Microsoft convierte Honeypot en uvas amargas para los merodeadores web

El engaño es fundamental para la actividad malévola de los piratas informáticos de sombrero negro, pero, como demostró recientemente Microsoft, también puede ser un arma poderosa contra esos piratas informáticos.

En un evento de BSides a principios de este año en Exeter, Inglaterra, el “jefe de engaño” del fabricante de software, Ross Bevington, describió un ambicioso proyecto que atraía a los ciberdelincuentes a inquilinos de aspecto realista con acceso a la nube Azure de Microsoft para recopilar inteligencia sobre ellos y perturbar sus actividades. sus operaciones.

Según Microsoft, monitorea unos 25.000 sitios de phishing diariamente, alimentando alrededor del 20% de ellos con credenciales de honeypot. Una vez que un atacante inicia sesión en el inquilino falso, se registran todas sus acciones, lo que permite a Microsoft aprender las tácticas, técnicas y procedimientos (TTP) del actor de la amenaza.

“Trabajé para Microsoft durante 11 años e implementé tecnología de engaño para algunos de sus clientes y participé en proyectos internos que utilizaban tecnologías de engaño. Por lo que puedo deducir de los muy limitados detalles, esto parece ser un proyecto de engaño a gran escala”, dijo Roger Grimes, un evangelista de defensa de saberbe4un proveedor de capacitación en concientización sobre seguridad en Clearwater, Florida.

«La mayoría de los proyectos de engaño implican uno o varios puntos finales de engaño», dijo a TechNewsWorld. “Este parece involucrar a un grupo de inquilinos falsos con cientos de usuarios falsos y contenido simulado. Eso es bastante grande en lo que respecta a proyectos de engaño”.

Jugar juegos mentales con malos

«Durante la presentación de Microsoft en BSides, una cosa me llamó la atención: los inquilinos falsos de Azure que se utilizan para mapear la infraestructura de los esquemas de phishing», añadió Chris Dukich, fundador de Mostrar ahorauna empresa de señalización digital en Boston.

«Ese es un nuevo nivel de engaño que le da a Microsoft el beneficio de poder recopilar información sobre phishers en todo el mundo y neutralizarlos antes de que desplieguen sus ataques en masa», dijo a TechNewsWorld.

Stephen Kowski, director de tecnología de campo en Barra diagonalSiguienteuna empresa de seguridad informática y de redes de Pleasanton, California, señaló que el enfoque de Microsoft de utilizar inquilinos falsos de Azure representaba un cambio innovador en las tácticas de engaño.

«Al aprovechar su infraestructura de nube, han creado un entorno honeypot más escalable y dinámico», dijo a TechNewsWorld. «Este método permite monitorear y analizar en tiempo real el comportamiento de los atacantes dentro de un ecosistema de nube controlado pero realista, proporcionando información más profunda sobre las operaciones de phishing sofisticadas».

Además de explicar su esquema de trampa, la sesión de BSides puede haber tenido otro propósito para Microsoft. «La tecnología del engaño no es algo de lo que los defensores hablen a menudo», dijo Casey Ellis, fundador y asesor de San Francisco. multitud de insectosque opera una plataforma de recompensas por errores de colaboración colectiva. «Parte de su utilidad proviene del hecho de que luce exactamente como un sistema activo, por lo que el enfoque de implementación típico es silencioso».

«Al anunciar que están haciendo esto, Microsoft está jugando un juego mental con los malos», dijo a TechNewsWorld.

La táctica del engaño no es para todos

Como ha ilustrado Microsoft, el engaño puede ser una herramienta eficaz para frustrar a los desesperados digitales, pero no es para todos. «Las tácticas de engaño requieren bastantes recursos», reconoció Vaclav Vincalek, CTO virtual y fundador de 555vCTOen Vancouver, Columbia Británica, Canadá.

«Debe configurarse correctamente y luego se necesita mano de obra para monitorearlo», dijo a TechNewsWorld. “Y, por supuesto, la pregunta es: ¿qué se hace con la información?”

