Simulación de ataques ofensivos basados en APT38 y control centralizado de gestión de eventos implementando Wazuh

Abstract

Los ciberataques en el Ecuador en los últimos años han aumentado en gran magnitud vulnerando sus sistemas a todo nivel, considerando objetivos como son organizaciones públicas y privadas atentando con la confidencialidad, integridad y disponibilidad. Las amenazas avanzadas persistentes son utilizadas como un tipo de ataque sigiloso que permanece vivo y oculto por periodos de tiempo extendidos. En la presente investigación se ha identificado un tipo de APT que orienta sus esfuerzos en bancos, instituciones financieras, casinos, intercambios de criptomonedas, terminales del sistema SWIFT, cajeros automáticos desde al menos el año 2014; nos referimos al APT38 y tiene como patrocinador al Estado Norcoreano. Se estudia cuáles son las técnicas utilizadas por el grupo APT38 para vulnerar los sistemas con el uso del simulador Caldera MITRE, el mismo utiliza la plantilla de habilidades del adversario y las operaciones utilizadas a menudo, una vez ejecutada la simulación al tener el agente instalado del SIEM Wazuh, alertaría de los intentos de vulneración de los servidores Windows Server sujetos del entorno de evaluación. Cyberattacks in Ecuador in recent years have increased greatly, violating its systems at all levels, considering objectives such as public and private organizations, violating confidentiality, integrity and availability. Advanced persistent threats are used as a type of stealth attack that remains live and hidden for extended periods of time. In this research, a type of APT has been identified that focus its efforts in banks, financial institutions, casinos, cryptocurrency exchanges, SWIFT system terminals, ATMs and assets since at least 2014. We are referring to APT38 and its sponsor to the North Korean State. The techniques used by the APT38 group to violate the systems are studied with the use of the Caldera MITER simulator, which uses the adversary's skills template and the operations often used, once the simulation has been run by having the Wazuh SIEM agent installed. Wazuh would alert to compromise attempts on Windows Servers subject to the evaluation environment.