M- Trends Más allá de un fallo de seguridad

Informe SOBRE amenazas de 2014
Trends
®
Más allá de un
fallo de seguridad
Índice
Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Daños colaterales: el Ejército Electrónico Sirio se hace
literal­mente con todos los titulares. . . . . . . . . . . . . . . . . . . . . . . . 4
Actividad con base en Irán. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
Crédito convertido en efectivo. . . . . . . . . . . . . . . . . . . . . . . . . . . 11
Robo de datos: se llevan hasta el gato. . . . . . . . . . . . . . . . . . . . . 15
Un año después del informe sobre el grupo APT1:
¿qué ha cambiado? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
Conclusión. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
Notas finales. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Acerca de Mandiant® . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Acerca de FireEye™. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
© 2014 Mandiant, A FireEye Company. Reservados todos los derechos.
Introducción
La ciberseguridad se ha convertido en algo convencional. Es increíble lo rápido que
ha pasado de ser un problema específico de los entornos de TI a ser un problema
del consumidor y un asunto prioritario en las salas de juntas. Todo el mundo es
consciente de lo que los expertos en seguridad ya sabían desde hace mucho
tiempo: la seguridad perfecta no existe. Los fallos de seguridad son inevitables,
porque los responsables de las amenazas que se lo proponen siempre encuentran
un modo de abrirse camino por las brechas.
A lo largo del año pasado, Mandiant observó cómo
muchas empresas mejoraron modestamente su
capacidad de combatir las brechas de seguridad.
Un hecho esperanzador es que muchas
organizaciones están detectando los ataques de
forma más rápida. En 2013, el número medio de
días que los agresores estuvieron presentes en
la red de una víctima hasta ser descubiertos fue
de 229, en comparación con los 243 registrados
en 2012. Sin embargo, las organizaciones aún
tienen dificultades para detectar cuándo han
sufrido una intrusión. En 2013, solo el 33 % de
las organizaciones a las que Mandiant prestó sus
servicios se había percatado de la intrusión, frente
a un 37 % en 2012.
No obstante, hay un aspecto que ha cambiado
radicalmente: la disposición de las empresas atacadas
y los responsables políticos a hablar más abiertamente
sobre los fallos de seguridad a los que se enfrentan.
The New York Times y otros medios han publicado
relatos sobre sus propios incidentes. El presidente
Obama abordó la cuestión de las ciberamenazas en
su discurso anual del Estado de la Nación. A esto se
suma la proliferación de las intrusiones a gran escala
en el comercio minorista; es raro aquel que no ha
sufrido las consecuencias de un fallo de seguridad,
ya sea por el robo de los datos de su tarjeta de crédito
o de las credenciales de un sitio web comercial.
www.mandiant.com
En el informe M-Trends de este año, le ofrecemos
la perspectiva de Mandiant sobre la evolución de
las amenazas. Nuestros análisis y datos provienen
directamente de nuestra experiencia al responder
a los incidentes de seguridad de cientos de clientes
en más de 30 sectores distintos. Además, realizamos
un seguimiento de una amplia variedad de agresores
e indicadores sometidos a debate público, y ponemos
en contexto nuestro análisis en los casos pertinentes.
Hay un hecho meridianamente claro: la lista de
posibles objetivos ha aumentado y la cancha de
juego es mayor. Los autores de ciberamenazas
están ampliando las finalidades de las intrusiones
en las redes informáticas para cumplir una serie
de objetivos, tanto en materia de economía como
de política. No están interesados únicamente en
apoderarse de las joyas de la corona de las empresas,
sino también en encontrar modos de hacer campaña
de su ideología, causar daños físicos e influir en las
decisiones políticas globales.
Cada vez más, las empresas privadas se incluyen
entre los daños colaterales de los conflictos políticos.
Dado que no parece haber una solución diplomática
a la vista, la capacidad de detectar y combatir los
ataques ha cobrado más importancia que nunca.
1
LAS VÍCTIMAS EN CIFRAS
Los responsables de las ciberamenazas siguen atacando a una amplia
variedad de sectores. Aunque las organizaciones detectan los ataques
dos semanas antes que hace un año, es menor la probabilidad de
lo hagan por sí mismas.
Sectores objetivo de los ciberdelincuentes
En 2013, Mandiant observó un aumento de la actividad de los ciberdelincuentes
en dos sectores claves.
Servicios financieros
hasta el 15 %
desde el 11 %
Otros
23 %
Medios de
comunicación
y entretenimiento
Educación
hasta el 13 %
desde el 7 %
3%
Servicios jurídicos
3%
Transporte
3%
Fabricación
Productos farmacéuticos
y biotecnología
10 %
4%
Telecomunicaciones
Industria aeroespacial y defensa
4%
6%
Fabricación de productos químicos
4%
Servicios empresariales
Construcción
4%
Comercio
minorista
4%
4%
2
Mandiant M-Trends Más allá de un fallo de seguridad
®
Cómo se detectan los ataques
El
33 %
Tiempo desde la primera
prueba de amenaza hasta
el descubrimiento del ataque
de las víctimas
descubren el ataque
internamente
Se ha reducido, comparado
con el 37 % de 2012
El
67 %
de las víctimas fueron
informadas por una
entidad externa
229 días
de media de presencia de
los grupos de amenazas en la red
de una víctima antes de la detección
14 días menos que en 2012
Presencia más larga: 2287 días
Tendencias del correo electrónico de phishing
El
44 %
Lun
Mar
de los mensajes de phishing observados
estaban relacionados con TI y a menudo
intentaban suplantar el departamento de
TI de la empresa atacada
El 93 % de los mensajes de correo electrónico
de phishing se enviaron durante días laborables
Miér
Jue
Vie
Sáb
Dom
Análisis del panorama de las ciberamenazas
Objetivo
Ejemplo
Molestias
Robo de datos
Ciber­
delincuencia
Hacktivismo
Ataques
a la red
Acceso
y propagación
Ventaja económica
o política
Beneficio
económico
Difamación, publicidad
y activismo político
Escalación
y destrucción
Redes de bots
y spam
Robo de la
propiedad
intelectual
Robo de tarjetas
de crédito
Manipulación
de sitios web
Destrucción de
infraestructura
crítica
Automatizado
Persistente
Oportunista
Notorio
Conflictivo
Selectivo
Carácter
www.mandiant.com
3
Daños colaterales: el ejército
electrónico sirio se hace literal­
mente con todos los titulares
A lo largo del año pasado, diversos conflictos políticos
internacionales originaron ciberataques que afectaron al
sector privado. Mandiant respondió a un creciente número
de incidentes en los que el Ejército Electrónico Sirio (SEA, por
sus siglas en inglés) consiguió acceder a sitios web externos
y a cuentas de redes sociales de diversas organizaciones
con el fin principal de hacer campaña de su causa política.
