Cryptojacking, prevención y contramedidas. Parte 4 de 4.

El incremento de detecciones de esta amenaza ha crecido un 725 % según los informes de las empresas de antivirus. Debido a esto, todas las medidas de control que puedan ser tomadas son necesarias y aunque la variedad de mecanismos usados dificulta una única forma de prevención, ya se han generado buenas prácticas de la industria que ayudan en los controles.

Para los usuarios de criptomonedas es fundamental tener medidas efectivas que aseguren sus transacciones de ataques en el portapapeles. Tras la investigación realizada por nuestro laboratorio de innovación sobre el funcionamiento de Evrial se desarrolló una herramienta que controla el ataque de cambio de la billetera destino, que denominamos CryptoClipWatcher y que es completamente libre.

Esta sencilla pero poderosa herramienta una vez instalada comprueba cada vez que el usuario usa el portapapeles si existe una billetera de alguna criptomoneda, la cual será monitoreada en todo momento, para alertar en caso de un cambio en el proceso de la transacción. Adicionalmente, tiene un sistema de protección para que el malware requiera un usuario de nivel superior para poder bloquear su funcionamiento.

En los dispositivos móviles, debido al incremento en las detecciones en las tiendas de aplicaciones, tanto Apple como Google, modificaron las políticas de seguridad de las aplicaciones, bloqueando la posibilidad de que los desarrolladores implementen minadores de criptomonedas en las aplicaciones ofrecidas. No obstante, los usuarios deben validar las aplicaciones instaladas en sus dispositivos y no descargar aplicaciones de sitios no oficiales.

Las empresas que están migrando o que ya migraron su infraestructura a la nube, deben adoptar medidas para la administración de las infraestructuras en la nube, que contemplen el uso de API, únicamente desde plataformas autorizadas y que las credenciales se mantengan fuera de los servicios públicos. Para esto es necesario que implementaciones como Docker tengan políticas de seguridad y cumplan las buenas prácticas.

Todas las anteriores recomendaciones, deben ser complementadas con el monitoreo permanente de procesamiento de equipo, tráfico en la red, existencia de proxies, inspección de paquetes y mantenimiento de sistemas de EDR (Endpoint Deception and Response) en todos los equipos, con el fin de garantizar una detección temprana de cualquier anomalía de las descritas anteriormente o alguna nueva metodología usada por los delincuentes.

Esto, sin duda, es un trabajo constante para las organizaciones que implica cambios en los modos de operación y procesos de las empresas, y que se deben soportar en servicios especializados donde apoyarse en la cooperación de entidades del sector o de otros sectores permita tener al día los mecanismos de validación con los indicadores de compromiso (IOC) que se generan de estas alianzas.

Dentro de los IOC se encuentran direcciones IP, dominios, URLs, características del tráfico, nombre de archivos, extensiones de archivos, características de ejecutables, entre otros. En la comunidad de ElevenPaths hemos creado un hilo con algunos de los IOC de las variantes de Cryptojacking. Esto tiene como objetivo que los equipos de seguridad puedan contar con un lugar en el que encontrar las características de detección que se deben configurar en los diferentes sistemas.

Continuaremos hablando en próximas entradas sobre este tema, pero ya sabéis que para cualquier consulta o sugerencia podéis escribir a nuestra comunidad de ElevenPaths.

» Cryptojacking: Amenaza latente y creciente. Parte 1 de 4
» Cryptojacking: Amenaza latente y creciente. Parte 2 de 4
» Cryptojacking: Amenaza latente y creciente. Parte 3 de 4