En primer lugar, en el resumen de esta semana, CTI investiga a AlphaLock, un grupo ruso que forma a piratas informáticos y obtiene beneficios económicos de sus servicios a través de un programa de afiliados específico. A continuación, CTI analiza un informe conjunto reciente sobre « » Rhysida, un ransomware emergente que actualmente supone una amenaza para múltiples sectores. CTI concluye con una visión general de una nueva campaña dirigida a instancias expuestas públicamente de la API de Docker Engine.
1. AlphaLock forma a piratas informáticos y obtiene beneficios económicos de sus servicios
Unos investigadores han descubierto un nuevo grupo de piratas informáticos ruso denominado « » (AlphaLock) (se abre en una nueva pestaña) que gestiona una organización dedicada a la formación en pruebas de penetración. El grupo fue descubierto en un canal público de Telegram que ahora es privado.
AlphaLock forma a hackers mediante cursos en línea personalizados. Además, obtiene ingresos por sus servicios a través de un programa de afiliados específico, lo que da lugar a un mercado integral dedicado a la ciberdelincuencia.
Su modelo de negocio consta de dos partes: la formación en pruebas de penetración «Bazooka Code» y el mercado de servicios de hacking «ALPentest»:
- Bazooka Code: La primera parte de su modelo de negocio se centra en la formación. Aquí ofrecen a los hackers cursos de formación en línea personalizados denominados «Bazooka Code». AlphaLock intenta evitar presentarse como un agente malicioso o un ciberdelincuente. En cambio, el grupo afirma que simplemente están formando a especialistas en pruebas de penetración.
- El mercado de hacking ALPentest: La segunda parte del modelo de negocio de AlphaLock gira en torno al foro de la dark web XSS y a un programa de afiliados, a través del cual probablemente pretenden obtener la mayor parte de sus ingresos. Su plan consiste en recurrir a hackers recién formados —o «pen testers»— para crear un mercado en el que los autores de amenazas puedan adquirir servicios de pruebas dirigidos a una organización concreta.
Las versiones beta del nuevo mercado revelaron que los autores de amenazas podrían publicar una lista de los objetivos en los que desearían realizar pruebas de penetración. Otros actores maliciosos podrían entonces atacar a ese objetivo, publicar pruebas y cobrar el dinero.
Al parecer, la plataforma atrajo demasiada atención, lo que obligó al autor de la amenaza a publicar un extenso mensaje en el que indicaba que todo el programa se trasladará a una nueva aplicación de chat descentralizada conocida como Matrix.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
AlphaLock está trabajando intensamente para consolidarse como marca, con un curso de formación en línea totalmente personalizado y una plataforma de venta. Curiosamente, el grupo se centra más en funcionar como una empresa que en centrarse exclusivamente en la sofisticación técnica.
Tal y como señala Flare en Bleeping Computer, esto se inscribe en la tendencia actual hacia la diversificación y la especialización de funciones que se está produciendo en el ámbito de la ciberdelincuencia. En la actualidad existen cadenas de suministro detalladas y complejas que ofrecen economías de escala a los ciberdelincuentes.
2. Se ha publicado un nuevo aviso conjunto sobre el ransomware Rhysida
La Oficina Federal de Investigación (FBI), la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y el Centro Multiestatal de Intercambio y Análisis de Información (MS-ISAC) han publicado un aviso conjunto sobre ciberseguridad para dar a conocer las últimas actividades relacionadas con el ransomware Rhysida de , (se abre en una nueva pestaña),y .
Rhysida es un ransomware emergente que ataca principalmente a los sectores de la educación, la sanidad, la industria manufacturera, las tecnologías de la información y la administración pública.
Acceso inicial a Rhysida
El autor del ransomware Rhysida aprovecha servicios remotos accesibles desde el exterior, como las redes privadas virtuales (VPN), para obtener acceso inicial y garantizar su persistencia. A menudo intenta autenticarse en puntos de acceso VPN internos utilizando credenciales comprometidas, pero válidas. Esto suele deberse a la falta de autenticación multifactorial.
