Ciberdelincuentes explotan el sistema OAuth para secuestrar cuentas de usuarios y alimentar la ciberdelincuencia

En una advertencia reciente, el equipo de seguridad de Microsoft ha arrojado luz sobre una tendencia preocupante en el mundo del cibercrimen.

Los criminales están explotando cada vez más el sistema OAuth, utilizado comúnmente por los sitios web para verificar las identidades de los usuarios, obtener acceso no autorizado a los sistemas y lanzar varias formas de ciberataques, incluida la minería ilícita de criptomonedas. 

La explotación de aplicaciones OAuth por parte de cibercriminales presenta un desafío multifacético para las organizaciones. Los atacantes inician sus campañas comprometiendo cuentas de usuario, a menudo mediante ataques de phishing o de pulverización de contraseñas. 

Sus objetivos principales son las cuentas que carecen de mecanismos de autenticación robustos, lo que las hace vulnerables a ataques de adivinación de credenciales. Una vez que estas cuentas se ven comprometidas, los cibercriminales obtienen un punto de apoyo dentro del sistema.

Una de las actividades maliciosas que siguen es el despliegue de máquinas virtuales (VM) para la minería de criptomonedas. Esto no solo desvía los recursos informáticos, sino que también puede tener un impacto significativo en el consumo de energía y el rendimiento general de una organización. 

Además de la minería de criptomonedas, los atacantes establecen persistencia dentro del sistema después de incidentes de Compromiso de Correo Empresarial (BEC) y utilizan los recursos de la organización para actividades de spam. Este enfoque multifacético subraya la gravedad de la amenaza planteada por estos cibercriminales.

Los esfuerzos de seguimiento y detección vigilantes de Microsoft

Microsoft ha estado rastreando activamente estas actividades maliciosas y ha tomado medidas para mejorar la detección de aplicaciones OAuth maliciosas. Herramientas como Microsoft Defender for Cloud Apps se han implementado para identificar y neutralizar las amenazas rápidamente. 

Una medida clave implica impedir que las cuentas comprometidas accedan a recursos críticos, lo cual es fundamental para frustrar los intentos de los atacantes de escalar sus privilegios y llevar a cabo sus acciones maliciosas.

Mitigación de riesgos: recomendaciones de Microsoft

El análisis exhaustivo de Microsoft sobre estos ataques ha generado recomendaciones esenciales para que las organizaciones refuercen su postura de seguridad y se protejan contra la explotación de OAuth:

Implementar Autenticación Multifactor (MFA): Un número significativo de cuentas comprometidas carecía de MFA, lo que las hacía vulnerables a los ataques. Habilitar MFA reduce drásticamente el riesgo de acceso no autorizado al requerir que los usuarios proporcionen múltiples formas de verificación.

Aprovechar las Políticas de Acceso Condicional y la Evaluación Continua del Acceso: Estas medidas de seguridad avanzadas permiten la evaluación de riesgos en tiempo real y la revocación del acceso cuando se detectan actividades sospechosas. Las organizaciones pueden responder rápidamente a posibles amenazas, evitando daños adicionales.

Utilizar los Valores Predeterminados de Seguridad en Azure Active Directory (Azure AD): Particularmente beneficioso para las organizaciones en el nivel gratuito de la licencia de Azure AD, los valores predeterminados de seguridad ofrecen configuraciones preconfiguradas como MFA y protección para actividades privilegiadas. Estos valores predeterminados proporcionan una base sólida para la seguridad.

Auditar regularmente las aplicaciones y los permisos: Se anima a las organizaciones a revisar las aplicaciones y los permisos otorgados dentro de sus sistemas. Adherirse al principio de menor privilegio asegura que solo se otorgue el acceso necesario, reduciendo la superficie de ataque.