Son las 3:37 de la albor de un domingo en Los Ángeles y una de las principales empresas de servicios financieros de la costa oeste vive la segunda semana de una Ataque de vida de la tierra (LOTL). Un equipo de ciberataques de un estado-nación se ha centrado en los algoritmos de fijación de precios, comercio y valoración de la empresa para obtener ganancias en criptomonedas. Utilizando herramientas comunes, el Estado nación ha penetrado la infraestructura de la empresa y poco a poco la está utilizando como pertrechos para su propio beneficio.

De acuerdo a CrowdStrike’s Noticia de amenazas globales 2025casi el 80% de los ataques modernos, incluidos los de finanzas, ahora están libres de malware y dependen de que los adversarios exploten credenciales válidas, herramientas de monitoreo remoto y utilidades administrativas con tiempos de ruptura (a veces menos de un minuto).

Nadie en el SOC ni en el equipo de liderazgo de ciberseguridad sospecha que poco anda mal. Pero hay señales inequívocas de que se está produciendo un ataque.

El aumento del robo de credenciales, la transgresión del correo electrónico empresarial y la explotación de vulnerabilidades de día cero está creando las condiciones ideales para que proliferen los ataques LOTL. de Bitdefender investigaciones recientes descubrió que el 84% de los ataques modernos utilizan técnicas LOTL, eludiendo los sistemas de detección tradicionales. En casi 1 de cada 5 casoslos atacantes, cada vez más ayudados por la automatización y los kits de herramientas optimizados, extrajeron datos confidenciales internamente de la primera hora a posteriori del ataque.

Las tácticas basadas en LOTL representan ahora la mayoría de las intrusiones cibernéticas modernas, y las amenazas persistentes avanzadas (APT) a menudo permanecen sin ser detectadas durante semanas o meses antiguamente de que los piratas informáticos exfiltren datos valiosos, según Índice de inteligencia de amenazas X-Force 2025 de IBM.

Las repercusiones financieras son asombrosas. La investigación de amenazas de CrowdStrike para 2025 sitúa el costo promedio del tiempo de inactividad relacionado con el ransomware en 1,7 millones de dólares por incidente, lo que puede dispararse a 2,5 millones de dólares en el sector notorio. Para los líderes de la industria, hay tanto en colección que los presupuestos de seguridad ahora rivalizan con los de los principales centros de ganancias.

Sus herramientas más confiables son el astillero de un atacante

"Estas son las herramientas que no puede desactivar porque sus administradores las están usando, sus aplicaciones las están usando, sus (empleados) las están usando, pero atacantes (todavía los estamos usando)," Martin Zugec, director de soluciones técnicas de Bitdefenderdijo en RSAC-2025 a principios de este año. "No puede desactivarlos porque afectará al negocio."

El documentación de CrowdStrike de 2025 confirma que los adversarios explotan asiduamente utilidades como PowerShell, instrumentación de oficina de Windows (WMI), PsExec, protocolo de escritorio remoto (RDP), Microsoft Quick Assist, Certutil, Bitsadmin, MSBuild y más para persistir internamente de las empresas y eludir la detección. Las herramientas LOTL del sector no dejan escape digital, lo que hace extremadamente difícil detectar un ataque en curso.

“Los actores de amenazas explotan cada vez más técnicas como traer su propio compensador desvalido (BYOVD) y LOTL para deshabilitar los agentes de detección y respuesta de puntos finales (EDR) y ocultar actividad maliciosa internamente de las operaciones legítimas del sistema." Gartner señala en un documentación flamante. "Al beneficiarse herramientas comunes del sistema operante, como PowerShell, MSHTA y Certutil, complican la detección y se esconden entre el ruido de las alertas de EDR."

Pesquisa sobre ransomware de CrowdStrike revela que el 31% de los incidentes de ransomware comienzan con el uso indebido de herramientas legítimas de dirección y monitoreo remoto, lo que demuestra que incluso las utilidades de TI empresariales son rápidamente utilizadas como armas por los atacantes.

Las realidades documentadas en los informes de CrowdStrike corroboran la investigación más profunda de la industria: la propia pila de TI es ahora el vector de ataque, y aquellos que dependen de controles tradicionales y detección basada en firmas están peligrosamente detrás de la curva.

Pistas de comportamiento escondidas a simple audiencia

Los adversarios que confían en técnicas LOTL son famosos por su paciencia.

Los ataques que antiguamente requerían malware y exploits que llamaran la atención han poliedro paso a una nueva norma: los adversarios pasan a un segundo plano y utilizan las mismas herramientas administrativas y de dirección remota de las que dependen los equipos de seguridad.

Como Zugec de Bitdefender señaló: “Estamos viendo principalmente que el compendio de estrategias que usan los atacantes funciona tan correctamente que simplemente lo repiten a escalera. No irrumpen, inician sesión. No usan malware nuevo. Solo usan las herramientas que ya existen en la red”.

Zugec describió una violación de LOTL de compendio de texto: sin malware, sin nuevas herramientas. BitLocker, PowerShell, scripts de oficina comunes; Todo parecía rutinario hasta que los archivos desaparecieron y nadie pudo rastrearlos. Ahí es donde los actores de amenazas están ganando hoy.

