En el resumen de esta semana, analizamos cómo al menos tres grupos de ciberdelincuentes distintos están utilizando la técnica de phishing mediante devolución de llamada «BazarCall». Por otra parte, el gigante tecnológico Cisco ha confirmado recientemente que ha sido víctima de un ciberataque de tipo « May 2022 ». Además, CTI analiza el último informe de DFIR sobre un ataque perpetrado con el malware «BumbleBee», que pasó desapercibido durante 11 días.
1. AdvIntel emite un aviso sobre BazarCall tras los ataques contra Twilio y Cloudflare
AdvIntel ha publicado una entrada de blog en la que se detallan las actividades ciberdelictivas más recientes que aprovechan BazarCall (también conocido como BazaCall), una peligrosa y eficaz técnica de phishing mediante devolución de llamada.
BazarCall apareció por primera vez en 2020 (se abre en una nueva pestaña) como parte del conjunto de herramientas de Ryuk, una conocida banda de ransomware que más tarde pasó a denominarse Conti. El estudio de AdvIntel afirma que, desde entonces, tres grupos de ciberdelincuentes distintos y sin relación entre sí han adoptado y perfeccionado sus propias tácticas de phishing de « » , derivadas de dicha metodología: Silent Ransom, Quantum y Roy/Zeon.
Más recientemente, Cloudflare (se abre en una nueva pestaña) y Twilio (se abre en una nueva pestaña) sufrieron ataques similares de phishing perpetrados por un actor malicioso avanzado que disponía de los números de teléfono particulares de los empleados y sus familias.
Repercusión en el paisaje
BazarCall destaca por dar un giro radical a la típica operación de phishing, ya que, en su lugar, aprovecha sus avanzados conocimientos de ingeniería social y de phishing dirigido (spear phishing) para acceder a las redes de las víctimas.
El uso de la ingeniería social por teléfono —a diferencia de las operaciones de piratería informática complejas y técnicas— es un fenómeno que, sin duda, ha cobrado impulso y ha sido adoptado por actores maliciosos de todo tipo, pero sobre todo por los autores de ataques de ransomware y extorsión. Por ejemplo, hemos visto cómo el grupo Lapsus$, relativamente poco sofisticado, ha derribado a algunos gigantes del sector cibernético, y parece que algunos de sus homólogos están intentando hacer lo mismo, tal y como demuestran los recientes ataques contra Cloudflare y Twilio mencionados anteriormente.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Silent Ransom —que, al igual que los otros dos grupos mencionados anteriormente, está compuesto por antiguos miembros de alto rango de Conti— ya no es, evidentemente, el único grupo malicioso que utiliza las operaciones de phishing altamente especializadas que ellos mismos fueron los primeros en poner en práctica». Tampoco son el único grupo que recurre al phishing por voz o «vishing», tal y como demuestran los recientes ataques a los que se hace referencia en el presente documento. Otros grupos maliciosos, al observar el éxito, la eficacia y la capacidad de selección de objetivos de estas tácticas, han comenzado a utilizar las campañas de phishing inverso como metodología básica y a desarrollar este vector de infección hasta convertirlo en un estilo de ataque propio.
Es probable que esta tendencia continúe y, de ser así, es probable que se den a conocer más víctimas, al igual que en los casos de Cloudflare y Twilio. De una forma un tanto extraña, es casi como si las tácticas empleadas por los piratas informáticos hubieran vuelto al punto de partida. Las semillas del «hacking», tal y como lo conocemos hoy en día, se sembraron en la época del «phone-phreaking» de Kevin Mitnick —el hacker más famoso del mundo— y sus compañeros, cuando no contaban con nada más que su ingenio, su rapidez mental, su conocimiento de los sistemas a los que se dirigían y, lo más importante, sus voces. «Parece que los autores de las amenazas se han dado cuenta por fin del potencial que encierran las tácticas avanzadas de ingeniería social. Esto supone un problema para todos nosotros, ya que las operaciones de phishing son cada vez más elaboradas y difíciles de distinguir de las comunicaciones legítimas».
