Se bienvenido a estas tierras digitales...
...especialmente si eres un molino....
Roadmap de certificaciones
Fuente: https://pauljerimy.com/security-certification-roadmap/
Haz click en la imagen.
Las certificaciones pueden ser un buen método para demostrar conocimiento. Mantener un github con proyectos, también. Publicar tus writeUps de cómo has resuelto retos o cómo has investigado en áreas interesantes para tu perfil profesional en ciberseguridad, también.
Desde hace bastante tiempo llevo revisando el software de bajo nivel de las arquitecturas. Desde routers a procesadores. Me causa especial interés la arquitectura Intel. Es la que he llevado conmigo desde que me tengo memoria. Siempre he preferido Intel. Y así ha sido desde el 80286. Quedaré mal si digo que he aparcado numerosas tareas docentes, de investigación y de análisis de malware por sentarme a recopilar y organizar toda la información al respecto de la seguridad de la UEFI de los procesadores Intel. Y, claro, de su siempre cuestionado ME (Management Engine). Asi que vamos a ello.
Qué funciones tiene la UEFI BIOS e Intel ME
La BIOS moderna basada en UEFI (entendamos y esto es algo que trato de diferenciar mucho cuando desarrollo este tema, que BIOS y UEFI no es lo mismo) es el primer código que se ejecuta al encender el sistema y reemplaza a la BIOS tradicional. Se encarga de inicializar el hardware (POST, memoria, controladores básicos) y de cargar el gestor de arranque (bootloader) desde la partición EFI (un ESP en FAT32).
- ESP: Es un estándar para la interfaz de firmware extensible (EFI) y es necesario para que el sistema operativo pueda arrancar correctamente en sistemas que utilizan UEFI. La ESP es una partición pequeña, típicamente entre 100 y 200 MB, que contiene los archivos necesarios para el proceso de arranque.
Tras la fase de arranque (SEC, PEI, DXE, BDS), UEFI transfiere el control al sistema operativo pero expone a este servicios de tiempo de ejecución (variables NVRAM, runtimes, controles de energía, etc.). Además implementa Secure Boot, que verifica las firmas de cargadores autorizados antes de ejecutar el sistema operativo. Por su parte, el Intel Management Engine (ME) es un microcontrolador integrado en el chipset, basado en arquitectura x86 interna, que funciona de forma independiente a la CPU principal. ME implementa funciones de administración remota (AMT) introducidas por Intel: inventario de hardware, servicios de actualización, diagnósticos, acceso remoto (KVM) y un servidor HTTP/HTTPS embebido para control fuera de banda (OOB, out of band); es decir, dispone de su propia interfaz de red y dirección MAC/IP, lo que permite el acceso y control remoto a través de una conexión de red, incluso cuando el sistema operativo principal está apagado. Este subsistema se mantiene activo mientras la fuente de alimentación esté conectada (incluso con el PC “apagado”, mientras la fuente esté conectada), y por diseño tiene acceso DMA completo a la RAM y a todos los dispositivos del sistema. En su implementación actual, el firmware de ME corre su propio sistema operativo interno, con módulos de kernel, drivers y servicios (p. ej. componentes AMT); en modo privilegiado el ME puede acceder a todo el hardware de la placa, prácticamente de manera transparente al sistema operativo del usuario.
Tipos de ataques posibles
Se pueden definir varias clases de ataque sobre el firmware UEFI/BIOS y el Intel ME. A continuación se definen los más evidentes:
Ataques al SMM (System Management Mode): El Modo de Gestión de Sistema es un contexto de ejecución privilegiado y oculto para el SO. Un atacante con privilegios puede generar una interrupción SMI y explotar vulnerabilidades en los manejadores SMM, inyectando código malicioso que se ejecutará con todos los privilegios (acceso total a RAM/dispositivos, con total transparencia al SO). De hecho, hasta 2015 muchas plataformas carecían de protecciones de memoria SMRR/TSEG, por lo que eran teóricamente vulnerables a estas inyecciones ocultas.
