Ataque dirigido

Un ataque dirigido es una actividad ofensiva muy focalizada, diseñada para comprometer un objetivo concreto: una organización, una persona o una infraestructura crítica.

Lo que lo caracteriza es la planificación. Los atacantes usan información detallada sobre el objetivo para maximizar sus posibilidades, y adaptan el ataque a lo que van encontrando en vez de reutilizar lo mismo en todas partes.

Los ataques dirigidos suelen ser sofisticados: usan herramientas a medida y técnicas de evasión para pasar las defensas y llegar a un objetivo concreto, ya sea robar datos, espiar, sabotear o interrumpir operaciones que importan.

Son lo contrario del extremo indiscriminado y automatizado del espectro, donde el malware corriente se lanza contra todo el mundo y le toca a quien esté sin parchear.

Qué lo caracteriza

Primero el reconocimiento. Antes de disparar nada, los atacantes dedican tiempo a reunir información sobre la infraestructura, la plantilla, los sistemas y los procesos del objetivo. Eso incluye identificar a los empleados clave, mapear lo que está expuesto y hacerse una idea de qué vulnerabilidades existen. Buena parte de eso es inteligencia de fuentes abiertas y no deja rastro en los sistemas del objetivo.

Personalización. Las herramientas y las técnicas se adaptan a este objetivo: malware construido para ese entorno, pretextos escritos alrededor de detalles internos reales, momentos elegidos según cómo funciona de verdad la organización.

Varias fases. Acceso inicial, escalada de privilegios, persistencia, movimiento lateral y, por último, exfiltración. Cada fase se planifica por separado, y perder un punto de apoyo no acaba necesariamente con la operación.

Pasar desapercibidos. La evasión forma parte del diseño en vez de ser algo que se añade después: el living off the land, mezclarse con el tráfico administrativo normal y elegir el camino silencioso antes que el rápido.

Un ejemplo

Una empresa de tecnología está desarrollando un producto que ha atraído la atención de sus competidores.

Un grupo con oficio decide ir a por la propiedad intelectual que hay detrás.

En la fase de reconocimiento identifican a los ingenieros con acceso al diseño, y usan un mensaje de phishing cuidadosamente escrito para comprometer las credenciales de uno de los veteranos.

Una vez dentro, mapean la red con herramientas elegidas para parecer corrientes, escalan donde pueden y siguen avanzando en silencio. A lo largo de varias semanas establecen suficiente persistencia como para que perder una cuenta no les cueste el acceso, y acaban llegando al material que venían a buscar y sacándolo fuera.

La intrusión se descubre más tarde, cuando alguien se fija en un tráfico que no encaja y una investigación tira del hilo hacia atrás. Ese momento es justo la cuestión: lo que decidió el resultado no fue el perímetro, fue cuánto tiempo pasó desapercibido el movimiento de dentro.

Ataque dirigido, APT y spear phishing

Los tres describen ataques contra un objetivo elegido, y los tres se usan como intercambiables, sobre todo en prensa.

El ataque dirigido es la categoría: alguien te eligió a ti y adapta el ataque a cómo eres, en vez de lanzar lo mismo contra todo el mundo a ver qué cae.

Una amenaza avanzada persistente añade dos cosas: recursos y permanencia. No solo te eligió; está dispuesta a quedarse meses y valora más el acceso silencioso que la ganancia inmediata. Todo APT es un ataque dirigido; no todo ataque dirigido es un APT. Un fraude del CEO dirigido a un solo responsable financiero está dirigido y se acaba en una semana.

El spear phishing no es una categoría, sino un vector: el mensaje escrito para una sola persona con datos reales sobre ella. Es la forma más común de que empiece un ataque dirigido, y aparece también en ataques que no son dirigidos en absoluto.

La palabra avanzado engaña, y conviene decirlo: la vía de entrada casi nunca es exótica. Un correo a cuatro personas, un proveedor con acceso a la red, un equipo sin parchear en el perímetro o unas credenciales compradas a un intermediario. Lo sofisticado viene después, en el cuidado con el que se mueven una vez dentro.

De ahí sale la consecuencia práctica: contra alguien que va a seguir intentándolo durante meses, apostarlo todo a la prevención es la apuesta equivocada. La pregunta que importa es cuánto se tarda en notar el movimiento de dentro, y esa es una pregunta de detección y respuesta.

En una frase: dirigido dice a quién, APT dice con cuántos recursos y durante cuánto tiempo, y spear phishing dice por dónde entraron.

Dónde leer más

MITRE ATT&CK: el marco que cataloga las tácticas, técnicas y procedimientos que se ven en intrusiones reales, incluidos los típicos de las operaciones dirigidas.

Mandiant M-Trends: un análisis anual de las tendencias en intrusiones, incluido el tiempo de permanencia, que es el número que te dice cuánto se quedan los atacantes antes de que alguien se dé cuenta.