Según las observaciones que Mandiant ha realizado de la actividad del SEA a lo
largo de 2013, el grupo utilizó dos tácticas para obtener acceso a sus empresas
objetivo: enviar mensajes de correo electrónico de phishing desde cuentas
internas y, a partir de agosto de 2013, atacar a diversos proveedores de servicios
para dañar a sus víctimas a través de ellos.
Mandiant cree que el SEA continuará realizando intrusiones contra sus blancos
de peso con el fin de incrementar la publicidad del régimen sirio y mostrar su
apoyo a su criticado presidente, Bachar el Asad. Aunque estas intrusiones del SEA
no han pasado de la manipulación de algunos sitios web para incluir el logotipo
del SEA e imágenes de Asad, es evidente que han conseguido llamar la atención
a nivel internacional. Y, lo que es más significativo, han logrado aumentar el miedo
a los ciberataques entre los gobiernos y las empresas.
4
Mandiant M-Trends Más allá de un fallo de seguridad
®
¿Qué es el SEA y cuáles son sus motivaciones?
El presidente sirio Bachar el Asad dedicó la mayor
parte de 2013 a luchar por mantener el control del
país. Mientras tanto, el Ejército Electrónico Sirio
(SEA, por sus siglas en inglés), un grupo hacktivista
relacionado con el régimen, libró una campaña online
en paralelo contra los detractores de Asad. Desde su
aparición en 2011, el SEA ha conseguido infiltrarse
en más de 40 organizaciones, principalmente los
sitios web y las cuentas de las redes sociales de
destacadas agencias informativas occidentales.
La finalidad de la ciberactividad del SEA parece ser
dar publicidad y obtener apoyo para el asediado
presidente atacando a los supuestos opositores
del régimen y manipulando sus sitios web. El SEA
ha dirigido sus ataques principalmente a medios
informativos occidentales, en algunos casos
por publicar artículos que, según el SEA, eran
tendenciosos e iban en contra del controvertido líder.
El SEA ganó fuerza a lo largo de 2013, debido al
mayor número de intrusiones y ataques altamente
visibles contra las empresas objetivo.
Las intrusiones del SEA analizadas públicamente
pusieron de manifiesto cómo utilizó el grupo mensajes
de correo electrónico de phishing para recopilar
credenciales de inicio de sesión válidas y acceder a las
redes seleccionadas. Aunque las agencias informativas
occidentales siguen siendo el blanco principal del SEA,
en agosto de 2013 se produjo un claro cambio en la
táctica de este grupo, que comenzó a atacar a más
proveedores de servicios, incluidos SocialFlow, Outbrain,
Melbourne IT y el Registro de Dominios de Qatar.
En la intrusión efectuada en octubre en el Registro
de Dominios de Qatar, el SEA se introdujo en sitios
gubernamentales y frecuentados de Qatar, incluidos
Al Jazeera y el Ministerio de Asuntos Exteriores. El SEA
ha seguido utilizando mensajes de correo electrónico
de phishing como método de intrusión inicial.
CASO PRÁCTICO: EL SEA ATACA UNA AGENCIA DE NOTICIAS
En 2013, el SEA manipuló el sitio web público de
una agencia de noticias y publicó mensajes desde
las cuentas de Twitter de esta dejando claro que
"el Ejército Electrónico Sirio había estado allí". El SEA
ejecutó una campaña rapidísima de phishing que
permitió al grupo acceder a las cuentas de correo
electrónico de diversos empleados, a un sistema
de gestión de contenidos y a la cuenta de Twitter
de la empresa. Los mensajes de correo electrónico
de phishing contenían un enlace a un sitio web que
se hacía pasar por la página de inicio de sesión del
correo electrónico externo de la agencia de noticias.
El sitio web recopiló las credenciales de empleados
desprevenidos que introdujeron sus datos de
inicio de sesión.
Los mensajes de correo electrónico de phishing
del SEA eran breves y contenían cebos informativos
con URL visibles de supuestas noticias. Las URL
ocultaban enlaces incrustados que se dirigían a sitios
maliciosos. Los temas coincidían con las últimas
www.mandiant.com
noticias acontecidas ese mismo día. Esta técnica
se aplicó de forma sistemática en todos los mensajes
de correo electrónico de phishing.
Después de la campaña inicial de phishing, el SEA
utilizó las credenciales robadas para acceder al
sistema de correo electrónico externo de la agencia de
noticias, que no requería autenticación de dos factores.
Con estas cuentas en su poder, el SEA inició una
segunda campaña de phishing dirigida en un principio
a listas de distribución de correo electrónico específicas.
Su meta era obtener las credenciales de las cuentas de
usuario que habían accedido al sistema de gestión de
contenidos del sitio principal y a la cuenta de Twitter de
la empresa. Finalmente, el SEA envió miles de mensajes
de correo electrónico de phishing a un elevado número
de empleados en un periodo de tres horas. A pesar de
tener un éxito de solo el 0,04 %, los mensajes de correo
electrónico de phishing permitieron al SEA recopilar las
credenciales necesarias para acceder a los recursos
que le interesaban.
5
Figura 1: Cronología del ataque del SEA a una agencia de noticias
DÍA 1
Ataque de phishing
selectivo inicial
El SEA ataca
inicialmente
a una agencia
de noticias con
mensajes de
correo electrónico
de phishing.
DÍA 2
22 min después
31 min después
3 horas después
4 horas después
26 horas después
Los autores de
amenazas del SEA
inician una sesión
en cuentas de
correo web con
las credenciales
robadas de los
empleados.
El SEA envía una
segunda tanda de
mensajes desde
las cuentas de
correo electrónico
internas.
El SEA utiliza
credenciales
válidas obtenidas
a partir de su
campaña de
phishing para
acceder a la red
de la agencia de
noticias y para
autenticarse en el
sistema de gestión
de contenidos.
El SEA manipula
el sitio web
público de la
agencia de
noticias y publica
artículos y tweets
no autorizados
desde los sitios
web y la cuenta
de Twitter de
la agencia.
La agencia de
noticias restablece
las contraseñas de
la red y consigue
bloquear los
25 intentos del
SEA de volver
a acceder.
A las dos horas
del primer mensaje de
phishing, el SEA obtuvo
las credenciales del
sitio web principal de la
agencia de noticias.
6
DÍA 3
A las dos horas del primer mensaje de phishing, el SEA obtuvo las credenciales
del sitio web principal de la agencia de noticias. Los usuarios se autenticaban
en la empresa por medio de su infraestructura LDAP. Utilizando las credenciales
comprometidas, el SEA aprovechó esta configuración para autenticarse
directamente en el sistema de gestión de contenidos, que era externo.
A partir de aquí, pudo manipular los artículos publicados.
Con tres horas de intrusión, el SEA había obtenido acceso a una cuenta de
correo electrónico de marketing asociada a la cuenta de Twitter de la empresa.