Manipulación de variables NVRAM (Setup): Los sistemas UEFI almacenan datos críticos en NVRAM (p. ej. claves Secure Boot, bit de bloqueo SPI, contraseña de BIOS). Si un atacante accede al UEFI Shell (por ejemplo, mediante una herramienta EFI cargada al arranque), puede usar el comando SetVar para cambiar variables. Con ello se puede por ejemplo deshabilitar el bit de bloqueo SPI (permitiendo reescribir el firmware) o borrar las claves de Secure Boot, forzando la BIOS a ignorar la firma digital.
Desactivación o subversión de Secure Boot: Secure Boot impide cargar código que no tenga una firma válida. Sin embargo, puede deshabilitarse si se eliminan las claves autorizadas en NVRAM o si se añade una clave maliciosa propia. Borrando las variables NVRAM relevantes (como las claves de Microsoft o las definidas en el Setup de la BIOS) el sistema cargará firmware no firmado, anulando Secure Boot. Este tipo de vector se implementa ya sea mediante UEFI Shell o aprovechando vulnerabilidades de la BIOS.
Ataques a Intel BIOS Guard / Boot Guard: Intel Boot Guard es un mecanismo hardware que verifica la firma del bloque inicial de la BIOS; Intel BIOS Guard hace algo similar en etapas posteriores. El documento indica que si no existe verificación de integridad, el firmware puede parchearse con un programador de flash externo; si sí existe, aun se podría eludir parcheando el propio código de verificación.
En la práctica, se ha demostrado que existen formas de desactivar o burlar estas protecciones mediante ingeniería inversa (Ermolov lo hizo en 2017:https://firmwaresecurity.com/2017/05/08/alexander-ermolov-on-intel-bootguard/).
Inyección de firmware de dispositivos PCI (Option ROM): Una ruta de ataque complementaria es reemplazar el firmware de tarjetas o periféricos (Ethernet, video, Thunderbolt, etc.) con código malicioso. Al cargarse estos Option ROM durante el arranque, el malware puede ejecutar instrucciones arbitrarias en etapa temprana, comprometiendo igualmente la seguridad global.
Estructura del firmware
El firmware de plataforma está contenido en un chip flash SPI compartido. Como ilustra la figura, Intel define regiones separadas: primero el Descriptor (gestiona permisos de acceso a la flash), seguido por la región GbE (firmware del adaptador de red integrado), luego la región de Intel ME (firmware del Management Engine) y finalmente la región de UEFI BIOS (firmware EFI principal) junto con la región PDR (módulos extra de proveedor). Cada bloque se puede proteger con bits de solo lectura, aunque muchos fabricantes antiguos dejaban deshabilitado el bloqueo de la región BIOS.
El firmware UEFI BIOS comienza en la fase SEC (verificación de integridad, carga de DRAM), continúa en PEI (inicialización de la RAM, copia de código a memoria) y en DXE (carga de drivers y servicios EFI). En DXE se inicializa el hardware restante y se crea la interfaz abstracta de dispositivos. Finalmente UEFI busca un cargador de sistema en la partición EFI del disco (FAT32). Si lo encuentra lo ejecuta; de lo contrario lanza error o pasa al gestor de arranque alternativo. El sistema operativo, una vez iniciado, puede invocar interfaces de firmware vía servicios de tiempo de ejecución EFI. Adicionalmente, durante DXE se reserva una subfase de System Management Mode (SMM).
La región Intel ME alberga su propio firmware aislado: el código está firmado con claves RSA y protegido con atributos de solo-lectura en flash. Internamente, el ME tiene un microkernel (núcleo de sistema operativo) y varios módulos: controladores del chip, servicios de AMT, bitlocker, contenedores de seguridad, etc. En modo privilegiado el ME puede acceder a todos los dispositivos y memorias del sistema. Esta separación de módulos permite al ME operar de forma paralela a la BIOS principal, ampliando sus funcionalidades sin intervención de la CPU.
Vulnerabilidades de Intel ME y su independencia de la CPU
El ME se ejecuta en un entorno aislado de muy bajo nivel (“anillo –3”) y disfruta de privilegios absolutos. La arquitectura actual lo hace indispensable: si un atacante lograra modificar su firmware tendría absoluto control y podría actuar con completo sigilo en la máquina. Por ejemplo, un código malicioso en el ME podría leer/escribir toda la RAM, monitorizar el tráfico de red o controlar periféricos de E/S sin que el sistema operativo lo detecte. Además, dado que Intel firma el firmware ME con clave privada y verifica la integridad al arrancar, su único mecanismo de defensa son estas firmas. Si dicha clave maestra se filtrara, el ME quedaría completamente vulnerable. No habría forma de detectar o impedir una reprogramación maliciosa. Aunque hasta la fecha no se han publicado ataques prácticos que hayan sido exitosos contra el ME, la mera posibilidad teórica es seria: con métodos de hardware (flasheadores externos) o incluso modos ocultos se puede deshabilitar o reescribir el ME por completo.
