En el resumen de esta semana, CTI analiza un informe de Mandiant que revela un aumento de los ataques que distribuyen malware a través de memorias USB durante el primer semestre de 2023 , incluidas dos nuevas campañas. A continuación, CTI analiza un informe que prevé que la actividad relacionada con el ransomware va camino de batir los récords anteriores este año, y los investigadores han observado un aumento general en el número de pagos de rescate que se han llevado a cabo con éxito. Por último, CTI investiga una variante de ransomware conocida como Big Head.
1. Se dispara el número de ataques de malware a través de memorias USB en el primer semestre de 2023
Según Mandiant, el número de ataques que distribuían malware a través de memorias USB se triplicó durante el primer semestre de 2023.
El informe de Mandiant también destaca dos nuevas campañas de malware difundido a través de dispositivos USB que contribuyeron a ese repunte, entre ellas el malware SOGU y SNOWYDRIVE.
SOGU se propaga a través de USB
Mandiant descubrió por primera vez esta campaña mientras buscaba eventos sospechosos de escritura de archivos en directorios que los autores de amenazas suelen utilizar para almacenar malware, herramientas y utilidades.
Los investigadores señalan que la campaña SOGU es «el ataque de ciberespionaje basado en dispositivos USB más extendido, en el que se utilizan memorias USB, y una de las campañas de ciberespionaje más agresivas dirigidas a organizaciones tanto del sector público como del privado a nivel mundial, en todos los sectores industriales».
Esta campaña utiliza memorias USB para instalar el malware SOGU y sustraer información del dispositivo de la víctima. Mandiant atribuye esta campaña a TEMP.hex, un grupo de espionaje vinculado a China, y considera que la campaña se llevó a cabo con el fin de recabar información en beneficio de la seguridad nacional y los intereses de China.
Según el estudio de Mandiant, estos ataques suponen un riesgo para una amplia variedad de sectores en Europa, Asia y Estados Unidos.
- Infección inicial: El vector de infección inicial es una memoria USB infectada. Esta memoria USB contiene varios programas maliciosos diseñados para cargar una carga útil maliciosa en la memoria mediante el secuestro de DLL.
- Punto de acceso establecido: . La cadena de infección suele constar de tres archivos: un ejecutable legítimo, un cargador DLL malicioso y una carga útil cifrada.
Cuando se ejecute el archivo ejecutable legítimo, este cargará de forma paralela un archivo DLL malicioso, conocido como KORPLUG. A continuación, el malware KORPLUG carga un código de shell descifrado y lo ejecuta en memoria. Este código de shell es una puerta trasera escrita en C y se denomina SOGU.
- Reconocimiento y preparación de datos: Se coloca un archivo por lotes en la papelera de reciclaje (recycle.bin) que ejecutará comandos de reconocimiento del host y guardará los resultados en un archivo denominado c3lzLmluZm8.
El malware buscará en la unidad C archivos con determinadas extensiones y cifrará una copia de cada uno de ellos, codificando el original antes de guardar los archivos cifrados en los siguientes directorios:
C:\Usuarios\\AppData\Roaming\Intel\\
:\RECYCLER.BIN\\
- Persistencia: El malware crea un directorio que se hace pasar por un programa legítimo y establece el atributo de dicho directorio como «oculto». A continuación, copiará sus componentes principales en este directorio recién creado.
Además, el malware creará una clave de registro «Run» con el mismo nombre que el directorio que ha creado anteriormente. En algunas variantes de SOGU, se creó una tarea programada adicional para ejecutar el malware cada 10 minutos con el fin de garantizar su persistencia.
- Exfiltración: El malware exfiltrará cualquier dato que se haya almacenado temporalmente durante la última fase del ataque. El malware puede utilizar HTTP, HTTPS, un protocolo binario personalizado sobre TCP o UDP e ICMP para comunicarse con su servidor de comando y control (C2).
