Empresas de innovación y ciberseguridad como servicio, han descubierto cómo los concursos de investigación organizados por foros de cibercriminales están contribuyendo a inspirar nuevos métodos de ataque y evasión de detección de ataques. Estos imitan las legítimas convocatorias de conferencias de seguridad 'Call For Papers' y brindan a los ganadores considerables recompensas financieras y reconocimiento de sus colegas, además de posibles oportunidades laborales. Tal como se describe en el último informe de Sophos X-Ops, “For the Win? Offensive Research Contests on Criminal Forums,”, estos concursos están diseñados para fomentar la innovación y, cuando se analizan, las contribuciones proporcionan información invaluable sobre cómo los cibercriminales intentan superar obstáculos de seguridad.
A pesar de que estas competencias en foros criminales han perdurado en el tiempo, han evolucionado a lo largo de los años. En sus inicios, los concursos de cibercrimen incluían preguntas triviales, competencias de diseño gráfico y juegos de adivinanzas. Ahora, los foros criminales están invitando a los atacantes a "presentar" artículos sobre temas técnicos, acompañados de código fuente, videos y/o capturas de pantalla. Una vez presentados, todos los usuarios del foro son invitados a votar por el ganador del concurso. Sin embargo, la evaluación no es completamente transparente, ya que los dueños del foro y los patrocinadores del concurso también tienen su voto en el asunto.
“El hecho de que los cibercriminales estén organizando, participando e incluso patrocinando estos concursos sugiere que hay un objetivo comunitario de avanzar en sus tácticas y técnicas. Incluso hay evidencia que sugiere que estas competiciones actúan como una herramienta de reclutamiento entre grupos destacados de actores de amenazas", dijo Christopher Budd, director de investigación de amenazas de Sophos. "Si bien nuestra investigación muestra un enfoque creciente en temas relacionados con la Web-3, como criptomonedas, contratos inteligentes y NFTs, muchas de las entradas ganadoras tenían un atractivo más amplio y podrían ser de utilidad práctica, incluso si no eran particularmente novedosas. Esto podría reflejar las prioridades de la comunidad, pero también podría indicar que los atacantes mantienen sus mejores investigaciones para sí mismos, ya que pueden obtener más beneficios utilizándolas en ataques del mundo real”.
Sophos X-Ops exploró dos concursos anuales prominentes: uno organizado por el foro de cibercriminales de habla rusa Exploit, que ofreció un fondo total de premios de USD80.000 al ganador de su concurso en 2021, y otro realizado en el foro XSS, con un fondo de premios de USD40.000 en 2022. Durante varios años, miembros destacados de la comunidad de cibercriminales han patrocinado estos eventos, incluyendo a All World Cards y Lockbit.
En los concursos más recientes, Exploit tematizó su competencia en torno a las criptomonedas, mientras que XSS abrió su concurso a una variedad de temas que incluyen la ingeniería social, vectores de ataque, evasión y propuestas de estafa. Muchas de las entradas ganadoras se centraron en el abuso de herramientas legítimas como Cobalt Strike. Un finalista compartió un tutorial sobre cómo apuntar a las ofertas iniciales de monedas (ICOs) para recaudar fondos para una nueva criptomoneda y otro sobre cómo manipular tokens de privilegio para desactivar Windows Defender.
