Atribución de amenazas y seguimiento de campañas

La atribución de amenazas intenta identificar quién llevó a cabo un ataque: un actor específico de un Estado nación, un grupo delictivo o un colectivo hacktivista. La atribución orienta decisiones estratégicas (respuestas políticas y de las fuerzas del orden), pero una atribución de alta confianza es difícil y a menudo sigue siendo información de inteligencia clasificada.

Las pruebas de atribución abarcan indicadores técnicos (similitud del código, infraestructura compartida y herramientas C2), patrones operativos (objetivos, momento y sector de actividad), contexto estratégico (motivación geopolítica), inteligencia humana (declaraciones del actor y actividad en foros) e inteligencia de señales procedente de organismos gubernamentales.

El análisis de solapamiento del código compara características de los binarios de malware: similitud a nivel de función mediante BinDiff, constantes de cadenas únicas, idioma de los mensajes de error, artefactos del compilador y reutilización de código procedente de herramientas de compilación compartidas. Las APT reutilizan código entre campañas, lo que crea huellas que permiten vincularlas incluso entre distintas familias de malware.

Los atacantes reutilizan la infraestructura: la misma IP de C2 aloja varias campañas, los certificados SSL se reutilizan en distintos dominios, y existen preferencias por determinados ASN y patrones de proveedores de alojamiento. El DNS pasivo correlaciona la infraestructura a lo largo del tiempo; si un dominio C2 de una campaña resuelve a una IP utilizada en otra, ambas quedan vinculadas.

Los grupos de MITRE ATT&CK documentan las TTP (tácticas, técnicas y procedimientos) de actores de amenazas conocidos. Comparar las TTP observadas en un incidente con los perfiles de grupos de ATT&CK permite identificar posibles actores. Ninguna TTP es única; la atribución requiere conjuntos de técnicas y herramientas coincidentes.

Los actores sofisticados plantan deliberadamente pruebas falsas: cadenas de código en el idioma equivocado, infraestructura que coincide con la de otros actores conocidos o momentos que se alinean con la actividad conocida de otro grupo. Nunca atribuya un ataque basándose en un solo indicador; las falsas banderas están diseñadas específicamente para explotar los métodos de atribución basados en un único indicador.

Las convenciones de nombres de los proveedores difieren: Mandiant utiliza números de APT (APT28), Microsoft utiliza temas meteorológicos (Midnight Blizzard) y CrowdStrike utiliza nombres de animales (Fancy Bear). Un mismo actor puede tener más de 10 nombres. Los grupos de MITRE ATT&CK consolidan los alias del mismo actor presentes en los informes de distintos proveedores.

El Modelo Diamante representa cada intrusión mediante cuatro características: adversario, capacidad (malware o TTP), infraestructura (IP y dominios C2) y víctima. Las relaciones entre las características crean un grafo para realizar un seguimiento de las campañas. Investigar cualquiera de las características permite descubrir incidentes relacionados y actividad del actor.

Las campañas de APT se prolongan durante meses o años. Realice su seguimiento mediante: patrones de objetivos constantes (el mismo sector industrial), evolución del malware (nuevas versiones de la misma familia), patrones de rotación de la infraestructura y coherencia de las TTP. La representación cronológica de varios incidentes revela las fases de la campaña y la evolución de su propósito.

Niveles de confianza de inteligencia: Bajo (unos pocos indicadores débiles), Medio (varios indicadores técnicos corroborantes), Alto (pruebas técnicas, operativas y contextuales confirmadas por investigadores independientes). La atribución gubernamental puede incluir información de inteligencia clasificada que no aparece en los informes públicos, lo que eleva la confianza declarada por encima de lo que respaldaría por sí solo el análisis técnico.

La atribución pública influye en las políticas, las fuerzas del orden y la respuesta del sector. Una atribución prematura o incorrecta provoca incidentes diplomáticos y desvía los recursos defensivos. Una atribución responsable requiere criterios rigurosos para las pruebas, reconocer la incertidumbre y actualizar las conclusiones cuando surgen nuevas pruebas.

¿Por qué es valiosa la reutilización de infraestructura para atribuir un ataque a un actor de amenazas?

La atribución de amenazas combina la similitud del código del malware, el análisis de la reutilización de infraestructura, la asignación de TTP a grupos de ATT&CK y el Modelo Diamante para crear perfiles de actores basados en pruebas. Una atribución de alta confianza requiere varias fuentes de pruebas independientes, conocimiento de las operaciones de falsa bandera y una calibración adecuada de la confianza.