Esta independencia de la CPU y su capacidad de acceso DMA absoluto hacen que cualquier vulnerabilidad descubierta en el ME tenga implicaciones críticas. Por ejemplo, Positive Technologies ya ha cargado código no firmado en ME 11.x (Ermolov, otra vez), lo cual confirma que el aislamiento de ME no es infalible.
La seguridad del ME es autónoma del SO y del procesador principal; un compromiso en esa capa implica una llave maestra sobre la plataforma entera.
Herramientas para el análisis de firmware
Existen varias utilidades especializadas para inspeccionar y modificar imágenes de BIOS/UEFI y ME:
UEFITool: aplicación open-source (C++/Qt) que parsea imágenes de firmware UEFI en una estructura de árbol. Permite visualizar volúmenes FFS, módulos, verificaciones de integridad y extraer cada componente para análisis.
unME11 / unME12: scripts Python desarrollados por Sklyarov (Positive Technologies) para desempaquetar las regiones del firmware Intel ME versión 11.x y 12.x respectivamente. Extraen particiones, módulos y metadatos del blob de ME.
Chipsec (Intel): framework de pruebas de seguridad de plataforma que permite auditar configuraciones de firmware y registros críticos (en particular SMM, TPM, etc.).
Herramientas Intel oficiales: ME System Tools y Flash Programming Tool permiten obtener/actualizar imágenes ME, extraer dumps de memoria y flashear chips SPI. Aunque pensadas para servicio técnico, son empleadas por investigadores para obtener firmware legítimo.
Otros proyectos: UEFIExtract, UEFITool Engine, Fiano (Go) o FMMT (TianoCore) también pueden parsear imágenes EFI; UEFITools comunitarios (como UBU/WinToolkit) facilitan la descarga automática de firmware de fabricantes.
Configuraciones inseguras en las placa base
Muchos fabricantes configuran de manera poco apropiada el firmware de fábrica, abriendo la puerta a ataques triviales. Un problema común es no habilitar el bit de bloqueo SPI tras la programación inicial: muchos sistemas (sobre todo antiguos) permiten reescribir la región BIOS directamente por software porque la memoria flash no está en modo de solo-lectura. Asimismo, se reporta que suelen usarse BIOS de referencia de unos pocos proveedores (Intel, AMI, Phoenix, Insyde), por lo que hay herramientas e imágenes recicladas disponibles públicamente. De hecho, existen “rescue disks” y utilidades de flasheo (oficiales o filtradas) de firmas como Lenovo, HP, Dell, etc., que pueden descargarse de foros. Con ellas se puede sobrescribir el firmware original sin mayor restricción. Por ejemplo, páginas como BIOS-mods.com o win-raid.com alojan programas no oficiales que implementan el flasheo libre.
La falta de protecciones por hardware (SPI Lock) y la disponibilidad de firmware e imagenes de BIOS hacen muy sencilla la configuración de BIOS inseguras en la práctica.
Limitaciones actuales de las tecnologías de protección UEFI BIOS
Para terminar, las medidas de protección del firmware, aunque útiles, tienen limitaciones importantes. Las defensas basadas en integridad (Secure Boot, Boot Guard) pueden ser eludidas si un atacante logra parchear el código de verificación o extraer las claves maestras. Los ataques modernos a SMM siguen siendo factibles en sistemas sin mitigaciones avanzadas. Dado que Intel ME se ejecuta de manera aislada, cualquier brecha en su firmware comprometería todo lo demás. En la práctica, las implementaciones seguras (habilitación de SPI Lock, arranque seguro activo, actualización del ME, contraseñas BIOS fuertes) pueden incrementar la robustez, pero no garantizan invulnerabilidad.