Además, admite una amplia gama de comandos, entre los que se incluyen la transferencia de archivos, la ejecución de archivos, el escritorio remoto, la captura de pantallas, el shell inverso y el registro de pulsaciones de teclas. Por último, este malware también es capaz de copiarse a sí mismo en nuevos dispositivos extraíbles conectados a un dispositivo infectado, lo que le permite, en principio, recopilar datos de sistemas aislados.
La infección por el malware SNOWYDRIVE a través de dispositivos USB tiene como objetivo a empresas del sector del petróleo y el gas en Asia
Esta campaña también utiliza memorias USB para propagar el malware SNOWYDRIVE. Una vez cargado el malware, este crea una puerta trasera en el sistema y permite al autor de la amenaza ejecutar comandos del sistema de forma remota.
Además, puede extenderse a otros dispositivos USB y propagarse a través de la red. Mandiant ha atribuido esta campaña a « UNC4698», un actor malicioso que ya había atacado anteriormente al sector del petróleo y el gas en Asia.
Este actor malicioso ejecutará cargas útiles a través del símbolo del sistema de Windows, utilizará dispositivos de almacenamiento extraíbles, creará directorios locales de almacenamiento temporal y modificará el registro de Windows.
- Infección inicial: . Una vez más, el vector de infección inicial de esta campaña es un dispositivo USB infectado. En este caso, el malware induce a la víctima a hacer clic en un archivo malicioso que se hace pasar por un ejecutable legítimo. Cuando la víctima hace clic en este archivo, se desencadena una cadena de extensiones maliciosas.
- Establecimiento de un punto de acceso: La infección comienza con un archivo ejecutable que actúa como «dropper». Este «dropper» se encarga de escribir archivos maliciosos en el disco y, a continuación, ejecutarlos.
Los archivos cifrados contienen archivos ejecutables y DLL que se extraen y se guardan en el directorio C[:]\Users\Public\SymantecsThorvices\Bin. Los archivos pueden dividirse en cuatro componentes clave, cada uno de los cuales consta de un ejecutable legítimo y una DLL maliciosa.
- Mando y control: La puerta trasera basada en código shell, SNOWYDRIVE, generará un identificador único a partir del nombre del sistema, el nombre de usuario y el número de serie del volumen. Esto sirve como identificador único a la hora de comunicarse con su servidor C2 , que suele aparecer codificado de forma fija en el código de shell.
- Persistencia: La campaña utiliza el siguiente valor del Registro para la persistencia:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba
- Movimiento lateral: A continuación, el malware se copia a sí mismo en unidades extraíbles que posteriormente se conectan al dispositivo infectado. Creará la carpeta «\Kaspersky\Usb Drive\3.0” » en la unidad extraíble y copiará los archivos cifrados que contienen los componentes maliciosos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El reciente aumento de los casos de malware transmitido a través de dispositivos USB nos recuerda que, aunque estos ataques requieren acceso físico al dispositivo, presentan claramente ventajas que los mantienen vigentes en el panorama actual».
«La investigación de Mandiant sobre estas campañas reveló que las imprentas locales y los hoteles parecen ser puntos críticos de infección por malware a través de dispositivos USB, lo que indica que estos ataques siguen teniendo un carácter bastante oportunista».
2. Aumentan considerablemente los pagos por ransomware en 2023
Según un informe reciente de la empresa de análisis de cadenas de bloques Chainalysis, la actividad relacionada con el ransomware va camino de batir récords anteriores, ya que los investigadores han observado un aumento generalizado en el número de pagos de rescate realizados con éxito, tanto de cuantía elevada como de menor cuantía.
El ransomware destaca
El informe revela que el ransomware es la única categoría de delitos relacionados con las criptomonedas que ha experimentado un aumento este año, mientras que todas las demás han registrado un fuerte descenso, entre ellas los ataques informáticos, las estafas, el malware, la venta de material de abuso, las tiendas fraudulentas y los ingresos de los mercados de la darknet.
De un artículo de BleepingComputer sobre el tema:
«El ransomware es la única forma de delito relacionado con las criptomonedas que ha experimentado un aumento en lo que va de 2023», se lee en el informe de Chainalysis. «De hecho, los autores de ataques de ransomware van camino de registrar su segundo mejor año de la historia, ya que, hasta junio, han extorsionado al menos 449.1 millones de dólares».