Grimes estuvo de acuerdo. «La organización promedio simplemente no tiene tiempo para realizar este tipo de actividades de investigación y, en general, cuando se utilizan tecnologías de engaño, se utilizan como alerta temprana para acelerar la respuesta a incidentes y reducir los costos y el tiempo de inactividad».

Algunas de esas preocupaciones sobre la mano de obra podrían abordarse mediante el uso de inteligencia artificial.

“Crear entornos engañosos realistas o convincentes se convierte en una tarea ideal para emplear IA de modelo de lenguaje grande, ya que es necesario poder completar una cantidad de cuentas individuales, todas interactuando entre sí, con una acumulación de comunicación histórica entre ellas para que los actores de amenazas las busquen. «, Daniel Blackford, director de investigación de amenazas en Punto de pruebauna empresa de seguridad empresarial, en Sunnyvale, California, dijo a TechNewsWorld.

Grimes elogió a Microsoft y otras grandes organizaciones por hacer el arduo trabajo de utilizar el engaño para la investigación y el aprendizaje y luego utilizar las lecciones aprendidas para mejorar las defensas que benefician a todos.

«Por mucho que me gusten las tecnologías de engaño en general, mitigar el phishing no es el mejor caso de uso para la organización promedio», agregó, «pero a medida que Microsoft las usa, donde están aprendiendo cuáles son las herramientas y técnicas más recientes y actuales, y trucos: es una gran herramienta”.

Luchando contra el phishing

Si bien el uso del engaño para combatir el phishing puede no estar en las cartas de todas las organizaciones, puede ser un arma potente para quienes decidan implementarlo con ese propósito.

«El engaño puede ser una herramienta poderosa contra el phishing, al utilizar activos falsos, como correos electrónicos señuelo, sitios web o credenciales, para engañar a los atacantes y lograr que revelen sus tácticas sin comprometer datos reales», dijo Shawn Loveland, experto en ciberseguridad de Reseguridaduna empresa global de ciberseguridad empresarial y gubernamental.

«Al utilizar estos métodos, las organizaciones involucran a los phishers en entornos controlados, lo que permite a los equipos de seguridad detectar y analizar intentos de phishing en tiempo real», dijo a TechNewsWorld. «Esto desvía las amenazas de objetivos genuinos y al mismo tiempo recopila información sobre tácticas de phishing».

«Además», continuó Loveland, «las campañas de phishing simuladas capacitan a los usuarios y a los sistemas de monitoreo internos para reconocer y resistir ataques reales, mejorando la seguridad general».

Kowski añadió que el phishing sigue siendo una amenaza importante para las organizaciones a medida que evoluciona y se adapta a nuevas medidas de seguridad. “BEC [Business Email Compromise] La innovación ha disminuido y, en cambio, hemos visto un aumento de ataques de phishing 3D multicanal. Los actores de amenazas están innovando y explotando servicios confiables como OneDrive, Dropbox y GitHub para enviar correos electrónicos maliciosos”, afirmó. «Este cambio de táctica hace que el phishing sea una preocupación persistente y creciente para las organizaciones».

«El phishing es y seguirá siendo una de las amenazas más importantes a las que se enfrentan las personas y las organizaciones», añadió Loveland. «Las nuevas herramientas de phishing impulsadas por IA, combinadas con los datos personales disponibles para los phishers, cambiarán fundamentalmente las cosas a favor de los phishers».

Para las organizaciones que utilizan el engaño para combatir los ataques de phishing, Vincalek dio este consejo: “El engaño realmente funciona mejor cuando las organizaciones combinan la estrategia con otras medidas de seguridad. Las empresas no deberían confiar únicamente en el engaño para combatir todos los ataques de phishing”.

Grimes añadió: “Si utilizas tecnologías de engaño, asegúrate de personalizarlas para que imiten tu entorno real. Por ejemplo, si utiliza Microsoft Windows principalmente en su entorno, querrá que sus tecnologías de engaño se parezcan a Windows, utilizando los mismos servicios y puertos de red predeterminados”.

«Un error común que cometen los nuevos usuarios de tecnología de engaño», explicó, «es publicar tecnologías de engaño que no parecen naturales en su entorno, publicitando servicios y puertos incorrectos para lo que la empresa realmente utiliza».