Los adversarios están utilizando la normalidad como camuflaje. Muchas de las herramientas más confiables y utilizadas por los administradores son la razón por la que los ataques LOTL han escalado tan rápida y silenciosamente. Zugec es brutalmente honesto: “Nunca ha sido tan obvio entrar en la red como lo es ahora”. Lo que alguna vez fue una violación del perímetro ahora es una violación de la compañerismo, invisible para las herramientas heredadas e indistinguible de la oficina de rutina.

CrowdStrike’s Noticia de amenazas globales 2025 captura la escalera de este engendro en números que deberían advertir la atención de todas las juntas directivas. Los autores de los informes escriben: “En 2024, el 79% de las detecciones que CrowdStrike observó estaban libres de malware (un aumento significativo del 40% en 2019), lo que indica que los adversarios están utilizando técnicas de teclado que se mezclan con la actividad legítima del agraciado e impiden la detección. Este cambio alrededor de técnicas de ataque libres de malware ha sido una tendencia definitoria en los últimos cinco abriles."

Los investigadores del documentación todavía encontraron que los tiempos de ruptura para ataques exitosos continúan reduciéndose; el promedio es de tan pronto como 48 minutos, el más rápido 51 segundos.

El consejo de Zugec para los defensores que trabajan en este nuevo canon es elocuente y pragmático. “En oficio de simplemente perseguir poco más, descubrir cómo podemos tomar todas estas capacidades que tenemos, todas estas tecnologías, y hacer que funcionen juntas y se impulsen entre sí”. El primer paso: “Comprender su superficie de ataque. Familiarizarse con cómo operan los atacantes, qué hacen, no hace cinco semanas, sino ahora mismo, debería ser el primer paso”.

Insta a los equipos a ilustrarse cómo es lo corriente internamente de su propio entorno y utilizar esta raya de cojín para detectar lo que positivamente está fuera de oficio, para que los defensores dejen de perseguir alertas interminables y comiencen a contestar solo cuando sea importante.

Tome posesión completa de su pila tecnológica ahora

Los ataques LOTL no solo explotan herramientas e infraestructuras confiables, sino que todavía aprovechan la civilización y la capacidad diaria de competir de una ordenamiento.

Mantenerse seguro significa hacer de la vigilancia constante un valencia fundamental, respaldado por la confianza cero y la microsegmentación como anclas culturales. Estos son sólo los primeros pasos. Considere el Construcción de confianza cero del NIST (SP 800-207) como columna vertebral organizacional y manual para topar LOTL de frente:

• Limite los privilegios ahora en todas las cuentas y elimine las cuentas antiguas de los contratistas que no se hayan utilizado en abriles: Aplique comunicación con privilegios mínimos en todas las cuentas de administrador y agraciado para evitar que los atacantes escale.

• Hacer cumplir la microsegmentación: Divida su red en zonas seguras; Esto ayudará a confinar a los atacantes, lindar el movimiento y ceñir el radiodifusión de la crisis si poco sale mal.

• Refuerce el comunicación a las herramientas y audite quién las utiliza: Restrinja, supervise y registre PowerShell, WMI y otras utilidades. Utilice firma de código, modos de verbo restringidos y limite el comunicación al personal de confianza.

• Adopte los principios de confianza cero del NIST: Verifique continuamente la identidad, la higiene del dispositivo y el contexto de comunicación como se describe en SP 800-207, haciendo que la confianza adaptable sea la opción predeterminada.

• Centralice el estudio y el registro del comportamiento: Utilice la supervisión ampliada para detectar actividades inusuales con herramientas del sistema antiguamente de que se agrave un incidente.

• Implemente detección adaptativa si tiene una plataforma existente que pueda progresar y proporcionarla por un costo minúsculo.: Emplee EDR/XDR para agenciárselas patrones sospechosos, especialmente cuando los atacantes utilizan herramientas legítimas de guisa que eluden las alertas tradicionales.

• Equipo rojo regularmente: Pruebe activamente las defensas con ataques simulados y conozca cómo los adversarios hacen mal uso de herramientas confiables para penetrar la seguridad de rutina.

• Eleve la conciencia de seguridad y conviértala en memoria muscular: Capacite a los usuarios y administradores sobre métodos LOTL, ingeniería social y qué señales sutiles traicionan el compromiso.

• Modernización e inventario: Mantenga inventarios de aplicaciones, parchee vulnerabilidades conocidas y realice auditorías de seguridad frecuentes.

En pocas palabras: La empresa de servicios financieros a la que se hace narración al principio de esta historia finalmente se recuperó de su ataque LOTL. Hoy en día, sus modelos, el proceso CI/CD para el crecimiento de IA y la I+D de procreación de IA son administrados por un equipo de gerentes de ciberseguridad con décadas de experiencia en el incomunicación de sitios y bóvedas del Sección de Defensa de EE. UU.

Los ataques LOTL son reales, crecientes, letales y requieren una nueva mentalidad por parte de todos en la ciberseguridad.