Axyom: La Plataforma del Gobierno de los Ciberriesgos para PyMes

La Gestión de la Seguridad de una empresa - no importa el tamaño que tenga - hay que hacerla por capas. Además, debe ser un proceso incremental donde el Plan Director va haciendo que el nivel de protección de la compañía suba constantemente - o que no se degrade -. Este plan debe incluir mejoras la Protección, en la Detección, y en la Respuesta. El trabajo de un CISO es siempre un trabajo de priorización continua de sus recursos para la gestión de la seguridad de la compañía dentro de un entorno de amenazas cambiantes, con el objetivo de mitigar los Riesgos, o en nuestro caso los Ciberriesgos. 

Figura 1: Axyom: La Plataforma del Gobierno de los Ciberriesgos para PyMes

Para eso, hay que hacer un Plan de Gestión de Riegos que es la estrella del norte de esta gestión, y que marca la evolución del Sistema de Gestión de la Seguridad de la empresa. Dentro de ese Plan de Gestión de Ciberriesgos, hay que hacer un trabaja constante para Identificarlos, Evaluarlos y Tratarlos, después elegir un Responsable de cada uno de ellos y Monitorizar la evolución en indicadores de cada uno de ellos. Algo muy básico para los que llevan la Ciberseguridad de una empresa hace tiempo, donde tienes que añadir el Cumplimiento Normativo. Es el trabajo y la responsabilidad de los CISOs, y por eso es un C-level y suele estar bien remunerado.

Figura 2: CISOs y herramientas de Ciberseguridad

Por desgracia, ni todas las empresas pueden permitirse tener CISOs, ni todas las empresas tienen los recursos necesarios para tener un Plan Director de Giberseguridad ambicioso, o un Sistema de Gestión de CiberRiesgos de gran alcance. No obstante, hay que hacerlo, porque si no les hace vulnerables - por desgracia, porque además dentro de esas fases en la gestión del ciberriesgo hay que hacer muchas tareas. 

Figura 3: Axyom: La Plataforma del Gobierno de los Ciberriesgos para PyMes

Con el objetivo de automatizar y ayudar a realizar todas estas tareas fundamental en la gestión de ciberriesgos, es en lo que Óscar Calvo Moldes y Marc Torrents llevan trabajando toda su vida profesional, y para lo que han fundado la empresa Axyom.

Figura 4: Axyom integra en una plataforma el Gobiernos de la Ciberseguridad completo

La misión de Axyom es lograr que cualquier empresa pequeña o mediana, pueda tener una plataforma para Gobernar la Ciberseguridad y  Gestionar sus CiberRiesgos de manera automatizada, con escaneos de ciberseguridad externos e internos, con la gestión de los elementos de seguridad, y permitiendo que cualquiera se pueda proteger de esos Ciberriesgos con un Ciberseguro, algo que, a pesar de ser fundamental en los plantes de seguridad de autónomos, PyMes y empresas en general, sigue siendo el debe de muchos planes de gestión de la ciberseguridad de la empresa.

Figura 5: Gestión de Riesgos asociados a impacto en costes

Como sabéis, yo soy socio de IronGate, donde nos focalizamos en dar un Security Operations Center para autónomos y PyMes, donde gestionamos sus EDR y MDR de manera constante. Ahora, IronGate y Axyom han llegado a un acuerdo de colaboración, así entre ambas empresas se expanden las capacidades de una PyME en seguridad con un coste muy adaptado a ellas, pero permitiéndoles que tengan un Plan de Gestión de Ciberriesgos, un SOC para gestión de su EDR y MDR, además de poder contratar sus Ciberseguros directamente desde la plataforma de Axyom.

Figura 6: El SOC de IronGate com MDR en Axyom

Para que pruebes el servicio, el equipo de Axyom, permite durante un tiempo limitado, hacer un escaneo de los Ciberriesgos de tu PyMe, con solo autenticarte con una cuenta del dominio de tu organización. Así, puedes ir a la web, hacer un análisis de Cbierriesgos de tu empresa - te sorprenderá la información si no lo has hecho nunca - y saber qué medidas mitigadoras puedes tomar para gestionar y controlar ese ciberriesgo.