Sin embargo, la contraseña de la cuenta de Twitter no coincidía con ninguna de
las cuentas interceptadas del sistema de gestión de contenidos. Para superar este
obstáculo, el SEA hizo uso de la cuenta de correo electrónico de marketing para
cambiar la contraseña de Twitter de la agencia. Cuando se produjo el ataque,
Twitter no contaba con autenticación de dos factores. Con las nuevas contraseñas
de Twitter, el agresor solo tuvo que iniciar sesión en Twitter para empezar a enviar
tweets no autorizados.
Mandiant M-Trends Más allá de un fallo de seguridad
®
FIGURA 2: Mensajes de correo electrónico de phishing utilizados por el SEA
Cronología de un ataque
Tras investigar el incidente, Mandiant averiguó que los responsables de las
amenazas del SEA no habían intentado acceder a la red subyacente de la agencia
de noticias. No obstante, el grupo sí que realizó al menos 25 intentos fallidos
de autenticarse en la instancia de correo electrónico externo con credenciales
de usuario válidas dos días después de la primera intrusión. Para entonces,
la empresa ya había cambiado las credenciales de todas las cuentas de
usuario interceptadas. Por el nivel de actividad de las cuentas y los tiempos,
Mandiant cree que la intrusión la llevaron a cabo uno o dos agentes del SEA.
CONCLUSIÓN De aquí en adelante, las organizaciones deben ser conscientes de que
pueden pasar a formar parte de los daños colaterales de los conflictos políticos, entre los en los
que se produzcan ciberataques.
www.mandiant.com
7
Actividad con base en Irán
La mayoría de estos
agresores establecidos
supuestamente en
Irán se centraron en
el sector energético.
También han
atacado las redes de
diversos organismos
gubernamentales
de Estados Unidos.
Los responsables de amenazas establecidos en Irán también se
hicieron más activos a lo largo del año pasado. Aunque Irán se
ha considerado durante mucho tiempo un agresor de segundo
nivel tras China y Rusia, recientes especulaciones barajan
el interés de Irán por perpetrar ataques ofensivos contra las
redes de objetivos con infraestructuras críticas1. Se sospecha
firmemente que Irán está detrás de las infecciones de
malware de agosto de 2012 dirigidas a las redes de dos
empresas del sector energético: Saudi Aramco y RasGas
en Qatar. Los analistas del sector sugirieron que el gobierno
iraní auspició el ataque después de que unas instalaciones
nucleares iraníes se infectasen con el virus Stuxnet que, según
la opinión generalizada, fue obra de Estados Unidos e Israel.
En una publicación online, el grupo Izz ad-Din al-Qassam reivindicó la autoría
de dos ataques de denegación de servicio distribuido (DDoS) en 2012 contra
bancos estadounidenses como represalia por un vídeo antiislamista creado por
un ciudadano de EE. UU.2. Tras los ataques, altos cargos del país en materia
de defensa declararon que sospechaban que el grupo operaba fuera de Irán3, 4.
No hemos observado directamente a estos responsables de amenazas
establecidos en Irán destruir o degradar las redes de nuestros clientes. Sin
embargo, Mandiant ha investigado diversos incidentes que, sospechamos, eran
actividades de reconocimiento de redes con base en Irán. La mayor parte de estos
8
Mandiant M-Trends Más allá de un fallo de seguridad
®
incidentes estaban dirigidos al sector energético,
aunque también hemos comprobado que estos
creadores de amenazas tienen entre sus objetivos
las redes de varios organismos gubernamentales
de Estados Unidos.
Responsables de amenazas supuestamente
establecidos en Irán atacan a un organismo
del gobierno estadounidense
Los empleados de un organismo del gobierno estatal
hallaron pruebas de que alguien había accedido
a diversos sistemas de su red sin autorización.
Tras una investigación interna del departamento
de TI, se encontraron indicios de robo de datos y de
usos no autorizados de credenciales con privilegios.
La investigación de Mandiant sobre la respuesta al
incidente reveló que el responsable de la amenaza:
»»
Mantuvo un acceso administrativo de carácter local.
»»
Infectó una cuarta parte de los sistemas con malware.
»»
Transfirió más de 150 gigabytes de datos, entre los
que se incluían diagramas de la red, contraseñas
de usuario y datos de las cuentas de los
administradores del sistema y la red (información
que coincidía con el reconocimiento de redes).
En las investigaciones que hemos realizado en
Mandiant sobre la actividad supuestamente radicada
en Irán, hemos observado los siguientes detalles
lingüísticos y técnicos:
»»
Uso en un entorno cliente de una herramienta
de denegación de servicio distribuido (DDoS)
utilizada anteriormente en 2012 en ataques contra
instituciones bancarias estadounidenses atribuidos
de forma generalizada a ciberdelincuentes
establecidos en Irán
»»
Uso de shells web en los que los términos de
comandos en inglés se habían traducido al persa
»»
Visitas a foros de hackers y blogs en persa al mismo
tiempo que se llevaban a cabo intrusiones desde
numerosas direcciones IP de procedencia no iraní
»»
Múltiples personas que identificaban su ubicación
en Teherán y parecían crear activamente exploits
que habíamos observado en intrusiones a las redes
de nuestros clientes
www.mandiant.com
Las observaciones de Mandiant en torno a los supuestos
ejecutores iraníes no ponen de manifiesto ningún indicio
de que posean las herramientas y la capacidad propias
de los autores de ciberamenazas de amplio espectro
bien preparados. Utilizan herramientas de dominio
público y aprovechan únicamente vulnerabilidades
basadas en la Web, restricciones que sugieren que
tienen una capacidad relativamente limitada.
Entre los hechos indicativos de esta capacidad
limitada se incluyen los siguientes:
»»
Utilizan únicamente un grupo reducido de
herramientas a la venta y unas cuantas herramientas
personalizadas compiladas a partir de código incluido
en otros exploits de acceso público. Un agresor más
competente utilizaría herramientas personalizadas
más efectivas, como un exploit desconocido o con
código personalizado.
»»
Utilizan sus direcciones IP y dominios maliciosos
durante un año como mínimo, aunque el hecho de
que se conozcan públicamente entorpece el éxito
de sus metas. Este comportamiento indica que no
cuentan con los incentivos o los recursos necesarios
para cambiar la infraestructura.
»»
No suelen esconder las pruebas de su actividad,
utilizar técnicas que no generen pruebas forenses
ni volver al entorno atacado después de que la
víctima haya solucionado los fallos de los sistemas
comprometidos. Por eso, las víctimas han podido
detectar la intrusión.
»»
Sacan provecho principalmente de las
vulnerabilidades de sitios web externos,
en general mediante una o dos herramientas
de dominio público diseñadas para sacar partido
de vulnerabilidades temporales.
