¿Qué es el flujo rápido?

El flujo rápido es una técnica que emplean los ciberdelincuentes para ocultar infraestructuras maliciosas cambiando rápidamente las direcciones IP asociadas a un nombre de dominio. Al rotar continuamente entre diferentes direcciones IP, los atacantes pueden dificultar la identificación y bloqueo de sitios web maliciosos, servidores de comandos y control, páginas de phishing y otras infraestructuras.

El flujo rápido se asocia comúnmente con botnets, donde un gran número de dispositivos comprometidos pueden usar como proxies temporales u hosts. Los cambios constantes ayudan a los atacantes a mantener los servicios maliciosos disponibles incluso cuando se descubren o se desconectan direcciones IP individuales.

Puntos clave

• El flujo rápido es una técnica de ciberataque que cambia rápidamente las direcciones IP asociadas a un nombre de dominio, dificultando la detección de infraestructuras maliciosas.
• Las redes de flujo rápido suelen depender de botnets y dispositivos comprometidos para rotar continuamente direcciones IP y soportar actividades maliciosas como phishing, distribución de malware y comunicaciones de mando y control.
• El flujo simple y el flujo doble son dos técnicas comunes de flujo rápido. El flujo único rota las direcciones IP, mientras que el flujo doble cambia tanto las direcciones IP como los servidores de nombres DNS para hacer la infraestructura maliciosa más resiliente.
• Detectar y defender contra el flujo rápido requiere múltiples controles de seguridad. Las organizaciones deberían combinar la monitorización DNS, la inteligencia de amenazas, la visibilidad de la red y la contención del incumplimiento para identificar actividades sospechosas y limitar el movimiento lateral si los sistemas se ven comprometidos.

¿Cómo funciona el flujo rápido?

Normalmente, un nombre de dominio se asocia a una o un número relativamente pequeño de direcciones IP a través del Sistema de Nombres de Dominio (DNS). El flujo rápido cambia esta relación.

Los atacantes configuran dominios maliciosos para que sus registros DNS cambien con frecuencia. Un dominio puede resolver a un grupo de direcciones IP y, minutos después, resolver a un grupo completamente diferente.

Muchas de estas direcciones IP pueden pertenecer a dispositivos comprometidos dentro de una botnet. Los dispositivos actúan como intermediarios entre las víctimas y la infraestructura subyacente de los atacantes.

Esto dificulta que los defensores bloqueen simplemente una dirección IP e interrumpan la operación maliciosa.

¿Qué es una red de flujo rápido?

Una red de flujo rápido es el conjunto de sistemas e infraestructuras empleados para rotar rápidamente las direcciones IP asociadas a un dominio malicioso.

Estas redes suelen depender de computadoras, servidores, routers, dispositivos de Internet de las Cosas (IoT) u otros endpoints comprometidos a través de una botnet.

Dado que la red puede contener muchos dispositivos diferentes distribuidos entre ubicaciones geográficas y redes, los atacantes pueden reemplazar continuamente infraestructuras que fueron detectadas o bloqueadas.

¿Qué es el flujo único?

El flujo único es una forma de flujo rápido en la que las direcciones IP asociadas a un dominio malicioso cambian con frecuencia.

Por ejemplo, un dominio de phishing podría resolver varios dispositivos comprometidos. Poco después, el mismo dominio podía resolver en un grupo completamente diferente de direcciones IP.

El dominio se mantiene consistente mientras la infraestructura que lo respalda cambia continuamente.

¿Qué es el doble flujo?

El doble flujo agrega otra capa de complejidad.

Además de cambiar frecuentemente las direcciones IP asociadas a un dominio, los atacantes también rotan los servidores de nombres DNS responsables de resolver ese dominio.

Esto significa que tanto los hosts maliciosos como la infraestructura DNS que los soporta pueden cambiar rápidamente, haciendo que la operación sea más resiliente y difícil de interrumpir.

¿Por qué los atacantes usan flujo rápido?

Los atacantes emplean principalmente el flujo rápido para hacer que la infraestructura maliciosa sea más resiliente y difícil de bloquear.

El flujo rápido puede ayudar a los atacantes:

• Ocultar la ubicación de su infraestructura principal
• Mantén los dominios maliciosos disponibles más tiempo
• Evadir bloqueo basado en IP
• Hacer que la infraestructura sea más difícil de investigar
• Apoyar campañas de phishing y malware
• Mantener comunicaciones de mando y control
• Reemplazar rápidamente la infraestructura comprometida

En lugar de depender de un único servidor que los defensores puedan identificar y apagar, los atacantes distribuyen la actividad entre muchos sistemas.

¿Cómo se emplea Fast Flux en los ciberataques?

El flujo rápido puede soportar varios tipos de actividades maliciosas.

Las campañas de phishing pueden usar un flujo rápido para mantener las páginas de inicio de sesión fraudulentas disponibles incluso cuando los sistemas de alojamiento individuales están bloqueados. Los operadores de malware pueden emplearlo para mantener la comunicación entre dispositivos infectados y la infraestructura de mando y control.

Las botnets también pueden emplear redes de flujo rápido para proxy el tráfico a través de dispositivos comprometidos, ocultando la ubicación real de los servidores del atacante.

Esta infraestructura en constante cambio puede dificultar la detección, investigación y desmantelamiento.

¿Cómo se puede detectar el flujo rápido?

La actividad de flujo rápido a menudo puede identificar examinando el DNS y el comportamiento de la red a lo largo del tiempo.