Figura 7: Escanea gratis tus Ciberriesgos con Axyom

En el siguiente vídeo tienes una explicación detallada de cómo funciona la plataforma de Axyom. En sólo tres minutos puedes ver claramente las ventajas de Gobernar la Seguridad de una empresa desde una plataforma como esta, que permite Gestionar un mapa de Ciberriesgos con visión completa.

Figura 8: Explicación del funcionamiento de Axyom

La seguridad de tu organización es algo tan importante como la salud personal. Todos tenemos claro que cuando estamos enfermos lo primero es la salud. Los más inteligentes cuidan su salud constantemente. En el mundo de la empresa, todos tenemos claro que cuando hay un incidente de seguridad en la empresa, eso es lo más importante. Los más inteligentes cuidan su seguridad con un Plan de Gestión de Riegos, y un Gobierno de la Ciberseguridad constante. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

La Inteligencia Artificial está multiplicando los parches de seguridad ... ¿quién los va a instalar en tu PYME?

En este blog hemos visto durante los últimos meses hablar de un asunto muy relevante: El descubrimiento masivo de vulnerabilidades gracias al avance los modelos de IA. Hemos visto el impacto de Mythos en concreto y la IA en general, y de cómo los modelos superan cada vez más y mejor benchmarks como ExploitBench o ExploitGym que se usan para medir capacidades ofensivas en la explotación de vulnerabilidades, e incluso  de los ataques orquestados con enjambres de agentes IA. En resumen, Bugs, Exploits y Parches masivos.

Figura 1: La IA está multiplicando los parches de seguridad

...¿quién los va a instalar en tu PYME?

Y esto, para la gestión de la seguridad de una empresa, acabará siempre en el mismo sitio: Acelerar el cliclo de gestión de parches y actualizaciones de seguridad, qué es el verdadero significado de todo esto para una PYME que tiene dos ordenadores, tres móviles y ningún informático.

Figura 2: "Cybercrime in the Age of AI" de ThreatDown

Hace unos días leí el informe "Cybercrime in the Age of AI" de ThreatDown, y hay un dato que me parece mucho más importante que todos los titulares sobre exploits generados por IA. Es este: Firefox publicó 31 correcciones de seguridad en abril de 2025. En abril de 2026, después de aplicar uno de estos modelos de IA a su propio código, publicó 423. 

Figura 3:  Mozilla Firefox y 432 bugs parcheados tras auditarlo con Mythos

Leedlo otra vez. Trece veces más parches en el mismo mes del año siguiente. El problema no es el ataque sofisticado. Es el volumen.

El problema de verdad para las PYMES: El volumen de parches

Cuando hablamos de IA y Ciberseguridad todo el mundo piensa en el atacante con un modelo de lenguaje generando 0days a demanda. Y sí, eso está llegando: Google detectó en mayo de este año el primer exploit de día cero desarrollado por criminales con ayuda de IA.

Figura 4:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Pero para una pequeña empresa el peligro inmediato es mucho más aburrido y mucho más real. Los fabricantes están encontrando y corrigiendo fallos a una velocidad que no habíamos visto nunca, y cada parche que se publica es también un mapa para el atacante, que puede estudiarlo y construir el exploit contra todos los que todavía no lo han instalado. El que va al día está protegido. El que acumula retraso queda expuesto más tiempo, y contra más cosas.

Tener la herramienta no es lo mismo que tener quien la maneje

Este mundo nos ha dado como conclusión, que se han multiplicado por diez el número de actualizaciones pendientes en una empresa donde la ciberseguridad la lleva "el que más sabe de ordenadores" entre otras diez tareas, y ya me dirás cómo acaba eso. Aquí es donde mucha gente se confunde, y por eso os enlazo este artículo que hemos escrito en IronGate explicando la diferencia entre un EDR y un servicio MDR, que merece la pena leer entero.