Hasta la fecha, Mandiant ha observado que estos
autores de amenazas solo atacan redes vulnerables
a herramientas de acceso público. Ha comprobado
que no insisten en un objetivo si no consiguen acceder
a su red, lo que sugiere que no han sido capaces de
adaptarse al entorno del objetivo. El robo de datos
de estos ciberdelincuentes no respondía a una meta
tangible ni a un propósito probado, lo que nos hace
creer que la finalidad de la misión era probablemente
el reconocimiento de las redes del objetivo en cuestión.
9
Figura 3: Observaciones de Mandiant sobre la actividad de amenazas de grupos
supuestamente establecidos en Irán frente a grupos establecidos en China
Establecidos en Irán
Establecidos en China
2
Sector energético y organismos estatales
33
Mayoría de sectores industriales
Limitada y basada en
las vulnerabilidades
Diversa y con independencia
de las vulnerabilidades
Herramientas de acceso público
Herramientas de acceso público
especialmente creadas y personalizadas
Fecha de las observaciones
iniciales de Mandiant
2012
Al menos desde 2006
Detección por parte de la víctima
75 %
33 %
28 días
243 días
No se ha observado
En el 40 % de los casos
Sectores objetivo
Selección de víctimas
Herramientas disponibles
Tiempo medio invertido en la
organización atacada
Segunda intrusión después del
primer incidente de seguridad
Aunque dudamos de que estos agresores establecidos
supuestamente en Irán cuenten con una verdadera
preparación en estos momentos, nada impide que
pongan a prueba y mejoren su capacidad. El carácter
cada vez más público de los debates entre Estados
Unidos y otros países, cada vez más públicas, en
torno a su capacidad ciberofensiva podrían animar a
otros ciberdelincuentes a desarrollar y poner a prueba
sus propias habilidades.
CONCLUSIÓN Aunque los autores de amenazas supuestamente establecidos en
Irán que Mandiant ha observado parecen ser menos sofisticados que otros, suponen una
amenaza creciente debido a la hostilidad histórica de Irán con respecto a los intereses
gubernamentales y empresariales de Estados Unidos. Los resultados de las negociaciones
diplomáticas entre Irán y los gobiernos occidentales sobre su programa nuclear podrían ser
cruciales en el impacto final de los creadores de amenazas establecidos en Irán.
10
Mandiant M-Trends Más allá de un fallo de seguridad
®
Crédito convertido en efectivo
En 2013 no solo nos enfrentamos a ciberoperaciones políticas.
Mandiant respondió a un número creciente de incidentes
de robo financiero, muchos de ellos dirigidos al sector del
comercio minorista. En todos los incidentes que investigamos,
fue un tercero —normalmente uno de los principales bancos
o marcas de tarjetas de crédito— quien informó al comercio
del ataque. Sin embargo, en algunos casos las fuerzas de
seguridad se encargaron de comunicárselo a las víctimas.
Los autores de la amenaza mantuvieron su acceso a los
sistemas vulnerados durante un periodo de hasta seis meses.
Los responsables de la amenaza buscaban los datos almacenados en las pistas
de la banda magnética de las tarjetas de crédito. Hay dos tipos de datos: los de
la pista 1 y los de la pista 2. Los datos de la pista 1 incluyen información como
el número de cuenta principal, la fecha de caducidad y el nombre del titular
de la tarjeta. Los datos de la pista 2 incluyen el número de cuenta principal
y la fecha de caducidad, entre otros. Los agresores atacaron servidores,
controladores y terminales punto de venta basados en Windows para obtener
esta información, que les permitiría falsificar tarjetas de crédito. A lo largo de
los últimos diez años, Mandiant ha combatido diversas intrusiones en el sector
minorista, muchas de ellas llevadas a cabo de forma similar. Sin embargo, hay dos
diferencias significativas que caracterizaron los incidentes que combatimos en
2013: el vector de ataque inicial y el método que los delincuentes utilizaron para
obtener los datos del titular de la tarjeta desde los sistemas punto de venta.
www.mandiant.com
En 2013, en las
intrusiones llevadas
a cabo en el sector
minorista se utilizó
un nuevo vector de
ataque inicial y los
delincuentes emplearon
nuevos métodos para
obtener datos de los
titulares de tarjetas de
crédito desde sistemas
punto de venta remotos.
11
Figura 4: Compra de ACCESO mediante REDES DE BOTS
2
1
Una estación de trabajo de un entorno
corporativo de un comercio minorista
es infectada por un conocido
troyano bancario.
El dueño de la red de bots identifica
al comercio minorista como un objetivo
de gran valor y actualiza la puerta trasera
a una versión más sigilosa para
evitar ser detectado
por el antivirus.
Operador de la
red de bots
M
RO
MP
CO
Com
Sede central del comercio minorista
4
Tres miembros de la organización criminal
cargan otras utilidades para desplazarse
lateralmente y establecer otras puertas
traseras para mantener el acceso.
3
Vector de ataque inicial
Normalmente, los ciberdelincuentes atacaban
y sacaban provecho de las aplicaciones web externas
de las empresas agredidas. Después de comprometer
las aplicaciones web, se desplazaban por el entorno
lateralmente. En los incidentes a los que Mandiant
respondió en 2013, los autores localizaron métodos
de entrada mucho más sencillos: simplemente
obtuvieron acceso directo a los sistemas previamente
vulnerados e infectados por el dueño de una red
de bots. Aunque Mandiant no tiene en su poder
ninguna prueba concluyente de cómo se produjeron
estas transacciones, parece probable que el agresor
comprase el acceso o negociase para obtenerlo.
Identificamos una estación de trabajo de un usuario
en el entorno corporativo del comercio minorista
agredido que se había infectado con un troyano
12
Ciberdelincuente
Tres días después, una organización criminal
especializada en el robo de tarjetas de crédito
consigue que el propietario de la red de bots
le otorgue acceso a la puerta trasera.
bancario común, un elemento de malware de
consumo que suele usarse para interceptar las
credenciales bancarias de los usuarios. En un plazo
de menos de 24 horas después de la infección inicial,
el propietario de la red de bots actualizó la puerta
trasera a una versión más sigilosa diseñada para
evitar su detección por parte de productos antivirus.
Tres días después, una organización criminal
especializada en el robo de datos de titulares de
tarjetas de crédito accedió al troyano modificado
para introducirse en el entorno de la víctima
y cargar otras herramientas para poder desplazarse
lateralmente. También cargaron puertas traseras que
habían adquirido del propietario de la red de bots.
Estas puertas traseras les permitieron mantener
el acceso al entorno de la víctima.
Mandiant M-Trends Más allá de un fallo de seguridad
®
Com
Figura 5: Cómo obtuvieron los agresores acceso a sistemas
punto de venta de establecimientos
1
2
3
Los ciberdelincuentes
aprovecharon pequeños
errores de configuración
en la infraestructura para
identificar los sistemas con
acceso directo a los terminales punto de venta (POS).
