Una de las técnicas más utilizadas por los cibercriminales para perpetrar sus ataques y seleccionar a posibles víctimas es recopilar información sobre sus hots o anfitriones.

Y es que estos equipos, como ordenadores, servidores, switch o cualquier otro dispositivo con capacidad para conectarse a la red y comunicarse entre sí, incluyen un gran número de datos de carácter administrativo o de configuración que pueden ser de gran utilidad en manos malintencionadas -nombre, sistema operativo, idioma, dirección IP, sistema operativo…-.

De hecho, los atacantes emplean distintos métodos para compilar este tipo de material. Desde acciones directas como el escaneo activo, el phishing y la inyección en sites de software malicioso a otras menos agresivas como puede ser la recolección de datos en línea a través de redes sociales, webs de la víctima, facturas, ofertas de empleo o cabeceras HTTP.

La matriz Mitre identifica 4 subtécnicas:

  • Hardware: los atacantes recogen información sobre el hardware del host de la victima como el tipo, la versión o los componentes adicionales, que pueden revelar detalles importantes a tener en cuenta como protecciones de seguridad -lectores biométricos, hardware de cifrado dedicado…-.
  • Software: recopila información sobre antivirus, navegador, versión de Flash Player, etc.
  • Firmware: recoge información sobre configuraciones, parches, antigüedad, etc.
  • Configuración del cliente: reúne información sobre sistema operativo, arquitectura, entornos de virtualización, idioma, zona horaria, etc.

 Mitigación

Esta técnica no se puede mitigar fácilmente con controles preventivos, ya que se basa en comportamientos que se llevan a cabo fuera del alcance de las defensas y controles de la empresa. Los esfuerzos deben centrarse en reducir al mínimo la cantidad y la sensibilidad de la información expuesta.

¿Cómo puedes detectarlo?

Es recomendable escanear el tráfico en los sitios web en busca de patrones asociados con software malicioso diseñado para recopilar información del host a través de los visitantes. Cabe destacar que, gran parte de esta actividad puede tener una tasa de falsos positivos muy alta, además de tener lugar potencialmente fuera de la visibilidad de la organización objetivo, lo que dificulta su detección. Los esfuerzos deben centrarse en etapas relacionadas con el ciclo de vida del ataque, como el acceso inicial.