«Los ataques al IoT desbancan al ransomware» Entrevista a Pablo F. Iglesias en La Sexta Noticias

Hace ya unos días Raquel Berenguer, de La Sexta Noticias, nos llamó para contextualizar un reportaje que estaban haciendo sobre los ciberataques a dispositivos caseros como routers y electrodomésticos conectados, productos cada vez más presentes en nuestras casas (y también en nuestro alrededor), y que como ya hemos explicado en más de una ocasión, son fáciles de atacar, al no soler contar con una buena política de actualizaciones de seguridad que parchee futuras vulnerabilidades una vez comprado e instalado, y venir por defecto con credenciales de acceso muy débiles.

El medio necesitaba cubrir una entrevista ese mismo día, así que preparé la siguiente documentación:

• Cyber Threat Inform by Sonic Wall (ES): El informe es de este año, lo que significa que usa datos del 2022 (los más recientes). En este caso, han identificado un aumento de nada menos que el 87% de malware dirigido al Internet de las Cosas (los dispositivos de casa, por ejemplo) respecto al informe anterior. Es más, es la categoría de ciberataques que más ha crecido este año, seguida del cryptojacking (43%). Curiosamente, esto ha hecho retroceder al ransomware en un 21%, siendo este hasta la fecha el ciberataque favorito de los malos. Esto supone, probablemente, un cambio de estrategia en la industria del cibercrimen, de estos últimos años centrados más en ataques directos y visibles (cuando un te infectan con un ransomware, TE ENTERAS) hacia otros más sofisticados y más a largo plazo (espionaje, robo de credenciales, usurpaciones de identidad, fraudes y extorsiones, es decir, ataques que requieren algo más de tiempo y preparación, y que por tanto no son tan fácilmente identificables por la víctima). Los principales objetivos son el sector educativo (275%), el financiero (41%) y el sanitario (8%).
• OT/IT Security Report by Nozomi Network (ES): Otro informe, esta vez de agosto del año pasado, que llega más o menos a las mismas conclusiones respecto al primer semestre de 2022. Un aumento de los proveedores afectados del 27%, y de los productos afectados del 19% respecto al segundo semestre de 2021. Parece que hay cambio de tendencia en la industria del crimen hacia este tipo de ataques después de varios años con el ransomware como principal vía.
• Nueva variante de Mirai (ES): La botnet de IoT que más daño está haciendo estos últimos meses es una nueva variante de Mirai, una de las precursoras en esto de atacar cosas conectadas, que recibe el nombre técnico de variante V3G4. Lo más curioso de esta botnet es que está diseñada no solo para infectar estos dispositivos, sino incluso para parchearlos y evitar así que otras botnets de la competencia como Mozi, Okami y Yakuza, puedan también comprometer el dispositivo de la vícitma. Una vez entra, empieza a probar pares de credenciales débiles para tomar el control del dispositivo, y generalmente se monetiza ofreciendo servicio de DDoS (es decir, tumbar una web o un servidor) a los clientes que contratan este tipo de servicios (por ejemplo los grupos de ciberinteligencia de Rusia y Ucrania, o una empresa de la competencia que quiera hacer daño a su competidor…).

Con esto, montamos una breve entrevista que usaron para publicar en La Sexta Noticias.

Estas fueron las preguntas (las pongo un poco de memoria, que fue en directo) y mis respuestas:

Cada vez tenemos más dispositivos conectados en Internet, ¿esto supone algún riesgo?

Claro que sí. Piensa que hablamos de dispositivos generalmente de bajo coste, con una escasa o nula política de actualizaciones y parches de seguridad, con unos credenciales de acceso ya metidos por defecto (al no tener en la mayoría de casos manera de que nosotros nos conectemos para cambiarlos) y conectados 24/7 a la red.

¿Qué puede salir mal? G.G.

Es el sueño húmedo de la industria del cibercrimen, y de hecho, dos estudios distintos (los mencionados anteriormente) llegan a conclusiones semejantes: Los ataques a dispositivos IoT crecen exponencialmente frente a otros ataques que hasta ahora eran los más comunes, como era el ransomware.

¿Supone esto entonces un cambio de tendencia en el cibercrimen?