Figura 5: Diferencia entre EDR y MDR

Resumiendo mucho: un EDR es la tecnología que detecta lo que pasa en los dispositivos y bloquea automáticamente lo que es evidente. Un servicio MDR es el equipo que revisa lo que no es evidente, que es la inmensa mayoría. 

Un EDR con gestión de vulnerabilidades te devuelve una lista de trescientos fallos detectados en tus equipos. Esa lista no es protección: es trabajo pendiente. Convertirla en equipos realmente actualizados exige priorizar, comprobar qué actualización puede romperte una integración en producción, avisar antes de tocar nada que pueda parar el negocio, y verificar después que cada fallo quedó cerrado.

Figura 6: Solicita un Diagnóstico gratuito a IronGate Cybersecurity

Y esto era ya así el año pasado. Con la IA metiendo décima, no es que se vuelva más difícil: es que deja de ser algo que se pueda hacer los viernes por la tarde si queda un hueco. Sabemos que "gastar" en seguridad nunca apetece cuando eres una PYME que va al día. Pero la pregunta que yo os haría no es cuánto cuesta el servicio, sino esta otra: cuando dentro de seis meses tu empresa acumule cuatrocientos parches pendientes ... ¿quién los va a instalar?

Saludos,

Figura 7: Contactar con Ricardo Fúster.

CEO y Fundador de IronGate CyberSecurity

Si tu PYME es tu modo de vida ... ¿por qué la pones en riesgo?

Esta semana, en mitad de la vorágine de viajes y charlas, en mi buzón de MyPublicInbox he recibido un par de correos muy similares. Ambos eran de incidentes de seguridad en PYMEs, y ambos tenían un punto de desesperación por culpa de un incidente de seguridad. Se trataba de dos ciberestafas - nada nuevas - que habían robado el dinero de sus cuentas. 

Figura 1: Si tu PYME es tu modo de vida ... ¿por qué la pones en riesgo?

El primero de ellos tenía un troyano en el equipo desde donde le controlaban el correo electrónico, y le estaban controlando las transferencias bancarias, desde el correo electrónico. Es una técnica que ya os conté hace más de doce años, donde se modifican los números de cuenta, y la víctima acaba siendo ella la que envía el dinero a cuentas en el extranjero pensando que lo está haciendo a una cuenta correcta.

Figura 2: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

El segundo de los correos fue un ransomware que le estaba pidiendo un pago en BitCoins para devolverle el acceso a todos sus documentos, trabajos, facturas, bases de datos de claves de acceso a cuentas, etcétera. Nada nuevo bajo el sol en ninguno de los dos ataques.

Por supuesto, yo les contesté con la mejor de mis intenciones, explicándole al primero la dificultad de recuperar el dinero enviado hace una semana a unas cuentas en Hong-Kong, y al segundo lo complejo que es recuperar a corto plazo de tiempo el acceso a esos documentos sin pagar, y los costes que puede tener intentar crackear el cifrado del ransomware por fuerza bruta.

Sin embargo, lo que más me llamó la atención era el punto de desesperación y sufrimiento que ambas personas tenían en sus mensajes. Eran PYMEs y estos ataques les hacían un roto para seguir con su vida normal, para poder hacer frente a los pagos del mes, y les afectaba a su vida personal de manera importante. Las pequeñas empresas eran, y son su forma de vida. Viven al mes de lo que van cobrando y la disrupción les dejaba en una situación crítica y desesperanzada. 

Los servicios de ciberseguridad son caros o baratos dependiendo de ti

A veces me gustaría poder hacer magia, y con un golpe de teclado hacer que el dinero regresara de las cuentas de los cibercriminales o que los ficheros se descifraran con un sencillo script hecho con Vibe Coding, pero la realidad es que la solución no está después, si no antes. Ninguna de ellos tenía sistemas de protección en tiempo real. No tenían EDRs para detectar el malware y las vulnerabilidades cuando llegaban.