2. Cisco ha sido víctima de un ataque por parte del grupo de ransomware Yanluowang
Cisco ha confirmado recientemente que el grupo de ransomware Yanluowang se infiltró en su red corporativa a finales de mayo y que los atacantes intentaron extorsionarles amenazando con filtrar en Internet los archivos sustraídos. Según Cisco, la empresa tomó medidas de inmediato para eliminar la amenaza.
La empresa afirma que los atacantes solo pudieron hacerse con datos no confidenciales de una carpeta de Box vinculada a la cuenta de un empleado cuya seguridad se vio comprometida.
«Cisco no ha detectado ningún impacto en nuestra actividad como consecuencia de este incidente, lo que incluye que no se ha producido ningún impacto en los productos o servicios de Cisco, en los datos confidenciales de los clientes o en la información confidencial de los empleados, en la propiedad intelectual de Cisco ni en las operaciones de la cadena de suministro», ha declarado la empresa en un comunicado (se abre en una nueva pestaña). «En August 10, los delincuentes publicaron en la dark web una lista de archivos relacionados con este incidente de seguridad».
Cisco ha sido víctima de un ataque por parte de la banda de ransomware Yanluowang; se sospecha que se han sustraído 2.8GB dispositivos - @serghei bleepingcomputer.com/news/security/…
La respuesta incluye un enlace a un análisis detallado de Cisco Talos sobre el (se abre en una nueva pestaña), que ofrece información relevante sobre el ataque. En una loable muestra de transparencia, el informe de Cisco Talos ofrece un nivel de detalle sorprendente sobre las distintas fases de la cadena de ataque.
Conclusiones clave
La siguiente lista no constituye en modo alguno una recopilación exhaustiva de todos los aspectos destacados de este ataque, sino más bien una serie de puntos de interés que ayudan a caracterizar el incidente:
- A lo largo del ataque se observaron intentos de sustracción de información.
- El atacante se aprovechó en repetidas ocasiones de las deficiencias en los procedimientos de rotación de contraseñas tras los restablecimientos obligatorios de las mismas por parte de los empleados, centrándose en aquellos usuarios que, al parecer, creían que habían cambiado un solo carácter de su contraseña anterior.
- El atacante utilizó servicios de anonimización del tráfico, como Tor.
- Tras ser expulsado del entorno, el atacante intentó en repetidas ocasiones ponerse en contacto por correo electrónico con los directivos, aunque no formuló ninguna amenaza concreta ni exigió ningún tipo de extorsión.
A lo largo del ataque, el adversario también introdujo una serie de cargas maliciosas en los sistemas. Muchos de ellos aún se están analizando, pero al menos algunos ya se han examinado y se han identificado sus fines. Entre ellos se encuentra una sencilla puerta trasera diseñada para recibir y ejecutar —a través del procesador de comandos de Windows— instrucciones procedentes de un servidor C2 enviadas en forma de blobs JSON.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Hay que elogiar a Cisco por la transparencia con la que la empresa ha descrito los hechos relacionados con el ataque. El intercambio de información con este nivel de profundidad y detalle podría contribuir a evitar que ataques similares afecten a otras organizaciones en el futuro.
El ransomware Yanluowang apareció por primera vez en (se abre en una nueva pestaña) alrededor de October 2021, cuando se utilizó en ataques dirigidos contra redes empresariales. En esa oleada de ataques, a menudo se descubría a los atacantes cuando los analistas detectaban actividades sospechosas tras el uso de herramientas legítimas, como la herramienta de consulta de Active Directory AdFind. Según April 2022, Kaspersky había anunciado que había descubierto vulnerabilidades en el algoritmo de cifrado del ransomware, lo que permitía recuperar los archivos que este había cifrado. Kaspersky publicó poco después un descifrador gratuito (se abre en una nueva pestaña) para las víctimas de Yanluowang.