Los indicadores potenciales pueden incluir:

• Dominios que resuelven un número inusualmente grande de direcciones IP
• Las direcciones IP cambian con mucha frecuencia
• Valores de tiempo para vivir (TTL) del DNS muy cortos
• Direcciones IP distribuidas en muchas redes o ubicaciones geográficas
• Cambios frecuentes en servidores de nombres autorizados
• Conexiones a infraestructuras asociadas a botnets conocidas o actividades maliciosas

Ningún indicador único demuestra necesariamente que se esté empleando un flujo rápido. Los equipos de seguridad suelen analizar múltiples señales y patrones de comportamiento para distinguir la actividad maliciosa de flujo rápido de la infraestructura legítima.

¿Es el flujo rápido siempre malicioso?

No. Cambiar rápidamente los registros DNS o distribuir el tráfico entre muchas direcciones IP no es automáticamente malicioso.

Servicios legítimos como redes de distribución de contenidos (CDN), plataformas en la nube y sistemas de balanceo de carga pueden emplear infraestructuras dinámicas que pueden asemejar a algunas características de un flujo rápido.

La diferencia radica principalmente en la intención y el comportamiento. Los equipos de seguridad necesitan contexto adicional, datos de reputación, patrones DNS y actividad de red para determinar si la infraestructura que cambia rápidamente está asociada a actividad maliciosa.

¿Cuál es la diferencia entre los algoritmos de flujo rápido y los algoritmos de generación de dominios?

Los algoritmos de flujo rápido y generación de dominios (DGA) son técnicas que los atacantes pueden usar para dificultar la interrupción de infraestructuras maliciosas, pero funcionan de forma diferente.

El flujo rápido cambia frecuentemente las direcciones IP asociadas a un dominio. Una DGA genera un gran número de nombres de dominio que el malware puede emplear para localizar infraestructuras de mando y control.

Los atacantes pueden emplear estas técnicas por separado o en conjunto para crear una infraestructura más resiliente a la detección y los esfuerzos de retirada.

¿Cómo pueden las organizaciones proteger frente al flujo rápido?

Las organizaciones pueden reducir el riesgo asociado al flujo rápido combinando monitorización DNS, inteligencia de amenazas, visibilidad de red, análisis de comportamiento y controles de seguridad.

Los equipos de seguridad deben monitorizar la actividad DNS inusual e investigar las conexiones con infraestructuras sospechosas o que cambian rápidamente. Bloquear dominios y direcciones IP maliciosos conocidos puede ayudar, pero el flujo rápido demuestra por qué confiar exclusivamente en listas de bloqueo estáticas puede no ser suficiente.

Las organizaciones también deben asumir que alguna actividad maliciosa acabará por eludir los controles preventivos y preparar para limitar a qué pueden acceder los atacantes si un sistema se ve comprometido.

¿Cómo se relaciona el flujo rápido con la contención del incumplimiento?

El flujo rápido ayuda a los atacantes a dificultar la identificación y la interrupción de su infraestructura externa. Pero una vez que un atacante compromete una carga de trabajo o un endpoints, las organizaciones se enfrentan a otro desafío: evitar que ese compromiso se extienda.

Si el malware se comunica con éxito con infraestructuras maliciosas, los controles de segmentación y contención del incumplimiento pueden ayudar a restringir la capacidad del sistema comprometido para acceder a otras cargas de trabajo y recursos críticos.

Al limitar la conectividad innecesaria y el movimiento lateral, las organizaciones pueden reducir el impacto potencial de un ataque exitoso incluso cuando la infraestructura maliciosa está en constante cambio.

Detener ataques que no se propaguen con Illumio

Fast Flux puede ayudar a los atacantes a evadir la detección y mantener la infraestructura maliciosa en línea. Pero cuando una amenaza llega a tu entorno, la prioridad pasa a evitar que se extienda.

Illumio ayuda a las organizaciones a contener incumplimientos limitando la conectividad innecesaria y evitando que los atacantes se desplacen lateralmente hacia sistemas y datos críticos.

Descubre cómo Illumio puede ayudarte a contener los incumplimientos y frenar el movimiento lateral.

Descubre la contención del incumplimiento de Illumio →

‍

Preguntas frecuentes

¿Qué es el flujo rápido en términos sencillos?

El flujo rápido es una técnica que cambia rápidamente las direcciones IP conectadas a un dominio, dificultando la identificación, bloqueo o cierre de infraestructuras maliciosas.

¿Está el flujo rápido asociado a las botnets?

Sí. Las redes de flujo rápido suelen usar grandes cantidades de dispositivos comprometidos controlados a través de botnets para proporcionar direcciones IP y tráfico proxy que cambian constantemente.

¿Cuál es la diferencia entre flujo simple y flujo doble?

El flujo único cambia frecuentemente las direcciones IP asociadas a un dominio. El doble flujo cambia tanto las direcciones IP como los servidores de nombres DNS asociados a la infraestructura maliciosa.

¿Por qué es difícil bloquear el flujo rápido?

La infraestructura de flujo rápido puede cambiar rápidamente. Bloquear una dirección IP maliciosa puede tener un impacto limitado porque el dominio puede empezar a dirigir el tráfico a través de otros sistemas comprometidos.

¿Pueden los servicios legítimos parecer un flujo rápido?

Sí. Las CDN, servicios en la nube y otras infraestructuras distribuidas pueden mostrar un comportamiento DNS similar. Los equipos de seguridad necesitan contexto adicional para determinar si la actividad es maliciosa.

‍