Pues lo cierto es que sí. Un cambio además muy importante, ya que pasamos de un escenario donde la mayoría de ataques eran directos e inmediatos (te infecto con un ransomware y al momento la víctima ya sabe que ha sido hackeada, al perder el control del dispositivo y sus datos) hacia otro más con ataques más perdurables en el tiempo y más sofisticados (la mayoría de las víctimas no sabrán nunca que su lavadora forma parte de una botnet, con lo que ello supone para la seguridad y privacidad del resto de dispositivos).

Un entorno más distribuido y más difícil de proteger, al no sentir la necesidad la víctima de solventarlo.

¿Cómo funcionan estos ataques?

Pues generalmente todo empieza en el router de nuestra casa, que es la puerta de entrada digital a todos nuestros dispositivos.

Estas botnets buscan modelos específicos que saben que tienen vulnerabilidades conocidas. Acceden al mismo por sus puertos y se hacen con el control del sistema operativo a base de probar usuarios y contraseñas débiles.

De ahí, por regla general, ya saltan al resto de dispositivos de domótica, como pueden ser electrodomésticos o cerraduras digitales. Incluso wearables como los que llevamos algunos en nuestro cuerpo, como puede ser una pulsera o un reloj inteligente.

Estos últimos meses ha surgido una nueva variante de Mirai (una de las botnets más conocidas de IoT) llamada V3G4, que tiene la particularidad de que una vez consigue hacerse con el control del dispositivo, lo parchea para que otras botnes de grupos cibercriminales contrarios no puedan infectarte con sus respectivos virus. Fíjate que estamos hablando de que el malware puede llegar a hacer que tu dispositivo funcione mejor…

¿Y qué objetivos tienen?

El más habitual es contar con miles (millones) de dispositivos diferentes para poder, desde ellos, realizar ataques DDoS a terceros, esto es, ofrecer a empresas y organizaciones servicios de denegación de servicio contra la competencia o con fines geopolíticos/de espionaje gubernamental/corporativo.

También veíamos en uno de los informes que el cryptohacking había aumentado algo más del 40% respecto al año pasado, y esto nos demuestra que algunas de estas botnets lo que buscan es usar estos dispositivos como granjas para minar criptomonedas y/o robar credenciales de acceso a las víctimas.

Por último, ¿cómo podemos proteger nuestros dispositivos conectados en casa?

Pues la respuesta es fácil de decir, pero a veces difícil (o directamente imposible) de realizar: Hay que mantener actualizados todos los dispositivos que tengamos conectados a Internet.

Esto, en algunos casos como en los routers, suele ser posible accediendo al panel de administrador del router desde un ordenador conectado a la misma red y dándole a actualizar, o bien accediendo a la web del fabricante y buscando si tienen actualizaciones nuevas de firmware.

¿Pero con una lavadora? ¿Con una bombilla inteligente? Dependemos en la mayoría de casos en que el fabricante decida mantener una política de actualizaciones de seguridad adecuada. Cosa que en dispositivos de bajo coste, la mayoría producidos en Asia (y por tanto muchos de ellos sin cumplir regulaciones europeas o estadounidenses) es muy complicado de conseguir.

Así pues, lo único que nos queda es exigir con la cartera a los fabricantes que se tomen en serio la seguridad de los dispositivos, apostando por marcas que sí tengan una buena política de seguridad, y huyendo de otras (chinas, ejem) que no saben o no contestan.

Por ponerte un ejemplo, estos días he cambiado el proyector que teníamos en casa por otro modelo sacado estos últimos meses al mercado por un proveedor chino. El proyector está genial, pero viene con Android 7.0. ¡Para un dispositivo que salió al mercado a finales de 2022!

Eso supone que, de facto, ya es vulnerable a no pocos fallos de seguridad conocidos.

¿Qué he hecho? Pues no conectarlo a Internet.

Pierdo la funcionalidad de conectividad, pero como tiene puertos USB y HDMI, conecto a ellos el dispositivo actualizado (ordenador, Chromecast…) de turno para consumir contenido aprovechando la potencia de proyección, que es lo que realmente necesito.

Es eso o arriesgarte.

Dejo para terminar el vídeo con el reportaje que acabaron publicando en las noticias de La Sexta (ES):

En CyberBrainers hacemos informes, tutoriales y análisis de mercado en temas candentes para nuestros clientes, ya sean de negocio o puramente reputacionales. Si necesitas conocer cómo le va a la competencia, a tu propia empresa, o simplemente conocer qué opina la gente sobre algún tema en particular, escríbenos y ponemos nuestras máquinas y analistas a escuchar.