"¡Es que los servicios de ciberseguridad son muy caros!", 

me decía una de las víctimas. Sí, es verdad. A posteriori, los servicios de ciberseguridad son muy caros, porque los analistas forenses o los expertos de ciberseguridad si los pagas por horas cuando ya has tenido el problema, te van a costar mucho, y encima no van a poder hacer magia. Pero poner soluciones de prevención de ciberseguridad ANTES es muy barato.

El modelo de seguridad de IronGate Cybersecurity funciona como una Suscripción por Dispositivo, donde se da un servicio MDR (Managed Detection and Response) que vela por la seguridad de los equipos las 24 horas del día, los 7 días a la semana, ayudando a PyMes, Autónomos y Particulares a tener protegidos los equipos, detectar las amenazas y tomar las acciones preventivas y/o correctivas de ciberseguridad adecuadas a la alerta. Por 10 € al mes por equipo.

Figura 3: Gestión de dispositvos para Autónomos y Particulares

Para ello, IronGate Cybersecurity se encarga de ser un Security Operations Center para que todas alarmas de seguridad generadas desde tus sistemas de seguridad en los dispositivos sirvan para aumentar el nivel de seguridad de tus equipos. En una PYME con dos ordenadores y tres móviles el coste de la protección con EDRs y MDR es de 50 € al mes con monitorización 24x7. La cantidad de dinero perdida en los dos incidentes que os he contado podría pagar la protección de los sistemas por toda la vida útil de la emrpesa.

Figura 4: IronGate Cybersecurity - Security Operations Center (SOC)

para PyMes, Autónomos y Particulares

Sé que "gastar" en seguridad es algo que nunca viene bien cuando eres una PYME que va al día, pero mejor un poco en prevención que sufrir las consecuencias después. Os garantizo que una vez que el dinero ha volado o que el ransomware ha cifrado los archivos, los expertos de ciberseguridad no van a poder hacer magia. Si tu pequeña empresa es tu forma de subsistir, entonces no ahorres en lo importante.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

De Hacker a Hacker: Pablo González vs. Ricky Fúster CEO & Fouder de IronGate Security

Ya os conté el año pasado que me uní a IronGate Cybersecurity, una empresa a la que me uní como socio, ya que me encantó la idea de proteger a PyMes, Autónomos o Particulares con un SOC (Security Operations Center) y que puedan contar con sistemas de seguridad y protección "Enterprise-Level". Hoy, para que conozcáis más del proyecto, os traígo la entrevista en "De Hacker a Hacker" que le ha hecho Pablo González a Ricky Fúster, CEO y Founder de la compañía. 

Figura 1: De Hacker a Hacker: Pablo González vs. Ricky Fúster

CEO & Fouder de IronGate Security

La propuesta de la compañía es sencilla de entender y más que necesario el servicio que ofrencen para todas las empresas, pero habitualmente no ha sido asequible para todas, si no es en una modalidad como la que ofrece IronGate Cybersecurity. 

Figura 2: IronGate Cybersecurity - Security Operations Center (SOC)

para PyMes, Autónomos y Particulares

Para que conozcáis mejor el proyecto, aquí tenéis la entrevista que Pablo González le ha hecho a Ricky Fúster en "De Hacker a Hacker", donde cuenta cosas sobre cómo acabé involucrado en IronGate Cybersecurity.

Figura 3: De Hacker a Hacker - Entrevista a Ricky Fúster,CEO & Founder de IronGate Cybersecurity

La idea es, tal y como os he dicho, poder dotar a las PyMES, autónomos y particulares de la gestión de seguridad que hace un Security Operations Center (SOC) para las grandes empresas, pero en un formato asequible para ellas. 

Figura 4: IronGate Cybersecurity - Ricardo Fuster CEO y Fundador

En este caso contando con un equipo de profesionales que monitorizan las alertas de seguridad que producen las herramientas de seguridad, y las gestionan.