Es más, los ingresos acumulados anuales por ransomware correspondientes a 2023 alcanzaron el 90 % de la cifra total de 2022 durante el primer semestre del año.
Perspectivas
El informe afirma que, si se mantiene el ritmo actual de crecimiento de los ingresos, los autores de ataques de ransomware obtendrán algo menos de 900 millones de dólares de sus víctimas en 2023, una cifra ligeramente inferior a la cifra récord de 940 millones de dólares registrada en 2021.
Los investigadores de Chainalysis afirman que el motor de este fuerte aumento de los ingresos es la «caza mayor», en la que las bandas de extorsionadores y las familias de ransomware se centran activamente en organizaciones grandes y de gran valor que pueden pagar sumas de dinero sin precedentes.
Los líderes del grupo
Según Chainalysis, BlackBasta, LockBit, ALPHV/Blackcat y Cl0p encabezan la lista de los principales destinatarios de pagos de grandes cantidades, y Cl0p presenta un importe medio por pago de 1.7 millones de dólares y una mediana de 1.9 millones de dólares.
Cabe destacar que Cl0p es responsable de dos oleadas masivas de ataques que aprovechaban dos vulnerabilidades de día cero descubiertas en herramientas de transferencia de archivos: GoAnywhere de Fortra en el primer trimestre del año, y MOVEit Transfer de Progress en el segundo.
De BleepingComputer:
De hecho, la campaña «GoAnywhere» de Clop, que supuso 129 ataques, convirtió a March 2023 en un mes récord, tal y como informó el NCC Group en aquel momento. La oleada de ataques de MOVEit ya ha adquirido mayores proporciones, con un total de 296 victims casos registrados hasta la fecha, y cada semana se revelan más en la página web de extorsión de Clop.
Además, tal y como explica Chainalysis, «la tendencia al alza de H1 2023 también se observa en el otro extremo del espectro, con pequeños pagos de rescate que se realizan a operaciones oportunistas de «ransomware como servicio» (RaaS) del tipo «spray-and-pray», como Dharma, Phobos y STOP/DJVU, que chantajean a las víctimas a cambio de unos pocos cientos de dólares estadounidenses».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Es probable que la disminución anual del número de organizaciones dispuestas a ceder ante la extorsión se haya convertido en un factor que ha contribuido a que los ciberdelincuentes vuelvan a centrarse en las presas importantes, así como a que los autores de las amenazas aumenten sus demandas de rescate».
«Probablemente, esto último constituya un intento estratégico por parte de los grupos extorsionadores y las familias de ransomware para compensar las crecientes pérdidas económicas que les suponen las empresas que se niegan a pagar».
3. El ransomware «Big Head» muestra una alerta falsa de actualización de Windows
Trend Micro ha analizado recientemente una variante de ransomware conocida como Big Head. Según se ha informado, el ransomware se está propagando a través de publicidad maliciosa que promociona actualizaciones falsas de Windows e instaladores falsos de Microsoft Word.
La primera muestra
La primera muestra de Big Head incluía un archivo binario compilado en .NET. El programa comprueba si existe el mutex denominado « “8bikfjjD4JpkkAqrz” » mediante la función CreateMutex y, en caso de encontrarlo, se cerrará automáticamente.
La muestra también incluía una lista de configuraciones con detalles relacionados con su proceso de instalación. En él se detallaban diversas acciones, entre las que se incluían la creación de una clave de registro, la comprobación de la existencia de determinados archivos y su sobrescritura en caso necesario, la configuración de los atributos de los archivos del sistema y la creación de una entrada de registro de ejecución automática.
Los investigadores señalaron la existencia de tres recursos, a saber: 1.exe, archive.exe y Xarch.exe. El archivo «1.exe» creará una copia de sí mismo para propagarse. Archive.exe instalará un bot de Telegram encargado de establecer comunicación con el ID del chatbot del autor de la amenaza. Además, Xarch.exe instalará un programa de ransomware que cifrará los archivos y mostrará a la víctima una falsa actualización de Windows.
