Vídeo de YouTube:
https://www.youtube.com/watch?v=LGKlxHcuba0
Artículo
En este episodio resumiremos el análisis que realiza Coach de Osasco en su canal de YouTube en el que se examina el malware BlackSanta, conocido como el 'asesino de EDR', y su impacto en los flujos de trabajo de recursos humanos.
El malware BlackSanta es una amenaza sofisticada dirigida a procesos específicos, como los de Recursos Humanos. Este tipo de ataque, que ya lleva aproximadamente un año en operación, busca evadir los sistemas de seguridad tradicionales, incluyendo los EDR.
Los sistemas de EDR, o Detección y Respuesta en el Punto Final, representan una evolución del antivirus. Su función principal es detectar amenazas en dispositivos como laptops, computadoras de escritorio y servidores, y responder activamente para mitigar el riesgo.
Anteriormente, la seguridad se basaba en sistemas IDS para la detección de intrusiones y IPS para la prevención. El IPS no solo detecta, sino que también toma medidas para bloquear el ataque. Los sistemas EDR combinan estas capacidades con una respuesta avanzada.
La evolución de la seguridad también se ha visto en los firewalls, que pasaron de analizar tráfico en capas básicas a incorporar funciones más complejas como el filtrado web y la inspección SSL, bajo el concepto de Gestión Unificada de Amenazas o UTM. Sin embargo, integrar muchas funciones en una sola "caja" puede generar un único punto de fallo.
El EDR se diferencia de los antivirus clásicos al enfocarse en el análisis de comportamiento y la memoria del sistema. Esto le permite combatir amenazas avanzadas y persistentes, como las APT, las cuales son difíciles de detectar por métodos tradicionales basados en firmas. Utiliza técnicas como los entornos controlados o "sandboxes" para analizar el malware de forma segura.
El malware BlackSanta utiliza técnicas de esteganografía, ocultando código malicioso dentro de archivos de imagen aparentemente inofensivos. Los sistemas EDR pueden tener dificultades para detectar este tipo de amenaza si el código no se ejecuta, ya que su análisis se centra en los comportamientos dinámicos en la memoria.
Un aspecto crítico de la campaña de BlackSanta es su capacidad de deshabilitar las protecciones de seguridad en un nivel profundo del sistema. Logra esto cargando drivers de kernel legítimos pero explotables, una técnica conocida como BYOVD, o "Bring Your Own Vulnerable Device". Esto le permite obtener acceso de bajo nivel y anular el antivirus o los agentes EDR, incluso suprimiendo los registros de eventos para evitar su detección.
Los atacantes se aprovechan de los flujos de trabajo de Recursos Humanos, donde la revisión de currículos y el manejo de archivos adjuntos son prácticas comunes. Esto crea un punto de entrada fácil para los cibercriminales, ya que el personal de RRHH, bajo presión de tiempo, podría no tener la misma conciencia de seguridad que otros departamentos.
Para el atacante, la esteganografía y el uso de drivers legítimos para deshabilitar las protecciones son pasos clave. Una vez que el malware está activo, limpia cualquier rastro y exfiltra datos confidenciales, manteniendo la comunicación con el servidor de comando y control cifrada para evitar la detección.
Los sistemas de Recursos Humanos a menudo son una parte descuidada de las estrategias de ciberseguridad, a pesar de contener información sensible que los convierte en un objetivo valioso. La falta de cultura de ciberseguridad y la percepción de que el reclutamiento es solo una "operación de rutina" exponen a las organizaciones a riesgos significativos.
Las amenazas cibernéticas evolucionan constantemente y no existe una "bala de plata" que garantice una protección total. Es fundamental que las organizaciones implementen una estrategia de seguridad por capas, monitoreen activamente sus sistemas, mantengan sus herramientas de protección actualizadas y, sobre todo, inviertan en la formación continua de todo su personal, especialmente en departamentos vulnerables como Recursos Humanos.