Aún no existe una solución universal: técnicas como el flasheo por hardware o la modificación de variables NVRAM quedan fuera del alcance de las defensas estándar. Las tecnologías de protección actuales (Secure Boot, Boot Guard, etc.) reducen riesgos pero no eliminan la posibilidad de introducir malware en el firmware, especialmente si el atacante dispone de acceso local privilegiado.
Documentación
https://invisiblethingslab.com/resources/bh09usa/Ring%20-3%20Rootkits.pdf
https://people.kth.se/~maguire/DEGREE-PROJECT-REPORTS/100402-Vassilios_Ververis-with-cover.pdf
https://github.com/ptresearch/unME11
https://github.com/ptresearch/unME12
http://me.bios.io/images/c/ca/Rootkit_in_your_laptop.pdf
http://composter.com.ua/documents/Exploiting_Flash_Protection_Race_Condition.pdf
El ransomware se ha convertido en una de las principales amenazas del mundo digital. Lo que antes eran ataques aislados hoy son operaciones coordinadas, con estructuras empresariales, modelos de afiliación y canales de negociación con las víctimas. Estos grupos no solo cifran datos: paralizan hospitales, interrumpen cadenas de suministro y extorsionan a gobiernos y empresas de todos los tamaños.
El entorno digital actual ofrece el caldo de cultivo perfecto para que estos ataques prosperen. Las redes anónimas, la descentralización de los servicios y la facilidad para replicar infraestructuras permiten que, cuando un grupo es desmantelado, otro aparezca rápidamente en su lugar. Es el llamado “efecto Hidra”: cortas una cabeza y nacen dos más.
Durante años, se han aplicado distintas estrategias para contener el delito en línea. Algunas se han centrado en disuadir a los usuarios a través de multas o campañas educativas. Otras han perseguido a los responsables directos, derribando servidores o deteniendo a individuos clave. Sin embargo, estas acciones son costosas, lentas, y en muchos casos, poco efectivas a largo plazo.
Una alternativa que merece mayor atención es el bloqueo judicial de sitios web. Esta medida permite impedir el acceso a infraestructuras digitales que operan con fines claramente ilícitos: portales de ransomware, foros de compraventa de datos, sitios de distribución de malware, entre otros. En lugar de perseguir sin descanso a cada nuevo grupo o servidor que aparece, se corta el acceso desde la base, dificultando enormemente la operativa criminal.
El bloqueo, cuando se aplica de forma proporcional, transparente y con garantías legales, puede convertirse en una herramienta poderosa. No implica censura ni control masivo, sino una respuesta quirúrgica ante actividades delictivas flagrantes. Y su efectividad no depende de arrestos ni de acuerdos internacionales, lo que lo convierte en una solución más ágil frente a la velocidad con la que evoluciona el ciberdelito.
En el caso del ransomware, este tipo de intervención podría tener un doble efecto: reducir el alcance de los grupos criminales y aumentar los costes operativos de sus campañas. Incluso la amenaza de ser bloqueados podría motivar a ciertas plataformas a reforzar sus controles internos y cerrar el paso a los actores maliciosos.
Frente a una amenaza global que se reinventa constantemente, necesitamos respuestas que estén a la altura. El bloqueo judicial de sitios web no es una solución mágica, pero sí una pieza clave que puede ayudar a cambiar el equilibrio de poder en el ciberespacio. No podemos seguir permitiendo que las redes que alimentan el ransomware sigan funcionando con total impunidad.
El ransomware se ha consolidado como una de las amenazas cibernéticas más destructivas y lucrativas de nuestro tiempo. Ya no hablamos de ataques aislados, sino de una industria digital altamente organizada, orquestada por grupos criminales que operan como empresas transnacionales del delito. En mayo de 2021, el ataque al oleoducto Colonial Pipeline obligó a paralizar el suministro de combustible en buena parte de Estados Unidos, y el Departamento de Justicia lo clasificó como terrorismo. Ese mismo mes, el grupo Conti paralizó los servicios sanitarios de Irlanda, robando datos médicos de cientos de miles de personas. No trato de relacionar esto con el apagón que hemos vivido recientemente. De hecho, considero que el apagón no ha sido motivado por un ciberataque, pero esto es una opinión personal. Eso sí, este hecho me ha motivado para reflexionar sobre el negocio de la extorsión digital.