Archivos binarios
- 1.exe: Este archivo ocultará la ventana de la consola y creará una clave de registro de ejecución automática para que se ejecute automáticamente al iniciar el sistema. Además, creará una copia de sí mismo, que guardará como «discord.exe» en la carpeta <%localappdata%>.
A continuación, el ransomware «Big Head» comprobará la identidad de la víctima. Si existe, leerá el contenido; de lo contrario, generará aleatoriamente una cadena de 40 caracteres y la escribirá en un archivo a modo de marcador de infección para identificar a sus víctimas.
Los investigadores también observaron que el ransomware eliminaba sus copias de sombra y copias de seguridad antes de colocar la nota de rescate en el escritorio, en los subdirectorios y en la carpeta %appdata%. El ransomware «Big Head» también cambiará el fondo de pantalla del ordenador. Por último, el ransomware ejecutará un comando para abrir un navegador y acceder al canal de Telegram del desarrollador del malware.
- Teleratserver.exe: Se trata de un binario de 64 bits compilado en Python que actúa como canal de comunicación entre el autor de la amenaza y la víctima a través de Telegram. Admite los comandos «start», «help», «screenshot» y «message».
- BXluSsB.exe: Este malware muestra una interfaz de usuario falsa de Windows Update para engañar a la víctima y hacerle creer que la actividad forma parte de un proceso legítimo de actualización de software.
El malware se desactivará automáticamente si el idioma del sistema del usuario coincide con los códigos de país de Rusia, Bielorrusia, Ucrania, Kazajistán, Kirguistán, Armenia, Georgia, Tatarstán y Uzbekistán. Además, desactivará el Administrador de tareas para impedir que la víctima cierre el proceso. A continuación, el malware coloca una copia de sí mismo en una carpeta oculta que crea y configura una entrada en la clave de registro «RunOnce».
El malware evitará cifrar los archivos de los directorios que contengan una lista específica de subcadenas y solo cifrará los archivos con determinadas extensiones. Además, el malware cerrará una lista concreta de procesos.
Ejemplo n.º 2
La segunda muestra de Big Head presenta comportamientos tanto de ransomware como de software de robo de datos. El archivo principal descarga y ejecuta tres archivos: «runyes.crypter.bat», « azz1.exe» y «server.exe».
Las actividades del ransomware las llevan a cabo los archivos «runyes.cryper.batt» y « azz1.exe», mientras que «server.exe» se encarga de recopilar información con fines de robo. Al igual que la primera muestra, esta muestra modificará el fondo de pantalla de la víctima.
Ejemplo tres
Esta muestra incluye un programa que infecta archivos y que Trend Micro identificó como «Neshta» en su cadena. Neshta está diseñado para infectar e insertar su código malicioso en archivos ejecutables.
La incorporación de Neshta en la distribución del ransomware también puede servir como técnica de camuflaje para la carga útil final del ransomware y, potencialmente, distraer a los analistas de la detección de la verdadera amenaza, que es el propio ransomware.
Acerca del autor de la amenaza
La nota de rescate indica que el creador del malware utiliza el correo electrónico y Telegram para comunicarse con las víctimas.
Tras analizar a fondo el nombre de usuario de Telegram, los investigadores pudieron localizar una cuenta de YouTube asociada. La cuenta es relativamente nueva, ya que se creó en abril de este año, y cuenta con un total de 12 vídeos publicados. Los vídeos muestran demostraciones del malware que Trend Micro ha detectado.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque Big Head no es una variante de ransomware muy sofisticada, las múltiples variantes que circulan indican que sus creadores están trabajando activamente para desarrollarla y perfeccionarla».
«Trend Micro analizó el historial de la cartera de bitcoins en cuestión y encontró transacciones que se remontaban a 2022. Por el momento no se dispone de más detalles sobre la naturaleza de estas transacciones ni sobre cuáles podrían ser los ataques relacionados con ellas. Sin embargo, esto sí que implica que este actor malicioso podría tener cierta experiencia previa».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