Servidor del agresor
Servidor
pivote
Una controladora de
dominio, que ofrecía
autenticación para las
oficinas de la empresa
y las tiendas, proporcionó
el punto vulnerable.
El malware de recopilación
de tarjetas de crédito
desplegado en cada
registro buscó en la
memoria de procesos de
la aplicación punto de
venta los datos de banda
magnética almacenados
en los formatos de pista 1
y pista 2 (ISO/IEC 7813).
Compan
Compan
Entorno
PCI
POS
Sistema 1
Todas las víctimas a las que Mandiant prestó sus
servicios en 2013 hacían uso de un entorno conforme
con la norma de seguridad PCI. En este caso, los
perpetradores aprovecharon pequeños errores de
configuración en la infraestructura para identificar los
equipos con acceso directo a los sistemas punto de
venta. Un controlador de dominio, que proporcionaba
autenticación para las oficinas y los establecimientos
de la empresa, constituyó el punto vulnerable.
Los agresores utilizaron las credenciales del
administrador de dominio interceptadas para
ejecutar un script de procesamiento por lotes de
Windows en el servidor del controlador de dominio
y desplegar malware de recopilación de datos de
POS
Sistema 2
Tienda 1
Despliegue de herramientas de
recopilación de datos en registros remotos
www.mandiant.com
CO
Red
corporativa
ISE
OM
R
MP
POS
Sistema 1
POS
Sistema 2
Tienda 2
POS
Sistema 1
POS
Sistema 2
Tienda 3
tarjetas. En uno de los casos, el malware infectó más
de 1000 registros que ejecutaban software punto de
venta en sistemas operativos Microsoft® Windows® XP
en cientos de tiendas.
Acceso a los datos de titulares de tarjetas
El malware de recopilación de datos de tarjetas
desplegado en cada registro realizó búsquedas en la
memoria de proceso de la aplicación punto de venta
para obtener los datos de las bandas magnéticas
almacenados en las pistas 1 y 2, según el formato
que estipula la norma ISO/IEC 7813. Los autores
aprovecharon las tareas programadas de Windows
para ejecutar el malware cada hora durante el horario
comercial. El malware extrajo los datos, los codificó
y los almacenó en una tabla de base de datos
temporal en el registro.
13
Recomendaciones para una acción inmediata
Los casos de ciberdelincuencia contra minoristas estadounidenses están
aumentando, en parte debido a que las tecnologías de chip y PIN dirigidas a reducir
el fraude con las tarjetas de crédito aún no se han adoptado de forma generalizada
en Estados Unidos. Este cambio de rumbo hacia una tecnología más segura para las
tarjetas de crédito es inminente. Mientras tanto, los comerciantes ya pueden tomar
medidas para mejorar su propia seguridad. Recomendamos lo siguiente:
Consejo: en la
mayor parte de las
investigaciones
realizadas por Mandiant,
se ha observado que
los ciberdelincuentes
utilizaban tareas
programadas de
Windows durante
los ataques. Puede
identificar los primeros
signos de la presencia
de un agresor en su
entorno recopilando
tareas programadas de
todos los sistemas para
comprobar si presentan
actividad sospechosa.
»»
Implementar una segmentación estricta de la red con respecto al entorno
PCI: separe cualquier sistema que gestione datos de titulares de tarjetas del
resto del entorno corporativo. Exija una autenticación de dos factores para
acceder al entorno PCI.
»»
Gestione las cuentas con privilegios: cada sistema del entorno PCI debe
contar con su propia contraseña de administrador local única. Aplique el
principio de "privilegios mínimos" a los permisos de todos los grupos y cuentas,
incluidas las cuentas de servicio.
»»
Cifre los datos de los titulares de las tarjetas de crédito: plantéese utilizar
una solución punto de venta con cifrado asimétrico de extremo a extremo,
empezando por el lector de introducción de PIN.
»»
Endpoints seguros: asegúrese de que todos los sistemas fundamentales
del entorno tengan implementada una lista blanca de aplicaciones. Aplique
los parches pertinentes a todos los sistemas operativos y las aplicaciones
de terceros. Instale una solución de detección y respuesta para amenazas
dirigidas a endpoints. Plantéese implementar una solución de supervisión que
realice un seguimiento de cuándo se han creado los archivos en un sistema.
»»
Lleve a cabo una supervisión activa: supervise el entorno PCI con regularidad
por si se produce una actividad anormal, como inicios de sesión sospechosos,
la creación de archivos inesperados o un flujo de tráfico inusual.
Desde el sistema vulnerado de la oficina corporativa, los agresores usaron la
utilidad osql.exe de Microsoft para realizar consultas en las bases de datos SQL
temporales creadas en los registros. Los resultados se guardaron en un archivo
plano en el equipo comprometido y se comprimieron mediante la utilidad de
compresión 7-Zip. El archivo comprimido se cargó entonces en un sitio web
público de transferencia de archivos.
Este método de almacenar los datos robados en una base de datos temporal antes
de extraerlos de los equipos remotos mediante una consulta SQL es bastante
interesante. Conocemos otros casos en los que el malware de recopilación de
datos guarda los resultados directamente en un archivo o transfiere los datos
automáticamente a un sitio FTP externo.
CONCLUSIÓN Los sistemas que almacenan datos de titulares de tarjetas son
objetivos lucrativos de gran calibre. Los ciberdelincuentes implementarán innovaciones y
realizarán inversiones significativas en nuevas herramientas y tácticas para robar un gran
volumen de datos de tarjetas de crédito. Suponemos que reutilizarán estas tácticas con
todas las empresas objetivo que puedan, a menudo en periodos de tráfico elevado, como
la temporada de compras del periodo vacacional.
14
Mandiant M-Trends Más allá de un fallo de seguridad
®
Robo de datos: se llevan
hasta el gato
Cuando Mandiant responde a un incidente, la primera pregunta
que suelen hacerle los clientes es "¿Por qué me han elegido
como blanco?", seguida a menudo de la reflexión "No tengo
nada que puedan robar". Nuestra respuesta, acuñada durante
muchas investigaciones en los últimos años, es cada vez con
más frecuencia "Sí, claro que lo tiene". El gobierno chino está
ampliando el alcance de sus ciberoperaciones y a los creadores
de amenazas avanzadas establecidos en China les interesa
adquirir datos sobre cómo funcionan las empresas, no solo
sobre cómo fabrican sus productos.
