Cómo frenar una campaña de malware capaz de cambiar su infraestructura
Los MSP están acostumbrados a bloquear dominios maliciosos, detectar direcciones IP sospechosas y actualizar continuamente sus defensas frente a las nuevas amenazas. Sin embargo, ¿qué ocurre cuando los atacantes pueden cambiar su infraestructura prácticamente en tiempo real sin interrumpir la campaña?
La campaña ErrTraffic, analizada por el Threat Lab de WatchGuard, ofrece un ejemplo de cómo están evolucionando las técnicas de distribución de malware. En lugar de depender de una infraestructura estática, los ciberdelincuentes utilizan servicios descentralizados para actualizar dinámicamente los recursos necesarios para mantener activa la infección.
Para los MSP, este tipo de amenazas supone un reto importante: las estrategias de defensa basadas exclusivamente en indicadores de compromiso (IoC) pueden quedar obsoletas rápidamente cuando los atacantes son capaces de sustituir los recursos comprometidos a gran velocidad.
ErrTraffic utiliza sitios web comprometidos para mostrar mensajes de error falsos diseñados para engañar a las víctimas y conseguir que ejecuten una supuesta solución técnica. Mediante una técnica conocida como ClickFix, el usuario copia y ejecuta un comando de PowerShell que inicia la descarga del malware.
Lo que hace especialmente interesante esta campaña es el uso de EtherHiding para consultar información almacenada en un contrato inteligente en una cadena de bloques pública. De este modo, el malware obtiene la ubicación actualizada de la infraestructura necesaria para mantener la infección.
En la práctica, esto permite a los atacantes sustituir los servidores comprometidos sin modificar el resto de la cadena de ataque, lo que dificulta las estrategias de bloqueo tradicionales y prolonga el periodo durante el que la campaña permanece activa.
Bloquear una dirección no detiene la campaña
Bloquear un dominio o una dirección IP interrumpe la comunicación con el recurso activo. Sin embargo, en una campaña que utiliza EtherHiding, ese servidor es un elemento sustituible. Su bloqueo no elimina el mecanismo que permite al malware localizar el siguiente.
Para los MSP, esta realidad pone de relieve una tendencia cada vez más clara: la defensa moderna no puede depender únicamente de la identificación de infraestructura maliciosa conocida. Debe ser capaz de detectar comportamientos sospechosos con independencia de dónde proceda la amenaza.
Esto no significa que los indicadores hayan dejado de ser útiles. Permiten bloquear conexiones conocidas, localizar dispositivos afectados e investigar la actividad pasada. No obstante, para que la respuesta no dependa de que una dirección concreta siga activa, es necesario combinar estos indicadores con controles capaces de frenar la campaña en otras fases de la infección. Los proveedores de servicios deben incorporar controles que vayan más allá de la reputación de los dominios o las direcciones IP.
Una oportunidad para reforzar la propuesta de valor del MSP
Aunque la infraestructura cambie, ErrTraffic sigue necesitando dirigir al usuario al sitio web comprometido, mostrar el mensaje de error falso, convencerle de que ejecute el comando, descargar una carga maliciosa e iniciar la actividad maliciosa en el dispositivo. Cada una de estas fases ofrece una oportunidad para frenar el ataque.
Aquí es donde un enfoque de seguridad multicapa permite a los MSP ofrecer a sus clientes una protección más resiliente y diferenciada.
La seguridad de red puede bloquear sitios web y solicitudes DNS maliciosos, analizar la reputación de los recursos, inspeccionar el tráfico, detectar intentos de intrusión y examinar las cargas que intentan llegar al dispositivo. El análisis en un entorno aislado o sandboxing también permite examinar archivos desconocidos antes de que entren en el entorno. Por tanto, cambiar de servidor puede dejar sin efecto un bloqueo concreto, pero no evita que la campaña necesite comunicarse y distribuir el malware.
Para un MSP, esto proporciona una primera línea de defensa capaz de detener automáticamente un volumen considerable de actividad maliciosa en los entornos de múltiples clientes y a gran escala.
Sin embargo, ClickFix intenta engañar directamente al usuario para que ejecute un comando en su dispositivo. Si la carga maliciosa consigue llegar al sistema, puede descargar archivos, iniciar procesos no autorizados o instalar herramientas de acceso remoto. Es entonces cuando la seguridad de endpoints marca la diferencia. La detección basada en el comportamiento analiza la actividad en el equipo, por lo que no depende únicamente de reconocer el archivo, el dominio o el servidor. Además, permite bloquear amenazas sin archivos y ataques de día cero, aislar el endpoint afectado y analizar la causa raíz.
Desde la perspectiva del MSP, esta visibilidad permite detectar actividades que las listas de bloqueo tradicionales nunca identificarían por sí solas.
Las campañas actuales demuestran que los ciberdelincuentes ya no necesitan depender de una infraestructura estática. Pueden sustituir rápidamente dominios, servidores y recursos comprometidos para mantener la campaña activa durante más tiempo.
Por este motivo, los MSP más eficaces no basan sus servicios únicamente en bloquear amenazas conocidas. Su valor reside en combinar visibilidad, automatización y controles multicapa capaces de detectar actividad maliciosa incluso cuando cambia la infraestructura.
Combinar ambas capas evita que la respuesta dependa de lograr bloquear un único componente de la infraestructura. Si los atacantes sustituyen ese recurso, la campaña sigue expuesta a controles en otras fases de la infección. Así, la defensa deja de perseguir cada nueva dirección y se centra en interrumpir la cadena de ataque. Frente a una infraestructura dinámica, la mejor respuesta es la capacidad de frenar la amenaza, incluso cuando cambian los recursos utilizados para distribuirla.