La «mitigación de exploits» se estancó en 2008, los ataques no

El núcleo de mi última entrada era una asimetría. Un ataque puede desarrollarse en dos pasos o en veinte, pero el vocabulario del que se nutre nunca crece. El mismo pequeño conjunto de elementos básicos (memoria ejecutable, flujo de control, manipulación de procesos, acceso a credenciales, cifrado) es todo lo que cualquier ataque ha tenido que utilizar desde siempre. Protege ese conjunto y la forma del ataque dejará de importar.

Desde entonces, dos novedades han aclarado aún más el panorama. Una ha cuantificado la rapidez con la que avanza el bando de los atacantes. La otra ha demostrado que todo el sector, incluidos los propios laboratorios de IA, está convergiendo en la solución que Sophos lleva años desarrollando.

Juntas, ponen de manifiesto una brecha incómoda: la solución en la que ahora todos están de acuerdo no es la que ofrecen la mayoría de los productos.

El nuevo número: de «N-day» a «N-hour»

En junio, el equipo rojo de Anthropic publicó un estudio sobre las vulnerabilidades «N-day», es decir, los fallos que ya están parcheados pero que los atacantes aún pueden explotar en equipos que no han aplicado la corrección. Solo con los parches públicos, el modelo Mythos los convirtió en exploits funcionales: ocho exploits de ejecución de código a partir de 18 parches de Firefox y ocho cadenas completas de escalada de privilegios a partir de 21 parches del kernel de Windows.

En el caso de un fallo de Firefox, generó un exploit funcional en menos de una hora. El navegador corregido tardó 18 días en llegar a los usuarios. La conclusión de Anthropic: el término «N-day» se ha vuelto peligrosamente engañoso. «N-hour» se acerca más a la realidad.

El intervalo de tiempo entre que existe un parche y que ese parche te protege se mide ahora en horas. Cabe destacar que el laboratorio realizó las pruebas con jsshell, el motor independiente que se ejecuta fuera del entorno aislado del navegador y de las medidas de mitigación de procesos, elegido para que la verificación de los exploits fuera sencilla y fiable. Esa elección confirma discretamente la idea: las medidas de mitigación son precisamente lo que convierte una explotación fiable en una explotación poco fiable. Hacer que sea poco fiable es precisamente la función de esta capa.

La convergencia: los laboratorios ahora recomiendan lo que ya desarrollamos

El 22 de junio, OpenAI amplió Daybreak, su programa de ciberdefensa, partiendo de la premisa explícita de que encontrar vulnerabilidades ya no es el cuello de botella; lo es lanzar la corrección. Sophos es uno de sus partners destacados.

Tanto Anthropic como OpenAI señalan la misma solución duradera: trasladar el código crítico a lenguajes de programación seguros para la memoria y aplicar medidas de mitigación que eliminen de un plumazo clases enteras de exploits. Microsoft planteó el mismo argumento hace más de una década y lo lanzó como EMET. Ahora se advierte a los defensores que se preparen para que estas capacidades de IA estén ampliamente disponibles en un plazo de seis a 24 meses, una tendencia del sector tecnológico más que de un modelo concreto.

El sector ha llegado a un consenso. Eliminar la clase de exploit en lugar de perseguir la muestra. Lo que plantea la pregunta obvia: si todo el mundo está de acuerdo, ¿por qué la mayoría de los endpoints aún no protegen de esta forma?

Microsoft ha dado el paso. Pero no en el modo de usuario.

Durante la última década, Microsoft ha logrado avances estructurales reales en el kernel. La seguridad basada en la virtualización y la integridad del código protegida por hipervisor en los PC con Secured-Core han elevado realmente el listón contra los exploits del kernel. Microsoft puede hacerlo porque el núcleo es un entorno controlado: código de confianza, firmado digitalmente, que ha superado la certificación de Windows Hardware Quality Labs.

El modo de usuario es todo lo contrario. Los navegadores, las suites ofimáticas y los ejecutables descargados de origen desconocido forman un entorno abierto que debe ejecutar cualquier cosa que instale el usuario. Esa es la capa que se ha quedado estancada en un manual de 2008, y es la capa en la que opera Sophos.

La incómoda brecha: lo que suele significar «mitigación de exploits»

La mayoría de los productos para endpoints no incluyen apenas medidas de mitigación proactivas en el modo de usuario. Su prevención se basa principalmente en la detección de comportamientos, señalando un ataque cuando ya ha empezado a ejecutarse. Cuando un producto ofrece algo etiquetado como «mitigación de exploits», suele tratarse siempre de la misma lista reducida: forzar DEP, forzar ASLR, protección contra sobrescritura SEH, asignación de páginas nulas y preasignación de heap-spray.

