Descripción general de la solución:

• IBM® Security QRadar EDR utiliza NanoOS, que está diseñado para ser indetectable y proporcionar un nivel excepcional de visibilidad en endpoints e infraestructura
  
  
• Rastrea de manera nativa los movimientos laterales y los intentos de inicio de sesión anómalos
  
  
• Proporciona protección nativa contra los ataques de ransomware
  
  
• Ofrece una potente interfaz de búsqueda de amenazas que permite el seguimiento y la reconstrucción de incidentes muy complejos 

La instalación de gestión del agua ejecutó el software IBM Security QRadar EDR en todos los servidores, ordenadores de sobremesa y portátiles de la instalación para supervisar continuamente todos los activos y rastrear e investigar con prontitud posibles fallos de seguridad. Mediante el uso de los motores duales de IA incorporados de la solución y el análisis detallado del comportamiento, el cliente logró una visibilidad total sobre la infraestructura, lo que permitió realizar consultas en tiempo real a los endpoints y búsquedas ampliadas tanto indicadores de compromiso (IOC) e indicadores de comportamiento (IOB), junto con minería avanzada de datos para descubrir amenazas latentes.

Seis meses después de la implementación, el agente EDR detectó una actividad anómala y empezó a rastrear a los atacantes hasta llegar a un conjunto específico de datos. El software antivirus tradicional existente del cliente y el sistema de detección de intrusiones (IDS) no detectaron ninguna actividad hasta la última etapa del ataque. Si el cliente no hubiera implementado QRadar EDR, los atacantes habrían conseguido adquirir y filtrar los datos.

Ataque a la cadena de suministro

El día que comienza la infracción, QRadar EDR detecta un inicio de sesión sospechoso en un endpoint del segmento de red desde un servidor VPN. El equipo de seguridad da por hecho que el inicio de sesión se debe a un trabajo de mantenimiento de un proveedor de seguridad externo, de manera que asigna una prioridad baja al incidente. Los atacantes implementó un programa malicioso inicial, utilizado principalmente para mapear el segmento de la red en busca de rutas directas a la red privilegiada. Al no encontrar tales rutas disponibles, los atacantes implementaron un segundo programa malicioso en memoria para recopilar credenciales y reutilizarlas en movimientos laterales posteriores. Con las credenciales obtenidas, los atacantes pasaron al controlador de dominio y, poco después, a un servidor de archivos que contiene documentos internos.

Análisis de causa raíz

El inicio de sesión anómalo se produjo fuera del horario de trabajo, desde un endpoint que suele interactuar con los servidores pero no con las estaciones de trabajo. El canal VPN estaba gestionado por un proveedor externo que también se encargaba de mantener el servidor de correo y los cortafuegos, además de la propia VPN. Debido a la naturaleza del acceso, la alerta se mantuvo activa para rastrear cada operación, pero en ese punto, el equipo de seguridad interno pensaba que se estaba realizando mantenimiento en la infraestructura, de manera que asignó una prioridad baja al incidente.

Al día siguiente, QRadar EDR lanzó una segunda alerta, mostrando la actividad de un malware ligero utilizado para escanear la red interna, seguido por otra alerta que señalaba la presencia de un vector en memoria con capacidades de registro de pulsaciones de teclas y recolección de credenciales. En ese momento es cuando el equipo de seguridad se centró en estos incidentes. Iniciaron una búsqueda de amenazas a la vez que los atacantes estaban accediendo, mediante una serie de movimientos laterales, a uno de los controladores de dominio. El equipo decidió aprovechar la invisibilidad de la tecnología NanoOS para seguir el rastro de los atacantes durante el mayor tiempo posible para entender el modus operandi y sus objetivos.

Cuando los atacantes intentaron acceder al servidor de archivos que contenía información altamente confidencial, es cuando el equipo los detuvo e inició el plan de erradicación. Mientras se remediaban los distintos dispositivos, los atacantes se dieron cuenta de que, a pesar de la fácil accesibilidad, no lograban acceder a la información que buscaban. Al darse cuenta de que probablemente habían sido descubiertos, desplegaron un ransomware en toda la infraestructura para borrar su rastro.

Ataque y reconstrucción

Una vez que los motivos del ataque estuvieron claros, lo importante para el operador era conocer el ataque exhaustivamente para así reforzar todos los puntos débiles de la infraestructura. El ataque afectó a una docena de dispositivos antes de la fase de despliegue del ransomware (fase 1) y a varios miles después (fase 2).

Los atacantes lograron obtener acceso al proveedor de la VPN y del servidor de correo y los utilizaron como punto de entrada inicial a la red interna. Los atacantes reutilizaron las credenciales del proveedor para entrar en diferentes máquinas y finalmente se decantaron por una estación de trabajo específica. En ese punto, utilizaron una cadena de herramientas para escanear la red interna e identificar los objetivos de los movimientos laterales. En la etapa final, utilizaron el propio controlador de dominio para propagar el ransomware en todos los dispositivos. 

La instalación de gestión del agua aseguró el acceso a la VPN y llevó a cabo una sesión de búsqueda de amenazas que identificó a cada máquina a la que los atacantes lograron acceder. El módulo de remediación de EDR de QRadar automatizó el proceso de limpieza y el segmento se limpió en cuestión de segundos. La instalación obtuvo todas las herramientas utilizadas durante la etapa de reconocimiento y movimiento lateral e inmediatamente propagó una política que incluía el COI y los comportamientos en toda la infraestructura. No se identificaron más hosts comprometidos después de la implementación de la política. Las credenciales se restablecieron de inmediato para todos los usuarios y el ataque de ransomware no requirió ninguna otra intervención porque la protección antiransomware QRadar EDR del cliente había activado la protección antiransomware de QRadar EDR para todos los dispositivos, lo cual evitó la información importante y la interrupción de las actividades normales.

La instalación cerró exitosamente el incidente el segundo día, sin ninguna pérdida de datos, interrupción de los servicios esenciales ni afectación de los endpoints.

Si la instalación no hubiera empleado QRadar EDR, los atacantes sin duda habrían filtrado información confidencial y podrían haber permanecido activas durante un período prolongado, con la infraestructura completa finalmente deshabilitada por el ataque final de ransomware. Un ataque habría tenido un enorme impacto en la capacidad de las instalaciones para seguir prestando servicios esenciales a los ciudadanos de la región o, incluso, llegar a bloquearlos por completo. Dada la dificultad para identificar los ataques a la cadena de suministro, la instalación podría haber sido vulnerada de nuevo a través del mismo canal si no se hubiera dispuesto de información forense que permitiera determinar la causa de dicha infracción. 

Esta instalación de gestión de recursos hídricos en Europa se encarga de manipular y distribuir agua a alrededor de un millón de personas. La instalación está clasificada como infraestructura crucial con servicios esenciales.