Figura 5: Servicios para PyMes de IronGate Cybersecurity

El modelo de seguridad funciona como una Suscripción por Dispositivo, donde tendrás un servicio MDR (Managed Detection and Response) que vela por la seguridad de los equipos las 24 horas del día, los 7 días a la semana, ayudando a PyMes, Autónomos y Particulares a tener protegidos los equipos, detectar las amenazas y tomar las acciones preventivas y/o correctivas de ciberseguridad adecuadas a la alerta.

Figura 6: Gestión de dispositvos para Autónomos y Particulares

Para ello, IronGate Cybersecurity se encarga de ser un Security Operations Center para que todas alarmas de seguridad generadas desde tus sistemas de seguridad en los dispositivos sirvan para aumentar el nivel de seguridad de tus equipos. 

Figura 7: Servicios para PyMes de IronGate Cybersecurity

Por desgracia, PyMes, Autónomos y Particulares es uno de los grupos más vulnerables frente a ataques masivos, y el sufrir un incidente de seguridad en los equipos de trabajo del día a día puede significar un quebranto económico serio para todas ellas.

Figura 8: Servicios de IronGate CyberSecurity para Empresas 

Si quieres conocer más de los servicios, o cómo usarlos en tu empresa, puedes contactar a través de la web, o escribir directamente a Ricardo Fúster, CEO y Fundador de IronGate Cybersecurity, que un día me escribió por mi buzón de MyPublicInbox, y acabé metiéndome en este "lío" tan bonito. 

Figura 9: Contactar con Ricardo Fúster.

CEO y Fundador de IronGate CyberSecurity

También, puedes contactar con Ricardo Fúster - o conmigo incluso - o usando el formulario, si crees que tu empresas puede colaborar con IronGate Cybersecurity, que siempre puede aparecer una nueva oportunidad uniendo fuerzas.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

IronGate Cybersecurity: Security Operations Center (SOC) para PyMes, Autónomos y Particulares

Los que me conocéis ya sabéis que me gusta hacer muchas cosas. Siempre estoy escuchando, y animándome a hacer cosas nuevas que me parecen chulas. La última de ellas se llama IronGate Cybersecurity, una empresa a la que me he unido como socio, ya que me ha encantado la idea de proteger a PyMes, Autónomos o Particulares con un SOC (Security Operations Center). 

Figura 1: IronGate Cybersecurity - Security Operations Center (SOC)

para PyMes, Autónomos y Particulares

Sencillo de entender y más que necesario para todas las empresas, pero no asequible para todas, si no es en una modalidad como la que ofrece IronGate Cybersecurity. La idea es, tal y como os he dicho, poder dotar a las PyMES, autónomos y particulares de la gestión de seguridad que hace un Security Operations Center (SOC) para las grandes empresas, pero en un formato asequible para ellas. 

Figura 2: IronGate Cybersecurity - Ricardo Fuster CEO y Fundador

En este caso contando con un equipo de profesionales que monitorizan las alertas de seguridad que producen las herramientas de seguridad, y las gestionan.

Figura 3: Servicios para PyMes de IronGate Cybersecurity

El modelo de seguridad funciona como una Suscripción por Dispositivo, donde tendrás un servicio MDR (Managed Detection and Response) que vela por la seguridad de los equipos las 24 horas del día, los 7 días a la semana, ayudando a PyMes, Autónomos y Particulares a tener protegidos los equipos, detectar las amenazas y tomar las acciones preventivas y/o correctivas de ciberseguridad adecuadas a la alerta.

Figura 4: Gestión de dispositvos para Autónomos y Particulares

Para ello, IronGate Cybersecurity se encarga de ser un Security Operations Center para que todas alarmas de seguridad generadas desde tus sistemas de seguridad en los dispositivos sirvan para aumentar el nivel de seguridad de tus equipos. 

