Los cinco principales ciberataques con origen en vulnerabilidades no parcheadas

Sufrir un ciberataque es una de las peores experiencias para una empresa. Sus consecuencias pueden ser devastadoras, y el coste que puede tener uno en su economía para mitigarlo y recuperarse de sus efectos puede ser bastante elevado. Los ciberataques, según ITPro Today, pueden ser muy variados: desde simples ataques de phishing a otros más sofisticados de criptominado. Pero hay una cosa que prácticamente todos tienen en común: tienen su origen en vulnerabilidades que se explotan porque no se aplicaron los parches adecuados para solucionarlas. O porque su instalación no se hizo de la manera adecuada.

Esto es un problema para las empresas, sobre todo porque cada vez se descubren y explotan más vulnerabilidades. Por lo tanto, los departamentos de TI o los encargados de la seguridad de la empresa tienen que estar permanentemente al día tanto de las que van apareciendo como del lanzamiento e instalación de los parches necesarios para mitigarlos. De otra manera, puede que un ciberataque deje maltrechas las redes y sistemas de su compañía. Entre todos los ataques que tienen su origen en vulnerabilidades, los más frecuentes son cinco. A continuación detallamos en qué consisten y sus efectos.

Ejecución de código de manera remota

Esta ataque consiste, básicamente, en la ejecución o modificación de código que permita ejecutar órdenes de manera remota. Las vulnerabilidades que los originan son de las más frecuentes que pueden encontrarse en el software en la actualidad, y son bastante severas. Los ciberatacantes pueden explotarlas si no están parcheadas y ejecutar de manera remota código en servidores y equipos vulnerables.

Una vez hecho esto, tienen el camino libre para realizar todo tipo de operaciones y ataques en los sistemas atacados, que van desde explotar otras vulnerabilidades que haya en los equipos que lo componen hasta ataques de criptominado. También ataques de denegación de servicio o aumento de privilegios. Este tipo de vulnerabilidad, al que se calcula que pertenecen el 28% del total, y que generalmente se considera crítico, debe parchearse en el momento en está disponible la solución adecuada.

Denegación de servicio

Este tipo de ataque consiste en bloquear o dificultar el acceso de los usuarios a los servicios a los que afecta. Hay dos modalidades de este tipo de ataque: los de desborde (flood) y los de choque (crash). Los primeros, mucho más comunes, se dan cuando un sistema recibe demasiadas peticiones. Esto hace que los servicios que se prestan desde ese sistema funcionen con más lentitud, e incluso que se lleguen a interrumpir.

Entre estos tipos de ataques están los ataques ICMP, los de desbordamiento de buffer y los SYN flood. No obstante, también hay ataques de denegación de servicio que, sencillamente, explotan vulnerabilidades que causan la caída de un sistema o de un servicio.

Se cree que este tipo de ataques se lleva a cabo como elemento de distracción mientras tiene lugar otro tipo de actividades más dañinas. Por ejemplo, accesos no autorizados a redes o robo de datos. También se suelen utilizar para instalar malware en ordenadores mientras sus usuarios o el responsable de sistemas de la empresa está ocupados en la mitigación del ataque de denegación de servicio.

Los ataques de denegación de servicio distribuidos (DDoS) son un tipo de ataques DoS, pero a mayor escala. Generalmente, este tipo de ataques implican a varios sistemas comprometidos, desde los que se intenta, de manera simultánea, explotar el sistema objetivo. Uno de los peores ataques de este tipo sucedió el año pasado, cuando Github fue el objetivo de un ataque con origen en más de un millar de sistemas que llegó a enviar a sus servidores 1,35 Terabytes de datos por segundo.

Aumento de privilegios

Este tipo de ataque, que busca el aumento de privilegios en los sistemas afectados sin la autorización debida, da a los atacantes acceso a archivos o la posibilidad de ejecutar órdenes que no tendría con los privilegios de acceso normales. El más común tiene como objetivo que un usuario en remoto ejecute órdenes en un sistema que otorguen derechos de administrador a un usuario sin autorización para acceder a él.

Generalmente, este tipo de ataque va asociado a otros, que también explotan otras vulnerabilidades, como hemos visto con la ejecución remota de código. No se trata de un tipo de vulnerabilidad poco frecuente, y los fabricantes de aplicaciones y sistemas operativos suelen lanzar con frecuencia en sus actualizaciones parches de instalación automática para corregirlas.

Robo de información

En los últimos tiempos ha aumentado el número de ataques de robo de información  en los que los ciberdelincuentes no acceden a un sistema para robar dinero, sino que lo hacen para conseguir información almacenada en equipos. Cuando más crítica, mejor. Tanto personal como laboral. La información obtenida puede utilizarse para ataques inmediatos, o bien para utilizarlo coo medio para otros más adelante.

Este tipo de ataque tiene su origen en la explotación de bugs de software. Un ejemplo de ello es un fallo crítico localizado en Internet Explorer, que ocasionaba un error al procesar un contenido HTML concreto. Se trataba de una vulnerabilidad que facilitaba este tipo de ataques, pero Microsoft lanzó un parche para corregirla en febrero de 2019, anunciando que se trataba de un error crítico que había que corregir.

Spoofing

Este tipo de ataque se produce cuando los ciberdelincuentes se hacen pasar por otra persona durante un proceso de identificación, utilizando un nombre de otro usuario y su contraseña para acceder a un sistema. De esta manera se puede acceder a la información de una persona en el sistema al que se accede. Es decir, se pueden ver datos personales, laborales, financieros, contactos en redes sociales, etc.

La mayoría de ataques de spoofing (cerca de 30.000 cada día) suelen ocurrir en aplicaciones que usan el motor de scripting Chakra, como sucede con los navegadores Internet Explorer y Edge. Y además de poder conseguir datos con ellos, también se utilizan para utilizar el servicio o el sistema al que se accede para la realización de un ciberataque de mayor envergadura. También se puede emplear como un vehículo para ataques de phishing.