Los correos electrónicos de robo de credenciales están burlando los controles de seguridad del correo electrónico "buenos conocidos" de la inteligencia artificial camuflando cargas útiles maliciosas dentro de correos electrónicos aparentemente benignos. Esta táctica supone una amenaza significativa para las redes empresariales.

Ha surgido un nuevo método de ciberataque denominado "Desbordamiento de conversación", que intenta que los correos electrónicos de phishing con captura de credenciales burlen las plataformas de seguridad basadas en inteligencia artificial (IA) y aprendizaje automático (ML).

Según los investigadores de amenazas de SlashNext, que han publicado hoy un análisis sobre esta táctica, los correos electrónicos pueden escapar a la detección de amenazas de los algoritmos de IA y ML mediante el uso de texto oculto diseñado para imitar una comunicación legítima. Señalaron que se está utilizando en una oleada de ataques en lo que parece ser un ejercicio de prueba por parte de los malos actores, para buscar formas de eludir las ciberdefensas avanzadas.

A diferencia de los controles de seguridad tradicionales, que se basan en la detección de firmas "malas conocidas", los algoritmos de IA/ML se basan en la identificación de desviaciones de la comunicación "buena conocida".

Así, el ataque funciona de la siguiente manera: los ciberdelincuentes elaboran correos electrónicos con dos partes diferenciadas: una sección visible que pide al destinatario que haga clic en un enlace o envíe información, y una parte oculta que contiene texto benigno destinado a engañar a los algoritmos AI/ML imitando la comunicación "buena conocida".

El objetivo es convencer a los controles de que el mensaje es un intercambio normal, y los atacantes apuestan a que los humanos no se desplazarán cuatro páginas en blanco hasta el final para ver la falsa conversación no relacionada destinada únicamente a los ojos de la IA/ML.

De este modo, los atacantes pueden engañar a los sistemas para que clasifiquen como seguro el mensaje completo y cualquier respuesta posterior, permitiendo así que el ataque llegue a las bandejas de entrada de los usuarios.

Una vez que estos ataques burlan las medidas de seguridad, los ciberdelincuentes pueden utilizar la misma conversación de correo electrónico para enviar mensajes que parezcan auténticos y que soliciten a los ejecutivos que vuelvan a autenticar sus contraseñas e inicios de sesión, facilitando así el robo de credenciales.

Explotación de la detección de anomalías "buenas conocidas" en ML

Stephen Kowski, field CTO de SlashNext, afirma que la aparición de los ataques Conversation Overflow" pone de manifiesto la capacidad de adaptación de los ciberdelincuentes para burlar las medidas de seguridad avanzadas, sobre todo en la era de la seguridad por IA.

"He visto este estilo de ataque solo una vez antes a principios de 2023, pero ahora lo estoy viendo más a menudo y en diferentes entornos", explica. "Cuando los encuentro, se dirigen a altos directivos y ejecutivos".

Señala que el phishing es un negocio, por lo que los atacantes quieren ser eficientes con su propio tiempo y recursos, dirigiéndose a cuentas con el mayor acceso o la mayor autoridad implícita posible.

Kowski afirma que este vector de ataque debe considerarse más peligroso que el intento medio de phishing porque aprovecha los puntos débiles de tecnologías nuevas y muy eficaces de las que las empresas podrían no ser conscientes. Esto deja una brecha que los ciberdelincuentes pueden apresurarse a aprovechar antes de que los departamentos de TI se den cuenta.

"En efecto, estos atacantes están haciendo sus propias pruebas de penetración en las organizaciones todo el tiempo para sus propios fines para ver lo que funcionará y lo que no de forma fiable", dice. "Fíjate en el pico masivo de phishing de códigos QR hace seis meses: encontraron un punto débil en muchas herramientas e intentaron explotarlo rápidamente en todas partes".

Y, de hecho, el uso de códigos QR para entregar cargas maliciosas se disparó en el cuarto trimestre de 2023, especialmente contra los ejecutivos, que vieron 42 veces más phishing de código QR que el empleado medio.

La aparición de este tipo de tácticas sugiere que es necesaria una vigilancia constante, y Kowski señala que ninguna tecnología es perfecta y que no hay línea de meta.

"Cuando esta amenaza se comprenda bien y se mitigue todo el tiempo, los actores maliciosos se centrarán en un método diferente", afirma.

Utilizar la IA para combatir las amenazas

Kowski aconseja a los equipos de seguridad que respondan realizando activamente sus propias evaluaciones y pruebas con herramientas para encontrar "incógnitas desconocidas" en sus entornos.

"No pueden dar por sentado que el proveedor o la herramienta que hayan elegido, aunque fueran eficaces en el momento de adquirirlos, seguirán siéndolo con el tiempo", advierte. "Esperamos que los atacantes sigan siendo atacantes, que innoven, pivoten y cambien sus tácticas".

Añade que es probable que las técnicas de ataque se vuelvan más creativas, y a medida que el correo electrónico se vuelve más seguro, los atacantes ya están trasladando sus ataques a nuevos entornos, como los SMS o el chat de Teams.

Kowski afirma que será necesario invertir en soluciones de ciberseguridad que aprovechen el ML y la IA para combatir las amenazas impulsadas por IA, explicando que el volumen de ataques es demasiado alto y cada vez mayor.

"Las economías del mundo de la seguridad requieren necesariamente invertir en plataformas que permitan a los recursos [humanos] relativamente caros hacer más con menos", afirma. "Rara vez escuchamos de los equipos de seguridad que están consiguiendo un montón de gente nueva para hacer frente a estas crecientes preocupaciones".

Fuente: darkreading.com