Cada vez más son las empresas que consolidan modelos de trabajo híbridos y distribuidos, situación que aprovechan los cibermalos para centrar sus esfuerzos en localizar credenciales débiles, servicios expuestos a internet y configuraciones deficientes que les permitan acceder a las redes corporativas sin levantar sospechas.
Los últimos análisis sobre amenazas detectadas durante junio por Barracuda Research, reflejan un patrón cada vez más repetido: antes de desplegar ransomware, robar información o comprometer infraestructuras críticas, los delincuentes buscan primero un punto de entrada sencillo.
Y, en muchos casos, ese acceso llega a través de una VPN mal protegida o de conexiones remotas con medidas de seguridad insuficientes.
Las VPN siguen siendo uno de los principales objetivos
La infraestructura de acceso remoto continúa concentrando buena parte de los intentos de intrusión.
Durante mayo se registró un incremento del 55% en los ataques de «password spraying» procedentes de Irán contra dispositivos Fortigate destinados a proteger conexiones VPN.
Este tipo de ataque consiste en probar una misma contraseña habitual sobre un elevado número de cuentas diferentes.
A diferencia de la fuerza bruta tradicional, esta técnica reduce el riesgo de bloquear usuarios por exceso de intentos y aumenta las posibilidades de encontrar credenciales válidas cuando las organizaciones mantienen contraseñas poco robustas.
Aunque los intentos detectados no lograron comprometer los sistemas analizados, sí evidencian que los ciberdelincuentes mantienen un interés constante por acceder a infraestructuras de acceso remoto para preparar ataques posteriores de mayor impacto.
LemonDuck convierte los equipos en herramientas para nuevos ataques
Otra de las amenazas identificadas es LemonDuck, un malware especializado en comprometer equipos vulnerables para utilizarlos en campañas de minería ilegal de criptomonedas y otras actividades delictivas.
Su funcionamiento va mucho más allá de instalar un programa malicioso. Una vez consigue acceder al sistema, emplea PowerShell para ejecutar scripts ocultos que descargan componentes adicionales desde servidores controlados por los atacantes.
Posteriormente, crea mecanismos de persistencia mediante tareas programadas o eventos de Windows Management Instrumentation (WMI), lo que le permite permanecer activo incluso después de reinicios del equipo.
Además de consumir recursos informáticos para generar criptomonedas, los dispositivos infectados pasan a formar parte de una botnet desde la que pueden lanzarse nuevas campañas maliciosas contra terceros.
GoldBrute aprovecha los escritorios remotos expuestos
El informe también destaca la actividad de GoldBrute, una red de bots especializada en atacar conexiones Remote Desktop Protocol (RDP) expuestas directamente a internet.
Esta amenaza automatiza miles de intentos de autenticación utilizando combinaciones de usuarios y contraseñas hasta encontrar credenciales válidas.
Cuando logra acceder a un sistema, los atacantes pueden moverse lateralmente por la red, instalar software malicioso, extraer información confidencial o preparar la ejecución de ataques mucho más destructivos.
El riesgo aumenta especialmente en organizaciones que mantienen servicios RDP accesibles desde el exterior sin autenticación multifactor, políticas de contraseñas robustas o restricciones de acceso por dirección IP.
La protección del acceso remoto gana importancia
Las conclusiones del informe muestran que una parte importante de los incidentes detectados durante el último mes compartían un mismo origen: controles de acceso insuficientes, servicios remotos visibles desde internet y credenciales vulnerables.
Reducir esta superficie de ataque pasa por implantar autenticación multifactor, eliminar servicios innecesariamente expuestos, actualizar de forma continua los dispositivos de seguridad y aplicar políticas estrictas de gestión de contraseñas.
A ello se suma la necesidad de supervisar de forma permanente la actividad sobre VPN, RDP y otros mecanismos de acceso remoto para detectar comportamientos anómalos antes de que los atacantes consigan consolidar su presencia.
Y es que la combinación de accesos remotos mal protegidos y credenciales débiles sigue siendo una de las vías preferidas por los ciberdelincuentes para comprometer redes empresariales.
Acerca del autor
