Atrás
Una amenaza persistente avanzada (APT) recientemente descubierta proporciona un ejemplo particularmente significativo de cómo se pueden combinar múltiples servicios en la nube dentro de la misma cadena de ataque para agregar capas de sofisticación y evasión.
CloudSorcerer es el nombre que los investigadores de Kaspersky han acuñado para describir a un actor de amenazas avanzado dirigido a entidades gubernamentales rusas. Como su nombre indica, una de las características de esta APT es la explotación de múltiples servicios legítimos en la nube para alojar la infraestructura de comando y control (C2) y la zona de caída de los datos exfiltrados.
En concreto, el módulo C2 del malware se conecta a un repositorio de GitHub aparentemente legítimo que contiene bifurcaciones de tres proyectos públicos. El diablo está en los detalles, y es la sección de autor de la página la que contiene una cadena codificada. Esta cadena es recuperada y descodificada por el módulo C2 del malware y contiene el enlace a los servidores C2 de segunda etapa alojados en servicios en la nube legítimos como Microsoft 365, Dropbox y Yandex Cloud, que utilizan la API de la plataforma' para exfiltrar los datos. En términos más simples, el proceso de conexión a la infraestructura C2 consta de dos etapas, en la primera etapa se utiliza GitHub (y mail.ru como alternativa) para recuperar la infraestructura de la segunda etapa alojada en servicios legítimos separados. Una versión nativa de la nube de una técnica conocida llamada Dead Drop Resolver.
Cómo mitiga Netskope el riesgo de que los servicios legítimos en la nube sean explotados para una infraestructura de mando y control
GitHub, Microsoft 365, Dropbox y Yandex Cloud se encuentran entre los miles de servicios en la nube en los que el SWG Netskope Next Gen puede proporcionar control de acceso adaptable, protección frente a amenazas y prevención de pérdida de datos con una granularidad imposible para cualquier otra tecnología de seguridad web. GitHub, Microsoft 365 y Dropbox también se encuentran entre los cientos de aplicaciones en la nube para las que está disponible la detección de instancias. Así, en el caso de que estos servicios o aplicaciones similares de almacenamiento en la nube sean explotados por atacantes externos para entregar una carga maliciosa o para alojar la infraestructura de comando y control (como en el caso de CloudSorcerer), es posible configurar una Política para impedir actividades potencialmente peligrosas (como "Subir" y "Descargar") desde el servicio específico o toda la categoría a la que pertenece (u obviamente bloquear completamente el servicio innecesario). El control de acceso granular se puede ampliar a nivel de la instancia única para GitHub, Microsoft 365 y Dropbox.
Netskope Los clientes también están protegidos contra las Malware distribuidas desde la nube (y la Web en general) mediante Netskope Threat Protection. Netskope La Protección frente a amenazas escanea el tráfico de Web y de la nube para detectar amenazas conocidas y desconocidas con un completo conjunto de motores, entre los que se incluyen AV basado en firmas, detectores de Machine Learning para ejecutables y documentos de Office, y Sandbox con protección paciente cero. Las capacidades de protección frente a amenazas pueden mejorarse aún más mediante Netskope Cloud Exchange, que proporciona potentes integraciones para aprovechar las inversiones en toda la postura de seguridad de los usuarios mediante la integración con herramientas de terceros, como los feeds de inteligencia sobre amenazas, la protección Endpoint y las tecnologías de protección del correo electrónico.
Por último Netskope Advanced Analytics proporciona cuadros de mando específicos para evaluar el riesgo de que se exploten instancias en la nube fraudulentas para enviar Malware o el riesgo de convertirse en el objetivo de comunicaciones anómalas, con abundantes detalles y perspectivas, apoyando a los equipos de seguridad en el proceso de análisis y mitigación/remediación.
¡Mantente a salvo!
Lea el blog