Puede que sea un indicio revelador el hecho de que no se detectaran cargas útiles de ransomware durante la investigación de Cisco. Lo mismo puede decirse del hecho de que gran parte del ataque —si no todo— parecía haber sido llevado a cabo por personas. Es posible que Yanluowang no sea más que otra banda de ransomware que haya pasado a un modelo de extorsión sin cifrado, de naturaleza similar a la de sus colegas de Lapsus$. «Si esto resultara ser así, habría que considerar a Yanluowang como una amenaza no menos grave».
3. El ataque del malware BumbleBee pasa desapercibido durante 11 días
El informe DFIR ofrece un análisis técnico en profundidad del malware BumbleBee de (se abre en una nueva pestaña) y del papel que desempeñó en una intrusión reciente en la que los autores de la amenaza operaron dentro de la red del objetivo durante 11 días sin ser detectados.
«Durante esta intrusión, los autores del ataque obtuvieron acceso mediante un archivo ISO y un archivo LNK, emplearon varias técnicas de movimiento lateral, extrajeron credenciales de tres formas distintas, utilizaron la técnica de «kerberoast» para acceder a una cuenta de administrador de dominio e instalaron y ejecutaron una herramienta a medida destinada a detectar vías de escalada de privilegios», explica DFIR.
BumbleBee se abre camino hasta convertirse en administrador del dominio ➡️Acceso inicial: BumbleBee (ISO comprimido con LNK+DLL) ➡️Persistencia: AnyDesk ➡️Detección: VulnRecon, Seatbelt, AdFind, etc. ➡️Credenciales: Kerberoast, comsvcs.dll, ProcDump ➡️C2: BumbleBee, CobaltStrike, AnyDesk thedfirreport.com/2022/08/08/bum…
Los investigadores del DFIR no observaron ninguna exfiltración, cifrado de datos ni destrucción de datos durante esta intrusión. No obstante, las prácticas técnicas observadas sí que revelan «las tácticas habituales de los autores de delitos cibernéticos, que podrían haber dado lugar a un ataque de ransomware a escala de dominio si los autores hubieran dispuesto de tiempo suficiente».
CTI ya había informado anteriormente sobre el malware BumbleBee, que es un cargador de malware del que informó y observó por primera vez (se abre en una nueva pestaña) en March 2022 por parte del Grupo de Análisis de Amenazas (TAG) de Google. Google atribuye este malware a un intermediario de acceso inicial (IAB) denominado Exotic Lily.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El informe DFIR es conocido por su análisis increíblemente exhaustivo, y este caso no es una excepción. CTI recomienda consultar el informe completo para obtener más detalles técnicos.
El malware BumbleBee parecía estar en boca de todos cuando se detectó por primera vez a principios de este año, y los investigadores lo describieron como el sucesor de BazarLoader (se abre en una nueva pestaña), al tiempo que destacaban sus aparentes vínculos con redes organizadas formadas por intermediarios de acceso inicial (IAB).
La actividad relacionada con BumbleBee parecía haber disminuido desde su aparición, pero este malware ha resurgido recientemente y ha recuperado su antigua reputación como una vía grave y eficaz para la distribución de ransomware y otras cargas maliciosas. Los autores de amenazas están recurriendo cada vez más a este malware, y es fácil entender por qué. BumbleBee es un programa bastante sofisticado, que se centra especialmente en eludir la detección. De hecho, BumbleBee es tan eficaz a la hora de eludir las soluciones de defensa tradicionales que permitió a los autores de la intrusión analizada anteriormente permanecer sin ser detectados durante 11 días. Quizá no le parezca mucho tiempo, pero piénselo de esta manera: ¿le gustaría que un ladrón estuviera merodeando por su casa durante 11 días?
A continuación: Visite la comunidad de Tanium
¿Tiene alguna pregunta u opinión sobre estos temas de actualidad? Visite nuestra comunidad de usuarios « » en (se abre en una nueva pestaña),y para participar en los foros de debate y ponerse al día con nuestras últimas recomendaciones sobre ciberseguridad.
También le invitamos a probar Tanium y a descubrir cómo nuestra solución de gestión convergente de terminales (XEM) puede proteger su empresa frente a amenazas sofisticadas. Pruebe la versión de prueba gratuita en (se abre en una nueva pestaña),y .