En anteriores informes M-Trends indicábamos que estos delincuentes ahora
eligen sus objetivos claramente fuera de la industria de la defensa y cada vez
son más las campañas intensivas de intrusión que realiza el gobierno chino para
obtener información que ayude a sus empresas públicas. Se trata de robos de
datos que trascienden la propiedad intelectual básica de una empresa e incluyen
información sobre cómo funciona la compañía y cómo toman decisiones sus
ejecutivos y principales responsables.
www.mandiant.com
15
Figura 6: Más que I+D y planos
Medio de
comunicación
Fabricante
Un fabricante
f
de sistemas de alimentación
sufrió un ataque en su red que provocó
sufri
pérdida de datos relacionados con los
la pé
proc
procesos de optimización de fabricación.
Los ciberdelincuentes robaron el contenido
de las
la cuentas de correo electrónico de los
jefes de proyecto de la división de tecnología
de la empresa.
y desarrollo
des
Compañía
energética
Una empresa de comunicación sufrió el
robo de registros financieros, planificaciones,
archivos de investigación, mensajes de
correo electrónico e información de la
libreta de direcciones de altos ejecutivos
y periodistas que informaban
exclusivamente sobre China.
ONG
Una compañía energética, cuyos ejecutivos
y directivos tenían comprometidas sus cuentas
de correo electrónico, sufrió un robo de datos
entre los que se que incluía información
sobre una joint venture con un gobierno
regional chino para un proyecto de
energía limpia.
16
Como resultado de un ataque, una ONG
sufrió el robo de cientos de archivos que
incluían mensajes de correo electrónico,
programas e iniciativas, planes y objetivos
estratégicos, fichas de recursos humanos,
información sobre subvenciones y actas
de reuniones.
Lo que aparece en los titulares:
Y lo que no:
Sistemas armamentísticos vulnerados del
Departamento de Defensa de EE. UU.5:
»» Misiles PAC-3
»» Aviones de combate F-35
»» Sistemas antimisiles balísticos THAAD
»» Sistemas de combate Ageis de la Marina
»» Cazas F/A-18
»» Aeronaves polivalentes V-22 Osprey
»» Helicóptero Black Hawk
»» Navío de guerra costero
Robo de datos con APT de diversa naturaleza
por parte de autores establecidos en China:
»» Mensajes de correo electrónico de ejecutivos
»» Procesos empresariales
»» Planes de negociación
»» Información presupuestaria
»» Organigramas
»» Actas de reuniones
»» Expedientes de recursos humanos
»» Programas e iniciativas
Mandiant M-Trends Más allá de un fallo de seguridad
®
Un año después del informe
sobre el grupo APT1:
¿qué ha cambiado?
La publicación del informe sobre el grupo APT1 de Mandiant
en febrero de 2013 supuso una oportunidad única de
comprobar si las revelaciones sobre la ciberactividad
auspiciada por el gobierno chino podían promover una
solución diplomática al problema del ciberespionaje nacional
en favor de las de entidades del sector privado. ¿Podría esto
trasladar el debate a las esferas presidenciales y lograr un
avance real? Durante un breve periodo de tiempo, obtuvimos
un no por respuesta.
En enero de 2013 se produjo la primera divulgación a gran escala de un grupo de
amenazas persistentes avanzadas (APT) supuestamente vinculado a la República
Popular China (RPC) que había puesto en jaque a un grupo de comunicación
clave de Estados Unidos: The New York Times. En un artículo de primera plana
publicado el 30 de enero de 2013, el New York Times reveló que una banda de
hackers establecida en China, conocido como APT12, había vulnerado sus redes
en los últimos cuatro meses6. El artículo provocó una desafiante respuesta por
parte de la RPC, que declaró que "la legislación china prohíbe cualquier acción
que atente contra la seguridad en Internet, incluida la piratería informática" y que
"acusar al ejército chino de perpetrar ciberataques sin una prueba sólida carece
de profesionalidad y fundamento"7.
www.mandiant.com
Analizamos su actividad:
Basamos nuestras
observaciones de la actividad
de los grupos APT1 y APT12
en sesiones de comando
y control (C2) activas.
Un creador de ciberamenazas
establece una conexión con el
malware en la red de la víctima
para realizar operaciones
en ella. Las sesiones C2
muestran si un operador está
involucrado activamente en
ataques a la red.
17
Al poco tiempo de que la RPC desestimara el caso de The New York Times, Mandiant
publicó el informe sobre APT1, donde presentaba pruebas que vinculaban a la banda
de hackers establecida en China con la RPC, en concreto a la unidad 61398 del
Ejército Popular de Liberación8. La RPC negó una vez más su participación y no tardó
en tildar el informe sobre el grupo APT1 de "poco profesional" y "lleno de lagunas"9.
A pesar de ello, las continuas observaciones llevadas a cabo por Mandiant de la
actividad de los grupos APT1 y APT12, medidas en sesiones de comando y control
(C2), revelaron una respuesta bien distinta entre bambalinas que sugería la posible
confirmación de que ambos grupos habían sido descubiertos.
Mandiant, basándose en comparativas entre la actividad de APT1 y APT12 durante
2013 y los tres años anteriores, cree que estos grupos de amenazas respondieron
a su desenmascaramiento público de dos maneras. En primer lugar, ambos
grupos retrasaron la vuelta a sus operaciones habituales tras los días festivos
por el Año Nuevo chino en febrero. En segundo lugar, ambos grupos cambiaron
rápidamente su infraestructura operativa para continuar con sus actividades.
A pesar de las recientes acusaciones y la consiguiente proyección internacional,
las reacciones de los grupos APT1 y APT12 indican el interés por parte de la RPC
tanto de que se oculte como de que se continúe con el robo de datos. Esto sugiere
que la RPC cree que los beneficios de sus campañas de ciberespionaje pesan
más que los costes de las posibles repercusiones internacionales.
APT1 Y APT12 INTERRUMPEN SUS OPERACIONES
Mandiant observó periodos de inactividad significativamente mayores tanto en el caso
del grupo APT1 como del grupo APT12 después del artículo de The New York Times
y el informe sobre APT1 si se compara con la actividad básica de ambos grupos
durante los tres años anteriores. El grupo APT12 reanudó sus operaciones durante
poco tiempo cinco días después de ser descubierto en el artículo de The New York
Times, pero no retomó su actividad intrusiva sistemática hasta 81 días después.
Incluso entonces, el grupo APT12 esperó a que pasasen unos 150 días después de la
publicación del artículo para reanudar los niveles de actividad previos a la divulgación.
En la Figura 8, se muestra la actividad observada desde enero hasta septiembre de
2013 (línea roja) frente a a actividad media observada entre 2011 y 2012 (línea azul).
El grupo APT1 presentó periodos igualmente prolongados de inactividad después
de su desenmascaramiento en el informe de Mandiant. La publicación del informe
coincidió con el final de la Semana Dorada, siete días festivos oficiales posteriores al
Año Nuevo chino. El grupo APT1 estuvo inactivo durante 41 días más de lo habitual
después de la Semana Dorada y tras la publicación del informe de Mandiant en
comparación con los patrones de actividad del periodo 2010-2012.
