Técnica de ataque
Ataques RPC
RPC es un protocolo ampliamente utilizado para la comunicación entre sistemas en redes empresariales. También es un objetivo privilegiado para los atacantes.
Definición
¿Qué es un ataque RPC?
Este tipo de ataque aprovecha la llamada a procedimiento remoto (RPC), un protocolo que permite a un programa informático solicitar un servicio o ejecutar un procedimiento en otro programa situado en un ordenador remoto. Las empresas lo utilizan para que los sistemas conectados en red puedan comunicarse y realizar operaciones sin necesidad de conocer en detalle la estructura del otro programa o las particularidades de la red.
Aunque RPC se utiliza ampliamente para simplificar la comunicación entre sistemas operativos, también plantea una importante vulnerabilidad que los atacantes pueden aprovechar. En los ataques RPC, los atacantes aprovechan el protocolo para obtener acceso no autorizado, escalar privilegios o ejecutar código malicioso en un sistema remoto.
Cómo funciona
Cómo funcionan los ataques RPC
Los atacantes abusan de los RPC para llevar a cabo diversas actividades maliciosas como:
- Escalada de privilegios: Los atacantes suelen abusar de las vulnerabilidades RPC para escalar privilegios y ejecutar comandos una vez que obtienen permisos de nivel superior. Este tipo de ataque puede deberse a controles de acceso mal configurados o a vulnerabilidades específicas de los servicios RPC.
- Ejecución de código remoto: Esto ocurre cuando los atacantes explotan vulnerabilidades dentro de RPC para ejecutar código arbitrario en el sistema objetivo. Al enviar una solicitud RPC maliciosamente diseñada, el atacante puede ejecutar comandos o scripts en la máquina de la víctima sin autorización.
- Desplazamiento lateral: Debido a que RPC facilita la comunicación entre sistemas, los atacantes a menudo lo explotan para moverse lateralmente a través de una red. Al comprometer un punto final inicial y utilizar RPC para la comunicación, el atacante puede acceder a otros sistemas de red y mantener la persistencia.
Por qué lo utilizan los atacantes
Por qué los atacantes utilizan la llamada a procedimiento remoto
Los atacantes utilizan RPC porque a menudo es más difícil de detectar en comparación con un barrido de puertos o un escaneo de puertos. Pueden utilizarlo para pasar desapercibidos mientras realizan tareas de reconocimiento. Por esta razón, las vulnerabilidades de los servidores RPC se aprovechan con frecuencia para obtener detalles sobre recursos compartidos de red, servicios, usuarios y otros recursos.
Detección de plataformas
Cómo detectar y prevenir los ataques RPC
Los ataques RPC son un serio problema de seguridad debido a su amplia funcionalidad y accesibilidad en la red. Los profesionales de la ciberseguridad pueden reducir el riesgo de estas amenazas supervisando la actividad de la red, aplicando parches con prontitud y utilizando herramientas como la plataforma Vectra AI para detectar indicios de abuso de RPC. Por este motivo, Vectra AI ofrece detecciones basadas en IA, como RPC recon y RPC targeted recon, para identificar cuándo los atacantes parecen estar utilizando el protocolo RPC para recopilar información sobre los recursos de la red, de modo que los equipos SOC puedan detenerlos rápidamente.
