planificados, lo que permite a los usuarios finales continuar enviando y recibiendo mensajes de correo electrónico en caso de una interrupción.
Dentro de las características principales que nos puede ofrecer se encuentran las siguientes:
- Protección por capas: Proporciona una protección completa contra el phishing, el spam y el graymail con múltiples técnicas, como el análisis del remitente, del contenido y de las imágenes, el aprendizaje automático, etc.
- Protección contra el fraude por correo electrónico: Protege contra las estafas BEC con aprendizaje automático mejorado y reglas expertas para analizar tanto el encabezado como el contenido del correo electrónico. Incluye Trend Micro™ Writing Style DNA como capa adicional para llevar a cabo el análisis de autoría para la protección BEC. (Se requiere una licencia de Trend Micro™ Cloud App Security para Writing Style DNA)
- Protección contra exploits de documentos: Detecta el malware avanzado y los exploits en PDF, Microsoft Office y otros documentos mediante una lógica estática y heurística para detectar y examinar las anomalías.
- Protección avanzada contra amenazas: Descubre el malware desconocido mediante múltiples técnicas sin patrones, incluido el aprendizaje automático previo a la ejecución y la tecnología de sandbox de primera categoría de Trend Micro™ Deep Discovery™ para el análisis dinámico de archivos adjuntos potencialmente maliciosos o URLs incrustadas en un entorno virtual seguro.
- Extracción de contraseñas de archivos: Extrae o abre heurísticamente archivos protegidos por contraseña aprovechando una combinación de contraseñas definidas por el usuario y el contenido de los mensajes.
- Tiempo de clic en la URL: Bloquea los correos electrónicos con URLs maliciosas antes de su entrega y vuelve a comprobar la seguridad de la URL cuando el usuario hace clic en ella.
- Verificación y autenticación de la fuente: Incluye Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM), Domain-based Message Authentication, Reporting, and Conformance (DMARC).
De igual forma aproveche las técnicas de detección avanzadas para detectar y responder proactivamente ante las amenazas antes de que realicen cualquier daño. Gracias a Trend Micro Vision One™, obtiene capacidades XDR con funcionalidad completa para profundizar en las capacidades de detección, investigación y respuesta, para que pueda ampliarlas en múltiples capas de seguridad para una mayor visibilidad y respuesta ante amenazas que impactan en toda la organización.
Síguenos en nuestras redes sociales Nova Instagram, Facebook y LinkedIn para más contenido de cibersguridad.