Fíjate en las fechas. DEP llegó en 2004, ASLR en 2007, SEHOP en 2008 y la protección de páginas nulas en Windows 8 en 2012. En un ordenador moderno de 64 bits, Windows ya activa de forma predeterminada la protección que describen. Volver a activar estos ajustes cambia muy poco. No sirven de nada contra las técnicas de ataque, la inyección, el robo de tokens, la evasión de defensas y el cifrado, que son donde realmente se producen los ataques modernos.

Las potentes medidas de mitigación modernas existen. Simplemente están desactivadas. Aquí tienes la misma información, extraída directamente de la política de Windows en tiempo real mediante Get-ProcessMitigation.

El gris representa la configuración predeterminada de Windows (cuatro medidas de mitigación). El morado, la configuración «opt-in» del desarrollador (pocas o ninguna). Las dos bandas azules corresponden a Sophos: una capa que abarca todos los procesos (41 medidas de mitigación) más medidas de aplicación específicas para aplicaciones en software conocido, 60 en total. En la última barra, el malware no activa ninguna medida de Windows ni de ningún desarrollador, pero aun así se enfrenta a las 41 medidas de mitigación de Sophos que se aplican a todos los procesos. Estas cifras reflejan el estado del producto en el momento de escribir este artículo; cambian a medida que desarrollamos nuevas medidas de mitigación y retiramos aquellas que el panorama de amenazas ya no requiere.

¿Por qué permanecen desactivadas las medidas de mitigación más potentes? Tres razones estructurales.

• El fallo de la activación voluntaria. El desarrollador de la aplicación debe compilar Control Flow Guard y las pilas de protección de hardware. Los autores de malware no activan voluntariamente su código para que se acoja a las protecciones de Microsoft. La mayoría de los desarrolladores de aplicaciones tampoco lo hacen.
• La carga de gestión. Microsoft configura la Protección contra exploits en modo usuario asignando medidas de mitigación a ejecutables individuales a través de complejos archivos XML y probando una aplicación cada vez. Esa sobrecarga es tan elevada que Microsoft eliminó la Protección contra exploits de su propia línea de base de seguridad MDM en diciembre de 2020, alegando que imponerla de forma generalizada podría hacer más daño que bien.
• Visibilidad nula. Incluso cuando un administrador activa una medida de mitigación, Windows le da muy poca información: una notificación emergente y una entrada oculta en el registro de eventos cuando se activa, y un error genérico de la aplicación cuando provoca algún fallo. Para obtener informes útiles necesitas una licencia independiente de Defender for Endpoint. La mayoría de los administradores no aceptarán ese riesgo, así que la función se queda sin usar.

Cuando el proveedor de la plataforma no puede, en la práctica, mantener activadas sus propias medidas de mitigación avanzadas a gran escala, un producto de seguridad que se limita a volver a exponer los mismos controles no soluciona el problema.

Qué supone mejorar esta capa

Sophos tomó el camino contrario. En lugar de volver a exponer los conmutadores del sistema operativo, creamos nuevas medidas de mitigación en el mismo nivel en el que opera la plataforma, del tipo que el SO aplicaría en todas partes si pudiera hacerlo sin romper el ecosistema de software. Se trata de controles de seguridad diseñados específicamente para la era de la IA, para una amenaza que ahora escribe sus propios exploits en cuestión de horas. Hay cuatro cosas que distinguen a esa capa y, que nosotros sepamos, ningún otro proveedor las reúne todas.

1. Propietaria, a la misma profundidad que el propio sistema operativo. Sesenta medidas de mitigación, varias de ellas patentadas, garantizan la integridad de la memoria, el flujo de control y los procesos, algo que normalmente es tarea de la plataforma. Cuando Anthropic habla de la solución duradera, pone como ejemplos el Control Flow Guard y las pilas de protección de hardware. Ambas dependen de que el desarrollador de la aplicación las compile, y las pilas de protección también requieren hardware compatible con la tecnología de aplicación del flujo de control (CET). Como muestra el gráfico, en la práctica, suelen estar desactivadas. Nosotros nos encargamos de la aplicación por nuestra cuenta, y no hace falta ni recompilar ni usar un chip específico.

2. Activadas por defecto, visibles y gestionadas mediante un bucle controlado. Cuando una medida de mitigación se activa en código legítimo, emite una huella digital granular. Sophos aprueba la excepción conocida como «buena» y difunde el estado limpio a nivel global, a menudo antes de que el cliente haya abierto un caso. Esa gestión por parte del proveedor permite que las mitigaciones agresivas se activen por defecto sin que las aplicaciones dejen de funcionar. También significa que el cliente ve lo que Windows oculta: cada evento de mitigación se muestra como un informe detallado y atribuido que indica qué se ha activado, en qué proceso y de dónde procedía el código ejecutado, en lugar de tener que hacer ingeniería inversa a partir de un registro de eventos para averiguar el motivo de un fallo. Una aplicación que puedes ver, con un proceso de excepciones gestionado detrás, es exactamente lo que una mitigación del sistema operativo no puede ofrecer.

