Entre las amenazas más recientes, destaca el backdoor BRICKSTORM, una herramienta de espionaje diseñada con un alto nivel de discreción y persistencia que lo convierte en un verdadero desafío para toda la cadena de valor de las organizaciones, dígase: proveedores, clientes, dispositivos de gestión y más.
Esta nos recuerda que los peligros de hoy en día no solo se dirigen a las computadoras de escritorio o a los servidores visibles, sino también a aquellos sistemas menos controlados u olvidados, que con frecuencia se transforman en la puerta trasera ideal para un atacante.
Por eso, es necesario reconsiderar la gestión de los riesgos cibernéticos, no como una simple lista de controles técnicos, sino como una estrategia completa que prevenga, identifique y reduzca este tipo de amenazas invisibles.
¿Qué es BRICKSTORM y por qué preocupa tanto?
BRICKSTORM es un malware de tipo backdoor que actúa como una puerta trasera para los hackers, es decir, este les permite ejecutar comandos de manera remota, extraer información, manipular archivos y crear túneles de comunicación dentro de la red de la víctima.
Una de las principales características que hace único a este backdoor no es solamente su funcionalidad de encontrarse en otras familias de malware, sino su capacidad de permanecer oculto durante largos periodos. De acuerdo con investigaciones sobre incidentes recientes revelaron que en algunos casos el malware permaneció activo más de un año sin ser detectado y esto pasa por las siguientes razones:
- Se instala en dispositivos o sistemas que no suelen estar protegidos con agentes de seguridad como antivirus o soluciones de monitoreo de endpoints.
- Emplea técnicas de comunicación que imitan tráfico legítimo, lo que dificulta identificar comportamientos sospechosos.
- Su código está diseñado para ejecutarse de forma discreta, sin generar alertas visibles para el usuario o el administrador.
Con esto, el hacker realiza operaciones de espionaje de largo plazo para recolectar información estratégica de manera constante.
Técnicas y tácticas utilizadas por BRICKSTORM
Entender cómo funciona este backdoor ayuda a dimensionar el riesgo y, aunque sus mecanismos son complejos, se puede resumir sus principales tácticas de la siguiente manera:
- Acceso inicial: El malware aprovecha vulnerabilidades en sistemas o dispositivos de borde, especialmente aquellos que tienen acceso a la red interna. Una vez que consigue instalarse, establece comunicación con sus operadores para recibir instrucciones.
- Persistencia: BRICKSTORM modifica configuraciones internas para asegurarse de que, incluso si el sistema se reinicia, siga funcionando en segundo plano. Esto le permite mantenerse activo durante meses sin necesidad de intervención adicional del atacante.
- Movimiento lateral: Cuando el objetivo es obtener acceso a información más sensible, el malware puede “moverse” dentro de la red usando credenciales robadas. Así logra llegar a otros servidores o estaciones de trabajo, ampliando el alcance de la intrusión.
- Comunicación encubierta: Una de las características más peligrosas es su capacidad de ocultar el tráfico hacia los servidores de control. En lugar de generar conexiones sospechosas, BRICKSTORM se camufla en protocolos comunes como el tráfico web, pasando desapercibido en la mayoría de los sistemas de monitoreo.
- Exfiltración de datos: El backdoor permite a los atacantes recopilar documentos, correos electrónicos, credenciales y otra información sensible. Estos datos son enviados de forma discreta al exterior, sin levantar sospechas inmediatas.
Recomendaciones para enfrentar estas amenazas
1. Medidas preventivas
- Mantener un inventario actualizado, debido a que muchas veces se desconoce qué dispositivos están conectados a la red, por lo que el primer paso es saber qué existe para poder protegerlo.
- Aplicar parches de seguridad de forma regular, ya que la mayoría de los accesos iniciales se logran explotando vulnerabilidades conocidas. Por esto, es recomendable mantener sistemas actualizados que reduzcan ese riesgo.
- Segmentar la red, por la razón de que no todos los dispositivos deben tener acceso irrestricto, entonces, creando divisiones internas hace que se dificulte el movimiento lateral del atacante.
- Usar autenticación multifactor, especialmente en sistemas de gestión o administrativos. Aunque un atacante robe credenciales, le será más difícil avanzar sin la segunda capa de validación.
- Monitorear tráfico inusual, porque no basta con observar lo que ocurre en los equipos de los empleados, sino también es necesario vigilar el comportamiento de servidores y dispositivos poco usados.
2. Medidas de detección y respuesta
- Implementar caza de amenazas (threat hunting), en vez de esperar a que una alerta salte, por lo que se recomienda buscar de forma proactiva indicios de actividad anómala.
- Analizar registros históricos y realizar una revisión forense ya que pueden revelar accesos o conexiones sospechosas que pasaron desapercibidas en su momento.
- Contener y aislar rápido si se sospecha de una intrusión y actuar inmediatamente para evitar que el atacante siga avanzando.
- Aprender de cada incidente documentando lo ocurrido, corrigiendo debilidades y usando esa experiencia para reforzar la estrategia.
Finalmente, con la aparición de BRICKSTORM se produce un cambio significativo en la manera de percibir las amenazas digitales. Este backdoor demuestra que los atacantes cibernéticos no requieren ser ruidosos para lograr sus metas, al contrario, cuanto más invisibles y constantes sean sus acciones, mayor es la amenaza para la estabilidad y la continuidad operativa de cualquier entidad.
En este contexto, las organizaciones, los usuarios y las empresas deben adoptar la gestión de riesgos en ciberseguridad como un elemento primordial de su estrategia. No es solamente cuestión de instalar instrumentos convencionales, sino de implementar una cultura preventiva que contemple el monitoreo continuo, la preparación del personal y los planes de respuesta.
Las entidades que tomen esta medida estarán listas para manejar lo imprevisto y las que no lo hagan, en cambio, serán susceptibles a amenazas ocultas que tienen la capacidad de cambiar radicalmente el curso de su negocio y su reputación de un día para otro.
En Never Off Technology impulsamos una visión integral de la gestión de riesgos de ciberseguridad, que va más allá de la tecnología y se centra también en las personas, los procesos y la cultura digital.
