En el resumen de esta semana, CTI analiza un reciente ataque del ransomware BianLian que aprovechó vulnerabilidades conocidas del software TeamCity de JetBrains. A continuación, CTI analiza cómo los ataques de ransomware siguen produciéndose a un ritmo acelerado, a pesar de que se ha registrado un ligero descenso de los mismos en el cuarto trimestre de 2023.
Por último, CTI presenta las conclusiones principales del último informe de GitGuardians titulado «State of Secrets Sprawl».
1. Los autores de amenazas de BianLian aprovechan las vulnerabilidades de JetBrains TeamCity
La operación de ransomware « » (BianLian) está aprovechando actualmente vulnerabilidades conocidas del software TeamCity de JetBrains para llevar a cabo ataques con fines exclusivamente de extorsión. Los últimos ataques comenzaron aprovechando estas vulnerabilidades y culminaron con el despliegue de una implementación en PowerShell de la puerta trasera de BianLian.
BrianLian: Acceso inicial
BianLian consiguió acceder al entorno de la víctima a través de un servidor TeamCity vulnerable, aprovechando las vulnerabilidades « » CVE-2024-27198, y CVE-2024-42793.
El grupo creó usuarios en TeamCity y ejecutó comandos maliciosos utilizando la cuenta de servicio del producto. Tras obtener el acceso inicial, el autor de la amenaza utilizó comandos nativos de Windows para identificar infraestructura adicional. Esto les permitió descubrir dos servidores de compilación que resultaban buenos candidatos para una explotación adicional.
Se utilizaron los archivos «winpty-agent.exe» y «winpty.dll» para ejecutar comandos de forma remota en estos servidores, lo que dio lugar a la instalación de herramientas adicionales. Una de esas herramientas adicionales que se implementó fue un script de PowerShell, web.ps1. También se implementaron otras herramientas necesarias para comunicarse con el servidor C2 , así como herramientas para extraer credenciales.
Pasarse a PowerShell
El autor de la amenaza intentó ejecutar la puerta trasera «Go», que suele utilizar, en varias ocasiones, sin éxito en ninguna de ellas. Tras varios intentos fallidos, el actor malicioso decidió optar por una implementación de la puerta trasera en PowerShell, que funcionaba de manera muy similar a su puerta trasera tradicional en Go.
Tras desofuscar el script de PowerShell, GuidePoint pudo analizarlo. Uno de los componentes del script es la función «cakes», que se utilizó para resolver una dirección IP en función del valor que se le proporcionara como parámetro. Una vez confirmada la dirección IP, esta se utiliza para establecer un socket TCP que permita la comunicación.
También existía una función de cookies que se utilizaba para la mayor parte de la gestión de las conexiones de red y para algunas tareas ejecutadas por la propia puerta trasera. A estas alturas, los investigadores han podido determinar que el objetivo de la puerta trasera es permitir que un atacante remoto lleve a cabo operaciones de forma arbitraria y de manera similar a la variante «Go».
El culpable: BianLian
GuidePoint atribuyó este ataque a BianLian a partir de la última línea del script de PowerShell, en la que se observaba la llamada a la función «cookies» con parámetros específicos.
Tras realizar esta conversión, se reveló una dirección IP. Esta dirección IP se había asociado anteriormente a un servidor en el que se ejecutaba una puerta trasera de tipo «BianLian Go», tal y como se ha constatado recientemente en March 6, 2024.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
No es la primera vez que informamos sobre BianLian. Se sabe que BianLian utiliza puertas traseras personalizadas en Go, adaptadas a cada víctima, lo que demuestra su gran capacidad de adaptación. Este último ataque demuestra aún más su capacidad de adaptación, ya que fueron capaces de cambiar rápidamente a una técnica basada en PowerShell y LotL tras darse cuenta de que la puerta trasera «Go» que habían planeado no había funcionado.
Como demuestra este ejemplo, los autores de amenazas están demostrando cada vez más su capacidad para adaptarse a entornos en constante evolución, especialmente en lo que se refiere a nuevas vulnerabilidades.
2. Los ataques de ransomware siguen aumentando a un ritmo cada vez mayor
Según Symantec, los ataques del ransomware « » siguen produciéndose a un ritmo acelerado, a pesar del ligero descenso registrado en el cuarto trimestre de 2023.
Las últimas investigaciones indican que los autores de ataques de ransomware están mejorando su capacidad para adaptarse y perfeccionar sus TTP con el fin de responder a las medidas de las fuerzas del orden. Los datos indican que el aprovechamiento de vulnerabilidades es, en la actualidad, el principal vector de infección de los ataques de ransomware.
Principales conclusiones del informe de Symantec
Según el análisis realizado por Symantec sobre los sitios web de filtración de ransomware, se registraron aproximadamente 4,700 víctimas de ransomware en 2023 y 2,800 víctimas en 2022. Aunque se registró un ligero descenso en el número de ataques durante el último trimestre de 2023, el número total de ataques siguió siendo superior al de años anteriores.
Una de las razones que explican este aumento es el hecho de que los autores de ataques de ransomware están adaptando estratégicamente sus TTP para hacer frente a diversas interrupciones y medidas de desactivación, y así poder seguir persiguiendo sus objetivos.
Symantec señala una discrepancia entre el número de víctimas que se afirma que hay en las páginas web donde se publican filtraciones de ransomware y la actividad real relacionada con el ransomware que han investigado. Según los datos recopilados, el grupo malicioso responsable del ransomware «Noberus» fue el responsable de un mayor porcentaje de los ataques.
