En el universo de las ciberamenazas avanzadas, algunos atacantes recurren a la táctica “Search Threat Vendor Data” para afianzar su presencia y evitar que su infraestructura maliciosa sea rastreada.

Según la matriz MITRE ATT&CK, esta práctica consiste en buscar informes públicos o privados que mencionen sus propias operaciones, indicadores o dominios con el objetivo de eliminarlos, modificarlos o anticiparse a su detección para preservar su operatividad futura, dificultar su atribución y frustrar la mitigación basada en Indicadores de Compromiso (IOCs).

Para ello, los ciberatacantes pueden revisar fuentes de inteligencia de amenazas (threat intelligence): blogs, reports o servicios de “threat vendor”, que proporcionan datos sobre malware, campañas activas, infraestructura maliciosa, actores de amenazas, vulnerabilidades explotadas, Indicadores de Compromiso, Tácticas, Técnicas y Procedimientos (TTPs), etc.

De esta forma, comprueban si su infraestructura (dominios, IPs, hashes o métodos) ha sido expuesta y si detectan que han sido identificados, pueden reaccionar rápidamente eliminando el dominio, rotando la infraestructura, cambiando hashes o repensando su aproximación en pocos días.

¿Por qué esta práctica es crítica?

La técnica “Search Threat Vendor Data” es peligrosa porque supone un giro táctico en la forma de actuar de los ciberdelincuentes, que ya no esperan a que los detecten sino que vigilan y reaccionan ante lo que se dice de ellos. Esto tiene como consecuencia:

  • Una evasión proactiva. Al percibir que su infraestructura ha sido identificada, los atacantes pueden cambiar rápidamente sus dominios, IPs o artefactos, adelantándose a las acciones de los defensores. Como resultado, los IOCs tradicionales quedan obsoletos en cuestión de horas o días.
  • Un aumento en la durabilidad del ataque. Al monitorear continuamente la “visibilidad pública” de su infraestructura, los intrusos pueden anticiparse a posibles filtraciones, manteniendo un ciclo activo de adaptación que prolonga la vida útil de su campaña.
  • Mayor dificultad de detección. Los actores maliciosos consultan fuentes externas a la red de la víctima, por tanto, resulta prácticamente invisible para los  controles tradicionales.

¿Cómo podemos mitigarla?

Dentro de un contexto corporativo es complicado atenuarla, dado que se basa en comportamientos externos, de modo que las defensas no deben apoyarse exclusivamente en IOCs estáticos. En lugar de esto, conviene:

➤ Adoptar un enfoque de seguridad centrado en el comportamiento, es decir, observar anomalías, patrones persistentes o actividades sospechosas más allá de simples indicadores.
➤ Priorizar controles de seguridad que dificulten el uso de la infraestructura comprometida, como la segmentación de red, el control reforzado de accesos, los privilegios mínimos y buenas prácticas en el uso de credenciales.
➤ En entornos en los que se tenga visibilidad externa (por ejemplo, entornos de servicios gestionados o activos públicos), conviene vigilar cambios frecuentes en dominios, certificados y direcciones IP asociadas a servicios críticos.

En un mundo donde los responsables de la defensa de los sistemas suelen depender de listas negras e IOCs públicos, la técnica “Search Threat Vendor Data” subraya la necesidad de evolucionar hacia un modelo más dinámico y resiliente, centrado en la detección de comportamientos, la segmentación, la limitación de privilegios y la preparación para la rotación frecuente de infraestructura maliciosa.