Se ha observado que el actor lleva a cabo campañas de phishing de tipo « » ( ) y aprovecha la vulnerabilidad CVE-2020-1472 , que supone una elevación crítica de privilegios en el protocolo remoto Netlogon de Microsoft.
Vivir de la tierra
Al igual que muchos actores maliciosos, Rhysida utiliza técnicas de «living-off-the-land» en sus ataques. Esto incluye crear conexiones mediante el Protocolo de Escritorio Remoto (RDP) para el movimiento lateral, establecer acceso mediante VPN y utilizar PowerShell. El actor suele utilizar «ipconfig», «whoami», «nltest» y diversos comandos de red para analizar entornos y recabar información.
Las herramientas de Rhysida
Rhysida utiliza varias herramientas legítimas y de acceso público en sus ataques. Esto dificulta que los defensores detecten actividades maliciosas.
Entre los ejemplos se incluyen:
- Cmd.exe: la utilidad nativa de la línea de comandos.
- PowerShell.exe: es una herramienta nativa de línea de comandos que permite ejecutar una sesión de Windows PowerShell en una ventana del símbolo del sistema.
- PsExec.exe: una herramienta del paquete PsTools que permite ejecutar procesos de forma remota.
Entre otras herramientas adicionales se encuentran mstsc.exe, PuTTy.exe y PortStarter, entre otras.
Ejecución
En un ataque de ransomware Rhysida, el autor creó dos carpetas en la unidad C:\ denominadas «in» y «out». Estas carpetas servían como directorio de almacenamiento temporal y albergaban archivos ejecutables maliciosos:
- La carpeta «in» contenía nombres de archivos que coincidían con los nombres de los hosts de la red de la víctima, los cuales se cree que fueron importados mediante una herramienta de análisis.
- La carpeta «out» contenía varios archivos maliciosos que se implementaron para facilitar el cifrado en toda la red.
Extorsión de datos
Al igual que la mayoría de los autores de ransomware en la actualidad, Rhysida lleva a cabo ataques de doble extorsión: primero exige un pago para descifrar los datos y, a continuación, amenaza con publicarlos si la víctima no paga.
El grupo dejará su nota de rescate en forma de archivo PDF denominado «CriticalBreachDetected», en el que se indica a la víctima que se ponga en contacto con el grupo a través de un portal basado en Tor.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
«El ransomware Rhysida lleva solo unos meses en circulación, pero ya ha afectado a unas 50 víctimas (se abre en una nueva pestaña).
El grupo recurre en gran medida a herramientas legítimas a lo largo de las distintas fases del ataque, lo que probablemente les permite permanecer sin ser detectados en un entorno durante más tiempo.
«También se ha constatado que los actores de Rhysida operan como parte de una infraestructura de « » (RaaS) (se abre en una nueva pestaña), lo que hace posible que en el futuro puedan aparecer más afiliados a Rhysida».
3. OracleIV se centra en las API públicas de Docker Engine
Investigadores de Cado Security han descubierto una nueva campaña dirigida a instancias de la API de Docker Engine expuestas públicamente.
Se ha observado que los autores de amenazas aprovechan una configuración incorrecta para distribuir un contenedor Docker malicioso. El malware actúa como un agente bot de DDoS capaz de llevar a cabo diversos ataques de denegación de servicio (DoS).
Acceso inicial a OracleIV
Al igual que en muchos ataques similares, el acceso inicial se inició mediante una solicitud HTTP POST al punto final /images/create de la API de Docker.
Esta acción ejecuta un comando «docker pull» en el host para recuperar la imagen especificada de Docker Hub. A continuación, se ejecuta otro comando de inicio de contenedor que se utiliza para crear un contenedor a partir de la imagen descargada.