Cuando el grupo APT1 reanudó su actividad, lo hizo a un nivel inferior al habitual
antes de retomar su actividad intrusiva sistemática cerca de 160 días después
de su incriminación. En la Figura 7 se muestra la actividad del grupo APT1 de
enero a septiembre de 2013 (línea roja) en comparación con la actividad media
observada entre 2010 y 2012 (línea azul).
18
Mandiant M-Trends Más allá de un fallo de seguridad
®
Informe APT1
15
Artículo
del NYT
10
5
Figura 7: Número de sesiones C2 de APT1 en 2013 en comparación con la actividad
básica durante 2010-2012
Media
Se
pt
1-
1Ag
os
l
1Ju
n
1Ju
1M
ay
1Ab
r
M
ar
1-
Ar
tíc
ul
o
de
Añ
lN
o
YT
Nu
ev
o
In
Ch
fo
rm ino
e
AP
T1
1-
En
e
0
2013
120
Año
Nuevo Chino
100
80
Informe APT1
60
40
20
pt
s
1-
Se
1Ag
o
l
1Ju
n
1Ju
1M
ay
1Ab
r
ar
M
1-
in
o
AP
T1
e
fo
r
m
Ch
In
Media
Añ
o
Nu
ev
o
1-
1-
En
e
Fe
b
0
2013
Figura 8: Número de sesiones C2 de APT12 en 2013 en comparación con la actividad
básica durante 2011 y 2012
25
Año
Nuevo Chino
20
Informe APT1
15
Artículo
del NYT
10
5
Media
pt
s
1Se
1Ag
o
l
1Ju
n
1Ju
1M
ay
1Ab
r
ar
M
1-
Ar
tíc
ul
o
de
Añ
lN
o
YT
Nu
ev
o
In
Ch
fo
rm ino
e
AP
T1
1En
e
0
2013
120
www.mandiant.com
Año
Nuevo Chino
19
100
Figura 9: Cronología de los eventos
de 2013: APT1 y APT12
ENE
30 DE ENERO
The New York Times publica el artículo que revela
la intrusión del grupo APT12.
4 DE FEBRERO
La actividad del grupo APT12 se reanuda durante
un breve periodo de tiempo.
FEB
10 DE FEBRERO
Comienza el periodo de días festivos por el
Año Nuevo chino y la Semana Dorada.
18 DE FEBRERO
Mandiant publica un informe en el que vincula al
grupo APT1 con la unidad 61398 del ejército chino.
MAR
25 DE MARZO
La actividad del grupo APT1 se reanuda a un nivel
más bajo de lo habitual.
ABR
24 DE ABRIL
El grupo APT12 retoma su actividad a un nivel
más bajo de lo habitual.
MAY
7-8 DE JUNIO
Se celebra la cumbre presidencial entre
Estados Unidos y China.
JUN
1 DE JULIO
El grupo APT12 retoma su nivel de actividad
previo a las acusaciones.
JUL
Los periodos prolongados de inactividad tanto del
grupo APT1 como del grupo APT12 en respuesta a su
desenmascaramiento público pueden deberse a un
intento de la RPC de evaluar las posibles consecuencias
políticas tras las publicaciones y de reorganizar sus
ciberoperaciones para ocultar mejor su actividad.
APT1 Y APT12 MODIFICARON SU
INFRAESTRUCTURA OPERATIVA
Las observaciones que mantuvo Mandiant sobre
los grupos APT1 y APT12 demostraron que ambos
modificaron su infraestructura tras las revelaciones
del artículo de The New York Times y el informe
de Mandiant.
El informe sobre APT1 incluía más de 3000 indicadores,
entre ellos nombres de dominio, direcciones IP,
certificados de cifrado y hashes de malware basados
en el algoritmo MD5. Después de publicar su informe,
Mandiant observó que el grupo APT1 modificó gran
parte de su arquitectura operativa y sustituyó lo que
se había divulgado en el informe sobre su actividad.
Aunque el artículo de The New York Times no había
revelado la infraestructura operativa del grupo
APT12, Mandiant observó que el grupo también
había implementado cambios en su arquitectura
operativa y había sustituido toda la infraestructura
que los investigadores habían podido sacar a la luz
a raíz de la publicación del artículo10, 11. Mandiant
cree que los cambios en las infraestructuras de los
grupos APT1 y APT12 se debieron directamente
a su divulgación pública, ya que ambos modificaron
aquello que había quedado expuesto y mantuvieron
otras infraestructuras. Creemos que los grupos APT1
y APT12 cambiaron la arquitectura operativa que se
había divulgado en un intento de ocultar sus futuras
operaciones de robo de datos.
22 DE JULIO
El grupo APT1 retoma su nivel de actividad
previo a las acusaciones.
20
Mandiant M-Trends Más allá de un fallo de seguridad
®
Figura 10: Cambios en la infraestructura de APT1 tras la publicación del informe de Mandiant
Nuevas
direcciones
IP asociadas
a la misma
familia de
malware
18 de febrero de 2013
Se publica el informe
APT1 de Mandiant
de
de ju
20 nio
13
16
27
d
de e a
20 bril
13
de
de ma
20 rzo
13
08
de
de en
20 ero
13
17
vi
de em
20 bre
12
28
de
no
pt
i
de em
20 bre
12
9
de
se
de
a
de go
20 sto
12
20
1
d
de e ju
20 lio
12
Direcciones
IP asociadas
a la familia
de malware
utilizada
por APT1 y
descubierta
por
Mandiant
APT1 cambia a direcciones IP utilizadas por una familia de malware
NO PUEDE NI (PROBABLEMENTE) QUIERE PARAR
Las reacciones de los grupos APT1 y APT12 a su difusión pública sugieren
que la RPC, a pesar de negar públicamente su implicación en robos de datos
auspiciados por el Estado, no está dispuesta al cese permanente de sus
ciberoperaciones de intrusión. El uso continuo de las ciberoperaciones por parte
de la RPC puede poner en peligro las futuras relaciones de China con Estados
Unidos. El presidente Obama hizo del ciberespionaje de China el tema principal de
la cumbre presidencial de junio de 2013 entre ambos países, prestando máxima
atención a un problema que el asesor de seguridad nacional Tom Donilon calificó
como "clave de cara al futuro" de las relaciones entre Estados Unidos y China12.
No obstante, según recientes observaciones de Mandiant de la actividad de APT
establecida en China, parece que la RPC no tiene intención de abandonar sus
campañas de ciberespionaje, a pesar de las advertencias expresas del gobierno
de Obama de que su persistencia "iba a suponer un problema muy difícil en las
relaciones económicas" entre los dos países13.
www.mandiant.com
21
Conclusión
A lo largo del año pasado, observamos un cambio drástico
en la frecuencia del debate público en torno a los fallos de
seguridad. Las organizaciones atacadas están ahora más
dispuestas a hablar abiertamente sobre las intrusiones
que han sufrido y los responsables políticos expresan
sus inquietudes tanto a nivel nacional como internacional.