Figura 5: Servicios para PyMes de IronGate Cybersecurity

Por desgracia, PyMes, Autónomos y Particulares es uno de los grupos más vulnerables frente a ataques masivos, y el sufrir un incidente de seguridad en los equipos de trabajo del día a día puede significar un quebranto económico serio para todas ellas.

Figura 6: Servicios de IronGate CyberSecurity para Empresas 

Si quieres conocer más de los servicios, o cómo usarlos en tu empresa, puedes contactar a través de la web, o escribir directamente a Ricardo Fúster, CEO y Fundador de IronGate Cybersecurity, que un día me escribió por mi buzón de MyPublicInbox, y acabé metiéndome en este "lío" tan bonito. 

Figura 7: Contactar con Ricardo Fúster.

CEO y Fundador de IronGate CyberSecurity

También, puedes contactar con Ricardo Fúster - o conmigo incluso - o usando el formulario, si crees que tu empresas puede colaborar con IronGate Cybersecurity, que siempre puede aparecer una nueva oportunidad uniendo fuerzas.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Máster en Reversing, Análisis de Malware y Bug Hunting: Comienzo el 2 de Octubre

Ya he hablado muchas veces de cómo se ha incrementado la demanda de expertos profesionales en Reverseing, Análisis de Malware y Bug Hunting, por asuntos en varias empresas, los problemas de los ataques de ransomware perpetrados contra varias empresas, gobiernos y organizaciones que han sufrido para recuperarse de ellos y volver a estar operativos y funcionales. Y si quieres formarte para ser parte de este conjunto tan selecto de expertos, el próximo 2 de Octubre tienes una oportunidad de oro.

Figura 1: Máster en Reversing, Análisis de Malware y Bug Hunting

 en el Campus Internacional de Seguridad

Y desde que vivimos una guerra en Europa como la que estamos sufriendo, vemos un incremento de malware de espionaje e inteligencia. Cuando suceden estos incidentes de seguridad, es lo que llamamos el "SWAT Team" a trabajar en conjunto con el CSIRT que trata todas las emergencias y que es el que tiene que tomar las riendas cuando las cosas se ponen peligrosas. En esos equipos, igual que en los equipos de ciberinteligencia, los equipos Red Team, y cualquiera de los que se encuentran profesionales que necesitan lidiar con lo desconocido se precisan perfiles muy especiales. 

Figura 2: Máster online en Reversing, Análisis de Malware y Bug Hunting

Especialistas que sean capaces de desarmar un malware, un dropper, un rootkit, un bootkit o sea el bicho que haya entrando en el perímetro, haciendo ingeniería inversa o reversing del mismo para saber qué hace, qué ha hecho y cómo se desactiva. Y si lo ha hecho por un fallo conocido, o explotando una vulnerabilidad nueva, por lo que ese analista tiene que ser también un experto en Bug Hunting.

Figura 3: Malware en Android. Discovering, Reversing & Forensics

Como os podéis imaginar, estos perfiles con alta profundidad técnica son muy demandados en el mundo de hoy en día, y para tener el nivel adecuado de entrar en los equipos de CSIRT, de Ciberinteligencia o Red Team para atacar a la compañía, hay que formarse mucho. Dentro de los Másters del Campus Internacional de Ciberseguridad  se ha preparado una convocatoria para el 2 de Octubre de este año de uno de estos Máster Online en Reversing, Análisis de Malware y Bug Hunting.

Figura 4: Programa del Máster de Reversing, Análisis de Malware y Bug Hunting

Como sabes, yo estoy de mentor de este Másters, y en él se encuentran profesionales de la talla de Sergio de los Santos, Miguel Ángel de Castro, Manuel Urueña, Gonzalo Álvarez Marañón, Luis Alberto Segura Delgado, José Torres, Iván Portillo, Alejandro Vázquez y David García forman el plantel de profesionales de un equipo formativo que merece la pena que veas.