Hoy, ningún sector está a salvo. Energía, salud, finanzas, transporte, educación, gobiernos… todos son (somos) objetivos. Las pequeñas y medianas empresas, y los ciudadanos de a pie, también son blancos cada vez más frecuentes. En resumen, el ransomware ha colonizado toda la infraestructura digital: redes TI, sistemas industriales, plataformas cloud y cadenas de suministro.
El ecosistema del ransomware
El modelo Ransomware-as-a-Service (RaaS) ha llevado la ciberextorsión a otro nivel. Los desarrolladores de ransomware no siempre son los atacantes: alquilan sus herramientas a afiliados que ejecutan los ataques. En esta cadena delictiva también participan brokers de acceso, plataformas de pago en la dark web y servicios de soporte. Así, se reduce el riesgo para los autores intelectuales y se maximiza la escala. De ahí que casi todos los ataques sean leves modificaciones de una de las grandes «familias» de ransomware. La importancia de los CERTs se significa en este hecho. Ya que una vez identificada la familia (y los CERT proporcionan reglas de YARA,etc) se puede (rápidamente) instrumentar la mitigación (o almenos impedir el avance de infección hacía otros equipos).
Incluso cuando se desmantelan grupos como LockBit o Emotet, esto no para la industria todo lo contrario, aparecen más. Además, en algunos contextos geopolíticos, estos grupos actúan en connivencia o con la tolerancia de ciertos estados. El ransomware es, hoy, una amenaza global y persistente.
El acceso: credenciales y manipulación
El 50 % de los ataques comienzan por credenciales comprometidas. Muchas veces, los criminales compran contraseñas filtradas o explotan accesos mal configurados. El caso de Colonial Pipeline fue provocado por una contraseña de VPN reutilizada.
La ingeniería social sigue siendo clave: phishing, spear-phishing, vishing y malvertising son tácticas habituales para engañar al usuario. Algunas campañas utilizan inteligencia artificial para redactar correos más convincentes. El vector más débil sigue siendo el humano.
Cadenas de suministro: un ataque a todos desde uno solo
Atacar a un proveedor es atacar a todos sus clientes. Así ocurrió en los casos de SolarWinds, Kaseya y MoveIt. Comprometer una actualización de software o una API vulnerable permite una propagación masiva. La complejidad de los entornos actuales —código abierto, servicios de terceros, plugins— amplifica esta vulnerabilidad.
Sigilo, cifrado y presión
Una vez dentro, los atacantes desactivan defensas, se despliegan lateralmente y cifran archivos de forma rápida y parcial para ser menos detectables. Pero no basta con cifrar: ahora también roban los datos antes, y amenazan con publicarlos si no se paga. Es la “doble extorsión”. Algunas bandas, como Cl0p, ni siquiera cifran ya: solo roban y presionan.
Consecuencias reales, no virtuales
El impacto económico es enorme: en 2024, el rescate promedio superó los 2,7 millones de dólares. Pero lo más preocupante es lo humano: hospitales que cancelan cirugías, municipios sin acceso a servicios básicos, ciudadanos expuestos. No se trata solo de cibercrimen: hablamos de seguridad pública.
Regulación y cooperación internacional
La legislación avanza con iniciativas como la directiva europea NIS2 pero aún hay vacíos. Hace falta cooperación internacional, regulación del uso de criptomonedas y recursos para fortalecer las capacidades nacionales de defensa.
Recomendaciones urgentes
Organizaciones: copias de seguridad offline, segmentación de redes, formación al personal, privilegios mínimos, plan de respuesta activo y revisado.
Individuos: contraseñas únicas y robustas, autenticación de dos factores, cuidado con correos sospechosos y respaldo frecuente.
Políticos y legisladores: marcos legales sólidos, cooperación internacional y educación masiva en ciberseguridad.
Llamada a la acción
El ransomware no es un problema técnico: es un problema social. Afecta a todos los niveles. Es urgente construir una cultura digital basada en la prevención, el diseño seguro y la corresponsabilidad. La próxima víctima no será un desconocido: puede ser tu empresa, tu ciudad o tu familia. Y por eso, la ciberseguridad no es opcional. Es esencial.
El Quijote Digital 