El comando utilizado aquí fue:POST /v1.43/images/create?tag=latest&fromImage=robbertignacio328832/oracleiv_latest
Imagen maliciosa de Docker Hub
El comando utilizado en este ataque recuperó una imagen denominada «oracleiv_latest», que fue subida a Docker Hub por el usuario robbertignacio328832.
La imagen había sido descargada más de 3,000 veces cuando Cado Security la descubrió y parece que se actualiza con regularidad. Los últimos cambios se implementaron tan solo tres días antes de que se publicara su informe.
Cado Security analizó las capas de la imagen para identificar los comandos utilizados por el autor de la amenaza para recuperar la carga maliciosa, «oracle.sh», e integrarla en la imagen resultante. La imagen incluía comandos «wget» adicionales para descargar una copia de XMRig y un archivo de configuración del minero asociado.
Los investigadores no observaron que este contenedor malicioso llevara a cabo ninguna actividad de minería de criptomonedas, pero la inclusión de estos archivos en la imagen haría que esto fuera una posibilidad en el futuro.
Análisis estático
Los investigadores se centraron en analizar el archivo ejecutable «oracle.sh» integrado en el contenedor malicioso. El análisis estático de este ejecutable reveló que se trata de un archivo ELF de 64 bits, enlazado estáticamente y con la información de depuración intacta.
Determinaron que el malware estaba escrito en Python y compilado con Cython. El código en sí es conciso y se centra principalmente en los distintos métodos de denegación de servicio.
Análisis dinámico
El bot se conecta a un servidor « C2 » ( ) en el puerto 40320 antes de llevar a cabo una autenticación primitiva, en la que el bot proporciona al C2 información básica sobre el entorno y una contraseña predefinida.
Una vez completada con éxito la autenticación, el C2 enviará de forma continua el mensaje «ping de rutina, saludos a Oracle IV». Los investigadores han observado que la red de bots se utiliza para lanzar ataques DDoS contra numerosos objetivos, con preferencia por los ataques de inundación basados en UDP y en SSL. Consiguieron engañar al agente de la red de bots para que se conectara a su servidor «mimic C2 » con el fin de enviarle órdenes y observar sus actividades.
La red de bots cuenta con las siguientes capacidades de ataque DDoS:
- UDP: La red de bots lleva a cabo un ataque de inundación UDP con paquetes de 40k bytes. Esto superará el umbral y provocará una fragmentación, lo que generará una sobrecarga computacional adicional.
- UDP_PPS: Esta función parece no funcionar en estos momentos.
- SSL: La función SSL abre una conexión TCP, envía una gran cantidad de datos y, a continuación, la cierra antes de repetir el proceso.
- o SYN: Esta función es idéntica a la de SSL.
- HTTPGET: Esta función tampoco está operativa.
- LENTO: Se trata de un ataque de tipo «slowloris» en el que el agente abre varias conexiones con el servidor y envía repetidamente pequeñas cantidades de datos para mantener la conexión abierta.
- FIVE: Una inundación de UDP con paquetes de 18 bytes, probablemente parte del protocolo del servidor FiveM.
- de VSE: un ataque de inundación UDP con paquetes de 20 bytes.
- «» de OVH: un ataque de inundación UDP con paquetes de 8 bytes diseñado para eludir la protección contra DDoS de OVH.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este ataque demuestra que los autores de las amenazas siguen interesados en aprovechar los servicios mal configurados y expuestos a Internet como vía de acceso inicial, y es probable que sigan haciéndolo.
Cado Security resume muy bien esta amenaza:
La portabilidad que ofrece la contenedorización permite que las cargas maliciosas se ejecuten de forma determinista en todos los hosts de Docker, independientemente de la configuración del propio host. Aunque OracleIV no es, técnicamente, un ataque a la cadena de suministro, los usuarios de Docker Hub deben tener en cuenta que, efectivamente, existen imágenes de contenedores maliciosas en la biblioteca de imágenes de Docker.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
