Los usuarios de los Feeds de Border Gateway Protocol (BGP) de Spamhaus obtienen más protección contra el malware

¿Por qué es diferente esta nueva comunidad de BGP?

SI estás leyendo esto y no entiendes cómo pueden protegerte los BGP Feeds, lee la Guía para principiantes de BGP. En caso contrario, sigue adelante.

Los suscriptores a los feed de Spamhaus BGP actualmente tienen acceso a las tres comunidades siguientes:

1. Listas Don’t Route Or Peer List (DROP) de Spamhaus
2. Lista DROP ampliada (EDROP) de Spamhaus
3. Lista de controladores de botnets (BCL) dedicados. Direcciones IP de servidores dedicados a albergar comando y controladores de botnet (C&C).

La nueva comunidad, Lista de controladores de botnet (BCL) comprometidos, incluye las direcciones IP de dispositivos legítimos de las cuales los agentes amenazadores abusan de manera activa para albergar botnet C&Cs.

¿Por qué es esencial bloquear el acceso a estas direcciones IP?

Cada familia de malware funciona de manera distinta. Los operadores de malware, como el célebre Emotet, prefieren albergar los botnet C&C en dispositivos comprometidos y no en un servidor dedicado. Esto es así por varias razones, como:

1. Al comunicarse directamente con los dispositivos comprometidos (direcciones IP), los agentes amenazadores pueden evitar las defensas de seguridad existentes, como los DNS Firewalls.
2. Normalmente, los usuarios finales tienen dificultades para localizar y limpiar sus equipos infectados. De hecho, la mayoría no tienen ni idea de que 1) están comprometidos o de que 2) uno de sus dispositivos funciona como un servidor de botnet C&C.

Por eso, si solo bloqueas las conexiones con las direcciones IP de los servidores de botnet C&C dedicados, tu red seguirá expuesta a algunas de las amenazas más peligrosas, como Emotet y Qakbot

¿Te preocupa que aumente el número de falsos positivos?

Primero aclaremos algo… Incluir en la lista una dirección IP conectada con un dispositivo legítimo NO es un falso positivo. Los expertos en seguridad deberían bloquear el tráfico con las direcciones IP donde saben que se aloja un botnet C&C, no importa si la entidad responsable del servidor está informada al respecto. Recuerda: nuestros investigadores informan inmediatamente a los operadores de las redes donde se aloja el dispositivo comprometido, en cuanto la dirección IP se incluye en la lista. De forma que el centro de abusos de estas redes debería trabajar con rapidez para resolver la situación. Cuando se soluciona el problema y el botnet C&C queda inactivo, la dirección IP se eliminará de las listas en nuestros BGP Feeds en cuestión de horas.

Históricamente, la BCL tradicional (que solo incluye las direcciones IP dedicadas a alojar un botnet C&C) sigue una política de cero falsos positivos. Lógicamente, a los usuarios de este nuevo dataset de BCL comprometidos les preocupa que se bloqueen algunas conexiones legítimas.

La realidad es que sí; podrían producirse pequeños daños colaterales. Sin embargo, analicemos las palabras “daños colaterales”. Es preciso sopesar tus intereses, los intereses de seguridad de tus clientes y la resiliencia de tu red frente a una pequeña molestia.

¿Deseas aceptar tráfico desde una dirección IP donde sabes que se aloja un botnet C&C y permitir que los agentes amenazadores comprometan los datos de tus usuarios y los extorsionen con ransomware? O algo aún peor, ¿quieres que la red de una gran empresa sea cifrada mediante ransomware o bloquear, en el peor de los casos, un pequeño número de conexiones potencialmente legítimas hacia un suscriptor de DSL particular situado en una red externa?

Además, este nuevo dataset tiene un tiempo de vida (TTL) muy inferior: nuestros investigadores incluyen las IP en este dataset durante un periodo mucho más corto y las evalúan continuamente para comprobar que el botnet C&C siga activo.

Si eres un ISP, te garantizamos que no serás el primero que bloquee direcciones IP comprometidas que alojen botnet C&C en el perímetro de red. Ni tampoco el último.

¿De dónde procede este dataset?

La nueva asociación de Spamhaus con abuse.ch amplió el acceso a los datos. El nuevo dataset de servidores comprometidos, BCL comprometidos, incluye datos del Feodo Tracker de abuse.ch, que monitorea y valida la infraestructura de botnet C&C conectados con las principales amenazas de malware, como Emotet, Qakbot, Dridex y Bumblebee. Por cierto, todas estas familias de malware aparecieron entre las 20 primeras posiciones de nuestra Actualización de amenazas de botnet del tercer trimestre de 2022 (en inglés).

Los consumidores de estos datos a través de Spamhaus obtienen acceso a soporte técnico, un servicio sólido y una resolución rápida de cualquier falso positivo que pueda surgir.

De acuerdo, soy suscriptor de BGP, ¿cómo accedo a estos datos?

Como hemos mencionado, acceder a esta nueva comunidad no supone costos adicionales para los actuales usuarios de BGP.

Para acceder a los datos, conéctate al Portal del cliente y selecciona “Contáctanos” para solicitar acceso al nuevo perfil de BGPF, que incluye la Lista de controladores de botnet (BCL): servidores comprometidos.