 Figura 5: Plantel de profesores del programa de

Máster de Reversing, análisis de Malware y Bug Hunting

Si te gusta este mundo, donde te prometo que tendrás de todo menos aburrimiento y rutina, te puedes apuntar ahora a este Máster Online de Reversing, análisis de Malware y Bug Hunting, que el curso da comienzo el próximo 2 de Octubre de 2025.

Figura 6: Libro de Bug Bounty: De profesión "Cazarrecompensas"

escrito por Pablo García en 0xWord

También, todos los alumnos tienen libros de 0xWord (Malware en Andorid, Bug Bounty) acompañando el material de estudio de los Másters de Ciberseguridad y 2.000 Tempos para contactar con profesionales de este campo de ciberseguridad en la plataforma de MyPublicInbox, para que puedas pedir consejo o solucionar dudas. Recuerda, comienza el próximo 2 de Octubre, pero hay que matricularse cuanto antes.

Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso) - Consigue 100 Tempos en MyPublicInbox

Evil Signature Injection: Borrado remoto de bases de datos, buzones de correos y ficheros de log con Evil Signatures y tu EDR

Después del incidente con Crowdstrike, uno de los EDR más famosos del mundo, los ojos de los investigadores de seguridad se han puesto en ellos. Tener en el sistema objetivo de un ataque un software que se ejecuta con tantos privilegios se ha convertido en oportunidad de usarlo como herramienta del atacante en lugar de temerlo como una herramienta defensiva.

Figura 1: Evil Signature Injection: Borrado remoto de bases de datos,

buzones de correos y ficheros de log con Evil Signatures y tu EDR

Ayer sábado, tranquilo por la tarde, comencé a repasar las charlas de BlackHat y DefCON, y me topé con el trabajo de EDR Reloaded: Erase Data Remotely de los investigadores Tomer Bar y Shmuel Cohen. Desde el principio me encantó la idea por lo simple y hacker que es, y sobre todo, porque es algo que hacíamos nosotros hace muchos años.

Back in 2012 with Eicar

En el año 2012, durante un tiempo, estuve jugando mucho con los Terminal Services y la Apps en Citrix. Escribí muchos posts sobre ellos, y acabé dando una charla junto al gran Juan Garrido en DefCON sobre Terminal Hackpplications llamada "Bosses love Excel, hackers Too", donde llevábamos, además de muchos de estos trucos que quedaron en el blog, una idea del gran Silverhack de meter la shell en EXCEL y desde una sesión de Terminal Services o Citrix controlar la máquina. 

Figura 2: Bosses love Excel, hackers too

Entre los trucos, estaba el de forzar que cantara el antivirus del servidor incluyendo la firma de EICAR para testar si estaba siendo investigada por un Antimalware (aún no se utilizaba el concepto de EDR), y cuál era en concreto. Lo dejé en el artículo: "Eicar para hacer jailbreak en Terminal Services o Citrix".

Figura 3: Symantec EndPoint Protection vigila este Citrix
y nos da el botón de ayuda para entrar en el sistema.

La gracia era qué, si saltaba la consola del antivirus, o una alerta, podríamos llamar a la ayuda, sacar un explorador de ficheros y abrir el sistema completo. Es decir, hacer Jailbreak a una sesión de Terminal Services o Citrix mediante un firma de una muestra de malware "ficticia", como era EICAR.

Erase Data Remotely with Evil Signatures

Ese concepto de "Firma Maliciosa" o "Evil Signature" es lo que han utilizado los investigadores para hacer que se borren ficheros, aprovechándose de Windows Defender en los sistemas Microsoft, y de otros EDR en sistemas GNU/Linux, generando una Evil Signature que ingresan en el sistema de diferentes maneras, ya sea incluyéndola en un fichero binario, en un doc, en una llamada HTTP, en una consulta SQL, o en un alta de un usuario de una plataforma SaaS.

