Según investigaciones recientes de la industria, se han observado múltiples campañas y herramientas ejecutadas por el grupo MERCURY APT (también conocido como MuddyWater, Static Kitten) -ampliamente considerado como afiliado a los intereses del Ministerio de Inteligencia y Seguridad iraní (MOIS)- lanzando ataques dañinos en entornos en la nube de Microsoft Azure.
Una investigación llevada a cabo por Microsoft muestra cómo los atacantes de estados-nación han obtenido acceso a recursos in situ vulnerables e inseguros, así como a entornos en la nube, lo que les ha permitido infligir grandes daños a la infraestructura del objetivo. Las organizaciones objetivo que ejecutan entornos de dominio Windows híbridos que combinan Active Directory (AD) local y Azure Active Directory (AAD) han visto manipulado su agente Azure Active Directory Connect, consiguiendo así entrar en su infraestructura Azure en línea, y destruyendo posteriormente el entorno Azure de la víctima.
Esto abarcó desde la eliminación de sus instancias de máquinas virtuales Azure, granjas de servidores y cargas de trabajo, redes virtuales, cuentas de almacenamiento y mucho más.
A lo largo de sus operaciones, los actores de la amenaza han atacado activamente tanto entornos locales como en la nube. Por lo que se sabe actualmente de esta campaña, sus objetivos principales han sido la interrupción y la destrucción.
Curiosamente, este comportamiento perturbador y destructivo está en consonancia con las Tácticas, Técnicas y Procedimientos (TTP) de los atacantes del Estado-nación iraní comúnmente vistos, con referencia específica a los dañinos ataques de 2012 contra Saudi Aramco a manos de hackers iraníes, así como su uso continuado de ataques DDoS y cepas de malware Wiper para sobrescribir sistemas o dejarlos de otro modo inutilizables o irrecuperables (a menos que las organizaciones dispongan de copias de seguridad operativas).
Resulta doblemente interesante el fuerte giro del grupo APT hacia el ecosistema en la nube de Microsoft, ya que sus ataques anteriores se centraron sobre todo en servicios Exchange vulnerables in situ y en dispositivos de seguridad de Fortinet, o más recientemente con servicios en línea como Dropbox y OneHub.
¿Por qué se producen estos incidentes?
No debería sorprendernos que los sofisticados piratas informáticos de hoy en día se centren cada vez más en los entornos en la nube para promover sus agendas. Independientemente de que la geopolítica desempeñe un papel en la historia de este actor del Estado-nación, seguimos viendo la explotación de herramientas de acceso remoto como un vector de acceso inicial de primer orden en los entornos objetivo.
A medida que la mayoría de las organizaciones continúan su evolución hacia la nube, las infraestructuras híbridas proporcionan flexibilidad para los requisitos que no pueden satisfacerse en los ecosistemas basados únicamente en la nube, o que pueden no estar aún preparados para ser cloudificados. Mantener recursos locales y nativos de la nube (presumiblemente de forma sincronizada e híbrida) permite a estas empresas disfrutar de lo mejor de ambos mundos hasta que puedan madurar métodos más eficientes para ellas.
Con esta filosofía cada vez más común, los actores de amenazas disfrutan con la idea de flexionar sus músculos en los vectores de acceso más tradicionales y establecidos (digamos, la conexión de escritorio remoto), para luego, en última instancia, ser recompensados con un punto de pivote en la infraestructura en la nube del objetivo. Posteriormente, todo ese nuevo dominio de la nube representa una gran oportunidad para el robo, el beneficio económico a través del rescate, la interrupción o incluso la destrucción directa, como vemos aquí.
¿Qué se puede hacer?
Las amenazas de este tipo se dan un festín con los servicios vulnerables o expuestos que ofrecen una cabeza de playa en el entorno de un objetivo. A partir de ahí, sólo se convierte en una cuestión de dónde y cómo los actores maliciosos explotan el exceso de privilegios y permisos para llevar a cabo sus ataques. Reducir su superficie de ataque global, como mínimo, contribuirá en gran medida a frustrar las tentaciones de "fruta al alcance de la mano" que se les presentan a los actores de amenazas. Esto significa desactivar o, como mínimo, segmentar los servicios de acceso remoto, las aplicaciones privadas o los protocolos que ya no son necesarios o que no deberían ser accesibles públicamente detrás de herramientas perimetrales anticuadas. Capacidades como Zero Trust Network Access (ZTNA) permiten a las organizaciones crear perímetros definidos por software y dividir la red corporativa en múltiples microsegmentos, impidiendo el movimiento lateral de las amenazas y reduciendo la superficie de ataque en caso de infracción.
Las evaluaciones y validaciones continuas del acceso también son técnicas de mitigación muy eficaces, ya que los intentos de abuso pueden identificarse y evitarse caso por caso para cada solicitud de acceso. Sobre la base de la evaluación de la identidad del usuario, la identidad del dispositivo, la postura y otros factores contextuales, la ZTNA permite el acceso "menos privilegiado" a aplicaciones específicas, y no a toda la red subyacente a cualquier usuario con un inicio de sesión satisfactorio.
Dado que también estamos viendo cómo se manipulan las configuraciones de los entornos de Microsoft Azure para allanar el camino a la destrucción, así como abusos de las cuentas privilegiadas de administrador de Microsoft Azure, capacidades como Posture Management pueden ayudar a detectar y prevenir actividades y cambios considerados anómalos o contrarios a las normas corporativas.
Skyhigh Security contribuye a ello ampliando las funciones de supervisión de la actividad y auditoría de la configuración de seguridad a las infraestructuras de Microsoft Azure. Para detectar las amenazas internas y externas a la infraestructura Azure, Skyhigh Security captura un registro completo de toda la actividad de los usuarios en Microsoft Azure a través de múltiples heurísticas, detecta las amenazas, toma automáticamente medidas para mitigar los riesgos y apoya las investigaciones forenses. A medida que se resuelven las amenazas, Skyhigh incorpora automáticamente estos datos a sus modelos de comportamiento para mejorar la precisión de la detección.
Skyhigh actualiza de forma dinámica y continua los umbrales de cada usuario y grupo para identificar actividades indicativas de amenazas internas. Los análisis de usuarios con privilegios incorporados identifican el riesgo derivado de cuentas de administrador inactivas, permisos excesivos y escalado injustificado de permisos y aprovisionamiento de usuarios.