Principales vectores de ransomware
Los autores de amenazas están recurriendo al aprovechamiento de vulnerabilidades como vía de acceso inicial para los ataques de ransomware.
Entre las vulnerabilidades más explotadas el año pasado que dieron lugar a ataques de ransomware se encuentran:
- CVE-2022-47966 «»: ZOHO ManageEngine
- Diversas vulnerabilidades de Microsoft Exchange Server
- CVE-2023-2966: Citrix NetScaler ADC y NetScaler Gateway
- CVE-2023-20269: VPN de Cisco ASA y Cisco FTD
Herramientas
Los autores de amenazas están ampliando su repertorio para incluir herramientas personalizadas y de doble uso con el fin de eludir la detección. Los autores de ransomware también están recurriendo cada vez con mayor frecuencia a la técnica «traiga su propio controlador vulnerable» (BYOVD).
Entre las herramientas observadas en los recientes ataques de ransomware se incluyen:
- de HopToDesk: una herramienta de escritorio remoto de acceso público. AnyDesk y Atera también son de uso habitual.
- TrueSightKiller: Una herramienta de acceso público que utiliza la técnica BYOVD y desactiva el software de seguridad.
- de GhostDriver: una herramienta que utiliza la técnica BYOVD y desactiva el antivirus.
- StealBit: una herramienta personalizada de exfiltración de datos; relacionada con LockBit.
Técnicas
Symantec ha señalado dos técnicas destacadas que se están utilizando actualmente en los ataques de ransomware.
- La primera es «esentutl», que consiste en extraer credenciales mediante una herramienta de línea de comandos de Windows. Actualmente, esta técnica se está utilizando para extraer credenciales de los navegadores.
- La otra técnica consiste en el uso de herramientas maliciosas para obtener y descifrar las credenciales de los usuarios que se almacenan a través de la API de Protección de Datos de Microsoft.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El ransomware no va a desaparecer a corto plazo. Si bien las medidas de las fuerzas del orden pueden provocar un descenso temporal de los ataques de ransomware, ello no basta para reducir la amenaza que representan los autores de estos ataques.
Esto no quiere decir que los esfuerzos de las fuerzas del orden sean una pérdida de tiempo. A menudo, perjudican la reputación y/o la infraestructura del autor de la amenaza. Además, la gran cantidad de información pública sobre diversos ataques de ransomware, aunque resulta útil para los defensores, no hace sino impulsar a los autores de las amenazas a buscar nuevas técnicas, de ahí su capacidad para cambiar de estrategia y adaptarse rápidamente.
3. Se han filtrado más de 12 millones de secretos y claves en GitHub
Según el informe «State of Secrets Sprawl» de GitGuardian, los usuarios de GitHub expusieron en 2023 casos más de 12.8 millones de datos de autenticación y secretos confidenciales en 3 millones de repositorios públicos.
Entre los datos comprometidos se incluyen contraseñas de cuentas, claves API, certificados TLS/SSL, claves de cifrado, credenciales de servicios en la nube, tokens OAuth y otros datos. Es más, la mayoría de los secretos y claves seguían siendo válidos cinco días después de que se tuviera conocimiento de la filtración.
Resultados destacados
Las credenciales integradas en el código han sido una de las causas fundamentales de los incidentes de seguridad desde hace bastante tiempo. GitGuardian lleva realizando un seguimiento e informando sobre los secretos codificados desde el 2020, y ha constatado que se produjo un aumento del 28 % en el número de secretos detectados en GitHub entre el 2022 y el 2023.
Los investigadores también descubrieron que el 90 % de las claves válidas expuestas permanecen activas durante cinco días después de que el autor reciba una notificación. GitGuardian envió el año pasado 1.8 millones de alertas por correo electrónico en las que se identificaba una clave secreta expuesta, de las cuales solo 33,242 fueron revocadas en un plazo de cinco días. Esta estadística pone de relieve que la corrección de los problemas es tan importante, si no más, como la detección de este tipo de actividades.
GitGuardian desglosó aún más sus datos para identificar los países y los sectores con mayor número de fugas. La India fue el país con más filtraciones, seguida de Estados Unidos y Brasil. El sector de las tecnologías de la información representó el 65.9 % de las filtraciones.
Sus datos se desglosaron de nuevo en secretos específicos frente a secretos genéricos, y se constató que los secretos específicos constituían la mayoría. Al analizar más detenidamente estas claves de acceso concretas, identificaron más de un millón de claves de acceso válidas de la API de Google, 250,000 de Google Cloud y 140,000 de AWS IAM.
¿Qué ocurre tras las filtraciones de información confidencial?
Una vez que se filtra un secreto, es fundamental que se retire rápidamente para evitar que tenga más repercusiones. Como se ha señalado, más del 90 % de las claves secretas identificadas por GitGuardian seguían siendo válidas varios días después. Además, solo el 2.6 % de las claves secretas se revocaron en el plazo de una hora desde el envío del correo electrónico de notificación.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Resulta sorprendente saber que más del 90 % de los secretos seguían siendo válidos cinco días después de que se notificara que se habían filtrado accidentalmente.
Esta investigación no solo ofrece unas cifras asombrosas, sino que también pone de manifiesto que los grandes esfuerzos de detección, sencillamente, no son suficientes. Las medidas de detección no sirven de mucho si el equipo encargado de la corrección no cuenta con la orientación adecuada ni con los conocimientos necesarios para subsanar los errores.
Ahora más que nunca, resulta fundamental poder responder a la pregunta de qué ocurre tras una filtración de información confidencial —o qué ocurre una vez que se identifica cualquier incidente de seguridad concreto—.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