Sin embargo, el mayor debate y conocimiento de los fallos
de seguridad no ha sido suficiente para cambiar la realidad
actual: los fallos de seguridad son inevitables.
Hay una tendencia clara: las organizaciones son más conscientes de las
ciberamenazas que nunca, pero los autores de las amenazas también han
evolucionado para abarcar un ámbito más amplio de objetivos y utilizan un conjunto
de aptitudes más extenso para lograr sus objetivos. En este informe, hemos analizado
casos recientes en los que están involucrados hacktivistas, nuevos creadores de
amenazas, ciberdelincuentes y grupos auspiciados por países que atacan a agencias
informativas, organismos gubernamentales, empresas y organizaciones sin ánimo de
lucro. Aunque las organizaciones objetivo han mejorado los sistemas de defensa de
sus redes, el agresor típico sigue siendo capaz de acceder y navegar por las redes sin
ser detectado durante más de ocho meses. Por otro lado, otros autores de amenazas,
como los hacktivistas, pueden trasmitir su mensaje y dañar a una organización
mediante tácticas sencillas y un poco de empeño.
No obstante, este panorama de amenazas en evolución, aunque complicado,
no tiene por qué resultar desalentador. Para combatir las brechas de seguridad,
las organizaciones necesitan personas debidamente cualificadas y visibilidad de
sus redes, endpoints y registros. Asimismo, necesitan información oportuna sobre
amenazas que les permita identificar actividades maliciosas con mayor celeridad.
Cuando ocurre lo inevitable, la rapidez y el modo de actuar son cruciales.
Los fallos de seguridad son inevitables. ¿Cómo piensa actuar ante ellos?
22
Mandiant M-Trends Más allá de un fallo de seguridad
®
Notas finales
1
Congreso de los Estados Unidos: “Subcommittee Hearing: Cyber Threats from China, Russia and
Iran: Protecting American Critical Infrastructure”. 20 de marzo de 2013. http://homeland.house.gov/
hearing/subcommittee-hearing-cyber-threats-china-russia-and-iran-protecting-american-critical
2
Perlroth, Nicole. Hardy, Quentin. "Bank Hacking was the Work of Iranians, Officials Say".
The New York Times, The New York Times Company. 8 de enero de 2013. Web. 19 de diciembre de
2013. http://www.nytimes.com/2013/01/09/technology/online-banking-attacks-were-work-of-iran-usofficials-say.html?_r=0
3
Perlroth, Nicole. Hardy, Quentin. "Bank Hacking was the Work of Iranians, Officials Say".
The New York Times, The New York Times Company. 8 de enero de 2013. Web. 19 de diciembre de
2013. http://www.nytimes.com/2013/01/09/technology/online-banking-attacks-were-work-of-iran-usofficials-say.html?_r=0
4
Gorman, Siobhan. "Iran Renews Internet Attacks on U.S. Banks". The Wall Street Journal,
Dow Jones & Company. 17 de octubre de 2012. Web. 19 de diciembre de 2013.
5
"Plans for More Than Two Dozen U.S. Weapons Systems — Including an F-35 Fighter — Have Been
Stolen by Chinese Hackers, Claims Pentagon". The Daily Mail, Associated Newspapers, Ltd.
28 de mayo de 2013. Web. 12 de noviembre de 2013.
6
Perlroth, Nicole. "Hackers in China Attacked the Times for Last 4 Months". The New York Times,
The New York Times Company. 30 de enero de 2013. Web. 16 de diciembre de 2013.
7
Perlroth, Nicole. "Hackers in China Attacked the Times for Last 4 Months". The New York Times,
The New York Times Company. 30 de enero de 2013. Web. 16 de diciembre de 2013.
8
"APT1: Exposing One of China’s Cyber Espionage Units". Mandiant. 18 de febrero de 2013. Web.
16 de diciembre de 2013.
9
"Chinese Media Slam Cyber-Hacking Report". Voice of America News, Voice of America. 21 de
febrero de 2013. Web. 16 de diciembre de 2013.
10
Blog de FireEye: http://www.fireeye.com/blog/technical/malware-research/2013/02/an-encounterwith-trojan-nap.html
11
Trend Micro: http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/
wp_ixeshe.pdf
12
Neuman, Scott. "Chinese Cyber-Hacking Discussed at Obama-Xi Summit". The Two-Way,
National Public Radio. 9 de junio de 2013. Web. 17 de diciembre de 2013.
13
Neuman, Scott. "Chinese Cyber-Hacking Discussed at Obama-Xi Summit". The Two-Way,
National Public Radio. 9 de junio de 2013. Web. 17 de diciembre de 2013.
www.mandiant.com
23
Acerca de Mandiant®
Mandiant ha expulsado a autores de amenazas de las redes informáticas y los
endpoints de cientos de clientes en todos los sectores destacados. Somos la
opción definitiva para las empresas incluidas en la lista Fortune 500 y los
organismos gubernamentales que desean protegerse y actuar ante incidentes
de seguridad importantes de cualquier clase.
La mayoría de las operaciones selectivas avanzadas se desarrollan sin ser detectadas
y proliferan sin defensa alguna. Cuando se producen intrusiones, la combinación
única de Mandiant de recursos humanos cualificados y liderazgo tecnológico,
junto con la información sobre amenazas de FireEye, ayuda a las organizaciones
a detectarlas, combatirlas y neutralizarlas antes de que sus autores consigan
alcanzar su objetivo. Nuestros ingenieros y consultores de seguridad cuentan con
las autorizaciones de seguridad gubernamentales de máximo nivel, tienen 11 libros
en su haber y siempre están en boca de las principales agencias de prensa.
Mandiant tiene su sede principal en Alexandria, Virginia (Estados Unidos) y cuenta
con oficinas en Nueva York, Los Ángeles, San Francisco, Reino Unido e Irlanda.
Para obtener más información sobre Mandiant, visite www.mandiant.com,
lea nuestro blog, M-Unition, o síganos en Twitter en @Mandiant o en Facebook
en www.facebook.com/mandiantcorp.
Acerca de FireEye™
FireEye ayuda a las empresas a defenderse de la última generación de
ciberataques. Combinando nuestras plataformas de prevención de amenazas,
nuestra gente y nuestros datos, ayudamos a eliminar las consecuencias de las
intrusiones mediante la detección de los ataques, la notificación del riesgo y el
suministro de lo necesario para resolver rápidamente los incidentes de seguridad.
24
Mandiant M-Trends Más allá de un fallo de seguridad
®
www.mandiant.com