3. En todos los procesos, conocidos o desconocidos. La mitigación tradicional de exploits refuerza la seguridad de las aplicaciones conocidas que ha configurado un administrador. Sophos se aplica tanto a esas como a los ejecutables desconocidos. La capa cubre todos los procesos sin que tengas que activar nada. En tus aplicaciones, es un guardián. En el malware, es una trampa.

4. Nivel primitivo, no nivel técnico, en toda la cadena. La IA ofensiva no solo reduce el tiempo necesario para escribir un exploit. Los modelos de vanguardia demuestran grandes habilidades en el hacking, automatizando múltiples partes de un ciberataque más allá del acceso inicial. Los actores maliciosos humanos y las herramientas asistidas por IA seguirán generando código muy ofuscado o novedoso, diseñado para burlar los escáneres estáticos. Por eso, no intentamos reconocer el ataque. Impidimos el uso del pequeño conjunto de primitivas que cualquier ataque debe emplear, desde el acceso inicial hasta el impacto.

En la fase de ejecución, la protección dinámica contra shellcode limita la cantidad de memoria ejecutable que un proceso puede apropiarse más allá de su propia imagen y las DLL cargadas. En la fase de impacto, CryptoGuard inspecciona tus archivos en busca de la huella matemática del cifrado: el colapso de un documento estructurado en ruido uniforme de máxima entropía. Revierte el daño, tanto si el ransomware ha usado una API de cifrado de Windows como si ha utilizado la suya propia, e incluso cuando el ransomware se ejecuta desde otra máquina completamente distinta. Entre ambos extremos se sitúan la prevención de la escalada de privilegios a nivel del núcleo, la protección de credenciales y sesiones, y el resto.

La detección basada en el comportamiento es probabilística: observa una secuencia de eventos y juzga si parece sospechosa. La ofuscación por parte de adversarios humanos o de herramientas asistidas por IA está diseñada para eludir precisamente ese juicio. La mitigación primitiva es determinista. Impone una restricción estructural o matemática estricta en el momento de la ejecución.

Dónde termina esta capa

Esta capa no es un escudo mágico. Anthropic señala que las defensas que se basan en añadir «fricción» pueden debilitarse frente a modelos de IA que funcionan a gran escala y a bajo coste. Por eso, el núcleo de esta capa no es solo la fricción, sino restricciones estrictas sobre la memoria, el flujo de control y la integridad de los datos. La fricción sube el listón. Las restricciones estrictas eliminan las herramientas.

Esta capa también es solo una capa. Las medidas de mitigación de amenazas forman parte de una solución de defensa en profundidad, y el resto de esa pila tiene su razón de ser. La detección y el aprendizaje automático captan lo que se cuela. La detección de comportamiento se encarga de una intrusión que ya está en marcha. Los controles de identidad protegen las vías que eluden por completo los endpoints. Cada vez más atacantes toman esas vías, saltándose por completo la explotación para simplemente iniciar sesión, utilizando programas de robo de información para obtener credenciales donde no hay autenticación multifactorial (MFA), o para sustraer cookies de sesión que pasan directamente por alto dicha autenticación.

Pero los ataques que sí llegan al equipo son, en su gran mayoría, código que reutiliza el mismo pequeño conjunto de primitivas, ya sea que lleguen como una carga útil masiva, a través de un proveedor comprometido o cifrando archivos de un equipo que no gestionas. Eso es exactamente lo que una capa de primitivas activada por defecto está diseñada para impedir.

Dónde encaja esta capa

La IA ofensiva seguirá cambiando la forma en que los atacantes encuentran vulnerabilidades y la rapidez con la que las convierten en armas. Cambia muy poco en el pequeño conjunto de primitivas que todo ataque debe tocar. El lapso de tiempo hasta que se aplican los parches se está reduciendo a horas. Las primitivas no cambian. Una mitigación desactivada no es mitigación, y la disciplina poco glamurosa que decide el resultado consiste en activar la protección de forma predeterminada y mantenerla activa. La capa de mitigación creada para esa época no dejó de evolucionar en 2008. Ya está aquí.

Descubre cómo Sophos Endpoint incluye de serie 60 medidas de mitigación contra exploits en cada proceso. Más información en sophos.com/endpoint.

Esta es la continuación de «La IA encuentra las vulnerabilidades, pero explotarlas es otro problema».