El gobierno de Estados Unidos publicó un informe tras analizar técnicas sencillas, como el intercambio de SIM, utilizadas por el grupo de extorsión Lapsus$ para vulnerar decenas de organizaciones con una sólida estructura de seguridad.
La revisión de las operaciones del grupo comenzó en diciembre del año pasado, tras una larga serie de incidentes atribuidos o reivindicados por Lapsus$ tras filtrar datos confidenciales de supuestas víctimas.
Entre las principales empresas afectadas por Lapsus$ se encuentran Microsoft, Cisco, Okta, Nvidia, T-Mobile, Samsung, Uber, Vodafone, Ubisoft y Globant.
Lapsus$ se describe como un grupo poco organizado formado principalmente por adolescentes, con miembros en el Reino Unido y Brasil que actuaron entre 2021 y 2022 por notoriedad, beneficio económico o por diversión. Sin embargo, también combinaron técnicas de diversa complejidad con "destellos de creatividad".
El poder del intercambio de SIM
La Junta de Revisión de Ciberseguridad (CSRB) del Departamento de Seguridad Nacional (DHS) finalizó su análisis y describe las tácticas y técnicas del grupo en un informe que también incluye recomendaciones para la industria.
"Lapsus$ empleó técnicas de bajo coste, bien conocidas y disponibles para otros actores de amenazas, revelando puntos débiles en nuestra ciberinfraestructura que podrían ser vulnerables a futuros ataques" - Junta de Revisión de Ciberseguridad del Departamento de Seguridad Nacional.
El grupo utilizaba el intercambio de tarjetas SIM para acceder a la red interna de una empresa y robar información confidencial, como código fuente, detalles sobre tecnología patentada o documentos comerciales y relacionados con los clientes.
En un ataque de intercambio de SIM, el autor de la amenaza roba el número de teléfono de la víctima transfiriéndolo a una tarjeta SIM propiedad del atacante. El truco depende de la ingeniería social o de una persona con información privilegiada en el operador de telefonía móvil de la víctima.
Con el control del número de teléfono de la víctima, el atacante puede recibir códigos efímeros basados en SMS para la autenticación de dos factores (2FA) necesaria para iniciar sesión en varios servicios empresariales o acceder a redes corporativas.
Cadena de sucesos fraudulentos en el intercambio de tarjetas SIM
fuente: CSRB DEL DHS
Ir a la fuente
En el caso de Lapsus$, algunos de los intercambios fraudulentos de SIM se realizaban directamente desde las herramientas de gestión de clientes del proveedor de telecomunicaciones, tras secuestrar cuentas pertenecientes a empleados y contratistas.
Para obtener información confidencial sobre su víctima (nombre, número de teléfono, información de la red propiedad del cliente), los miembros del grupo utilizaban a veces solicitudes de divulgación de emergencia (EDR) fraudulentas.
Lapsus$ también se basó en personas internas de las empresas objetivo, empleados o contratistas, para obtener credenciales, aprobar solicitudes de autenticación multifactor (MFA) o utilizar el acceso interno para ayudar al actor de la amenaza.
"Después de ejecutar los intercambios fraudulentos de SIM, Lapsus$ se hizo con el control de cuentas en línea a través de flujos de trabajo de inicio de sesión y recuperación de cuentas que enviaban enlaces de un solo uso o contraseñas MFA a través de SMS o llamadas de voz" - Department of Homeland Security Cyber Safety Review Board.
En un caso, Lapsus$ utilizó su acceso no autorizado a un proveedor de telecomunicaciones para intentar comprometer cuentas de teléfonos móviles conectadas a personal del FBI y del Departamento de Defensa.
El intento fracasó debido a la seguridad adicional implementada para esas cuentas.
Ganar y gastar dinero
Según las conclusiones de la CSRB, durante la investigación el grupo llegó a pagar hasta 20.000 dólares semanales por acceder a la plataforma de un proveedor de telecomunicaciones y realizar intercambios de SIM.
Aunque el FBI no tenía conocimiento de que Lapsus$ vendiera los datos que robaba ni encontró pruebas de que las víctimas pagaran rescates al grupo, la CSRB afirma que algunos expertos en seguridad "observaron que Lapsus$ extorsionaba a organizaciones y que algunas pagaban rescates".
Según las conclusiones de la CSRB, el grupo también explotaba vulnerabilidades no parcheadas en Microsoft Active Directory para aumentar sus privilegios en la red de las víctimas.
Se calcula que Lapsus$ aprovechó los problemas de seguridad de Active Directory hasta en un 60% de sus ataques, lo que demuestra que los miembros del grupo tenían los conocimientos técnicos necesarios para moverse dentro de una red.
Un atacante puede crear una EDR falsa haciéndose pasar por un solicitante legítimo, como un agente de la ley, o aplicando logotipos oficiales a la solicitud.
Pisando el freno
Aunque Lapsus$ se caracterizó por su eficacia, rapidez, creatividad y audacia, el grupo no siempre tuvo éxito en sus ataques. Fracasó en entornos que implementaban autenticación multifactor (MFA) basada en aplicaciones o tokens.
Además, los robustos sistemas de detección de intrusiones en la red y la señalización de la actividad sospechosa de las cuentas impidieron los ataques de Lapsus$. En los casos en que se siguieron los procedimientos de respuesta a incidentes, el impacto se vio "significativamente mitigado", afirma la CSRB en el informe.
A pesar de que investigadores y expertos en seguridad llevan años denunciando el uso de la autenticación basada en SMS como insegura, la Junta de Revisión de la Ciberseguridad del DHS destaca que "la mayoría de las organizaciones no estaban preparadas para prevenir" los ataques de Lapsus$ u otros grupos que emplean tácticas similares.
Entre las recomendaciones de la Junta para evitar que otros actores obtengan acceso no autorizado a una red interna se incluyen:
- Priorizar los esfuerzos para reducir la eficiencia de la ingeniería social a través de sólidas capacidades de autenticación que son resistentes al phishing MFA
- Los proveedores de telecomunicaciones deben tratar los cambios de SIM como acciones altamente privilegiadas que requieren una fuerte verificación de identidad, y proporcionar opciones de bloqueo de cuenta para los consumidores
- Reforzar las actividades de supervisión y aplicación de la Comisión Federal de Comunicaciones (FCC) y la Comisión Federal de Comercio (FTC)
- Planificar ataques cibernéticos disruptivos e invertir en prevención, respuesta y recuperación; adoptar un modelo de confianza cero y fortalecer las prácticas de autenticación
- Aumentar la resistencia frente a los ataques de ingeniería social cuando se trata de solicitudes de divulgación de emergencia (datos)
- Las organizaciones deben aumentar la cooperación con las fuerzas del orden informando los incidentes con prontitud; el gobierno de los EE. UU. ?orientación clara y consistente sobre sus funciones y responsabilidades relacionadas con incidentes cibernéticos?
Lapsus$ permaneció en silencio desde septiembre de 2022, probablemente debido a las investigaciones policiales que condujeron a la detención de varios miembros del grupo.
En marzo del año pasado, la policía de la ciudad de Londres anunció la detención de siete individuos vinculados a Lapsus$. Pocos días después, el 1 de abril, se detuvo a dos más, uno de 16 y otro de 17 años.
En octubre, durante la Operación Nube Oscura, la Policía Federal brasileña detuvo a un individuo sospechoso de formar parte del grupo de extorsión Lapsus$, por vulnerar los sistemas del Ministerio de Sanidad del país.
Fuente: bleepingcomputer