Figura 4: Búsqueda de Evil Signatures para Windows Defender

La idea es tan sencilla como, buscar las firmas que usa Windows Defender, y probar para tener tener el mínimo de caracteres necesarios para que el EDR de Microsoft lo detecte como si fuera un malware de severidad HIGH, para lograr que la acción que se lance sea la más drástica, es decir, eliminar el fichero. 

Figura 5: Windows Defender tiene diferentes acciones por severidad

El resto es conseguir que el fichero ese sea el que quiere borrar el atacante. Así que, a partir de ese momento, es objetivo es ver cómo meter la firma más pequeña en el sitio adecuado para saber qué fichero quieres que borre el EDR que está protegiendo esta máquina.

Figura 6: Introduciendo la Evil Signature en un HTTP Post

En el ejemplo anterior, la Evil Signature se introduce simplemente en un parámetro por POST desde una llamada HTTP, para conseguir que Windows Defender elimine los logs del servidor de Web de la máquina.

Figura 7: Logs del servidor Web eliminados por Windows Defender

Lo mismo se puede hacer con una sesión Windows FTP, en este caso inyectando la Evil Signature como si fuera el nombre del usuario, pero al inscribirse este username en el fichero de log, salta el EDR y se carga el archivo completamente porque es severidad High.

Figura 8: La Evil Signature en el username de un Windows FTP

Esto, en determinados sistemas puede ser más crítico. En este caso, se carga el mailbox de un Mozilla  ThunderBird, que no le hará ninguna gracia al usuario que, sin hacer ninguna acción se acaba de quedar sin ninguno de sus correos almacenados.

Figura 9: Borrado del buzón de Mozilla ThunderBird

Y por supuesto, el propio log de la máquina Windows que viene de serie en todos los sistemas de Microsoft y que usan los SysAdmin para controlar lo que está pasando en su plataforma. De repente verán vacíos temporales.

Figura 10: Borrado de los logs de Windows

También, se puede lograr que Windows Defender elimine su propio log, lo que es una maravilla para borrar los rastros que un atacante deja en un sistema.

Figura 11: Eliminando los logs de Windows Defender

Además, se puede lograr que la víctima expanda el ataque, ya que si el fichero de log pasa al servidor de logs, se llevará la Evil Signature consigo, así que si tenemos un Splunk, éste acabará siendo afectado también.

Figura 12: Afectando la Evl Signature a Splunk

Pero lo peor de este ataque es que si lo consigues meter en el Datafile de una base de datos y que el EDR lo tome como un malware de severidad High, entonces podrías conseguir eliminar la base de datos de un objetivo, lo que no debe ser gracioso para nadie.

Figura 13: Borrando la base de datos de un MariaDB con Evil Signature

En este caso, los investigadores han sido capaces de que el EDR se cargue bases de datos de MariaDB ( MySQL), PostgreSQL, MomgoDB (adiós a tu BigData) y SQLLite, lo que podría dejar sin funcionar la gran mayoría de servicios y aplicaciones que corren sobre ellos.

Figura 14: Bases de datos afectadas por Evil Signature Injection

Y por supuesto, también se pueden hacer los ataques desde servidor a cliente. En este caso sería un Client-Side Attack que se puede hacer por culpa de visitar un servidor vulnerado, o por un ataque a través de él.

Figura 15: El Web Server envía la Evil Signature al cliente

Y el cliente ve cómo se le borran los ficheros del sistema a través del EDR que tenga configurado para "protegerlo" de los atacantes. Paradojas de la vida.

Figura 16: Windows Defender borra la historia de

Google Chrome y los Web Data

La gracia es que podría hacerse un CSRF, un XSS, un SSRF, o cualquier otro Client-Side Attack para que un atacante haga un Evil Signature Injection en tu equipo y tengas un problema de seguridad serio. Por suerte, los reportes han sido tomados en serio y - tras varias iteraciones - se han corregido, pero esta técnica hay que tenerla en cuenta porque cualquier software privilegiado que corra en tu máquina podría ser víctima de Evil Signature Injection y tener un problema serio en tu plataforma.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)