Esta semana, CTI analiza una amplia campaña maliciosa basada en el protocolo de escritorio remoto (RDP) vinculada al actor malicioso ruso Earth Koshchei. A continuación, CTI analiza un nuevo informe de Zscaler que contiene detalles técnicos sobre el malware RiseLoader. Por último, CTI ofrece información clave extraída de un nuevo informe sobre ransomware publicado por Corvus Insurance.
1. La red rusa «Earth Koshchei» lanza ataques maliciosos de RDP
Un actor malicioso ruso identificado como « » y «Earth Koshchei» (también conocido como «Midnight Blizzard» y « APT29») ha llevado a cabo recientemente una campaña maliciosa a gran escala a través de RDP, utilizando correos electrónicos de spear-phishing y técnicas de anonimización.
Los correos electrónicos de phishing se diseñaron para engañar a los destinatarios y que utilizaran un archivo de configuración RDP malicioso adjunto, con el fin de que el autor de la amenaza obtuviera un control parcial del dispositivo.
¿Quién es Earth Koshchei?
Al parecer, el grupo Earth Koshchei cuenta con el respaldo del Servicio de Inteligencia Exterior de Rusia (SVR) y suele llevar a cabo campañas de espionaje.
En October 2024 , Trend Micro observó cómo este actor llevaba a cabo un ataque RDP malicioso contra varios objetivos distintos. Este tipo de ataque permite a un atacante obtener el control parcial del equipo de la víctima.
Tanto Microsoft como Amazon han atribuido anteriormente esta actividad a este mismo actor. Trend Micro está facilitando ahora más detalles para ampliar la información sobre los indicadores que ya se han hecho públicos.
Acerca de la campaña maliciosa de RDP
Un ataque RDP no autorizado implica varios componentes, entre los que se incluyen un relé RDP, un servidor RDP no autorizado y un archivo de configuración RDP malicioso.
Trend Micro observó que dicho actor enviaba correos electrónicos maliciosos de spear-phishing a gobiernos, fuerzas armadas, centros de estudios y otras instituciones. Si una víctima abría el archivo, el equipo intentaba conectarse a un servidor RDP a través de uno de los 193 servidores de retransmisión RDP que el autor había configurado previamente.
Trend Micro señala que es probable que muchas organizaciones tengan bloqueadas las conexiones RDP salientes. No obstante, sigue habiendo casos en los que esto podría haber tenido éxito.
El archivo de configuración RDP no válido
Trend Micro analizó en profundidad un archivo de configuración de RDP que se adjuntaba a un correo electrónico de esta campaña y descubrió los siguientes detalles.
- El nombre de host especificado en el archivo sugiere que se trata de un servidor legítimo de AWS, pero está controlado por el autor de la amenaza.
- El archivo redirigirá las unidades locales, las impresoras, los portapapeles, etc., y permitirá el acceso remoto al ordenador de la víctima.
- El ataque no se inicia hasta que la víctima intenta utilizar el archivo RDP que se le ha enviado, lo que activa la conexión saliente hacia el sistema del autor de la amenaza. En este caso, el autor utilizó PyRDP para actuar como proxy e interceptar la conexión.
- De este modo, pueden conectar a la víctima a un servidor malicioso que ellos mismos controlan. Una vez conectado, este servidor no autorizado actúa como una sesión RDP y aprovecha dicha sesión para llevar a cabo otras actividades maliciosas.
Capas de anonimización
Según Trend Micro, una característica clave de este actor es el «uso generalizado de capas de anonimización, como servicios VPN comerciales, TOR y proveedores de servicios de proxy residenciales». Los autores de amenazas suelen recurrir a esta práctica para camuflar el tráfico malicioso entre el tráfico normal previsto.
Trend Micro afirma que el autor utilizó nodos de salida de TOR durante varias semanas para controlar más de 200 direcciones IP de servidores VPS y 34 servidores RDP no autorizados.
Registro de dominios
Se calcula que el actor registró más de 200 dominios entre agosto y October 2024. De estos dominios, se confirmó que 193 se habían creado para su uso en la campaña RDP. Los ámbitos abarcaban múltiples sectores, entre ellos el gubernamental, los centros de estudios y las ONG, el militar, el de las tecnologías de la información y otros.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este actor utiliza numerosas capas de anonimización muy extendidas en sus ataques para actuar de forma más sigilosa. Se cree que su uso de servidores RDP no autorizados se inspira en una entrada del blog « 2022 » escrita por una empresa de seguridad de la información.
Tal y como señala Trend Micro, este es un excelente ejemplo de cómo los autores de amenazas aprovechan las herramientas y técnicas existentes para hacer que sus ataques sean más sofisticados y, al mismo tiempo, reducir el esfuerzo que ello supone.
2. Zscaler publica detalles técnicos sobre el malware RiseLoader
En el blog de Zscaler se pueden consultar nuevos detalles técnicos sobre el malware « » RiseLoader .
La muestra es similar al malware RisePro, pero se ha comprobado que cuenta con capacidades adicionales en lo que respecta a la descarga y ejecución de cargas útiles de segunda fase.
RiseLoader se detectó por primera vez en October 2024 y se ha observado que distribuye diferentes tipos de malware, entre ellos Vidar, Lumma Stealer y otros.
Técnicas contra el análisis
Las muestras del malware RiseLoader descubiertas por Zscaler estaban empaquetadas con VMProtect. Esto, sumado al hecho de que el malware ofusca muchas de las cadenas importantes de su código, dificulta aún más su análisis.
Zscaler ha identificado varias cadenas de caracteres, definidas en una matriz global pero que no se utilizan durante la ejecución, relacionadas con el análisis y la depuración. Dado que aún no se utilizan en la ejecución, consideran que esta función antianálisis podría encontrarse todavía en fase de desarrollo.
Análisis conductual
El malware comienza creando una exclusión mutua, o mutex, y le asigna un nombre mediante cadenas de texto predefinidas. Si el mutex ya existe en el sistema, el malware no continuará. De lo contrario, seleccionará aleatoriamente un servidor C2 de una lista predefinida y establecerá una conexión con dicho servidor.
Comunicación en red
Una vez que el malware se haya conectado con el servidor C2 , esperará a que este le envíe las claves necesarias para las comunicaciones futuras. A continuación, enviará un identificador de campaña y otra información al servidor y esperará un comando de carga útil, enviando periódicamente mensajes de mantenimiento de conexión para garantizar que la comunicación permanezca abierta.
RiseLoader frente a RisePro
Como se ha señalado, Zscaler determinó que RiseLoader presentaba similitudes con el malware RisePro. Las dos similitudes más importantes residen en el protocolo binario personalizado basado en TCP y en la propia estructura de los mensajes. Zscaler también determinó que el proceso de inicialización de ambos programas maliciosos es similar, si bien el de RiseLoader resulta ligeramente más sencillo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Un aspecto interesante de este malware es que se basa en la codificación fija de la información necesaria. Incorpora de forma fija la lista de C2 servidores y unas cuantas cadenas a partir de las cuales se nombra el mutex, lo que facilita la creación de detecciones.
Zscaler considera que es posible que algunas funciones destinadas a evitar el análisis aún se encuentren en fase de desarrollo, por lo que existe la posibilidad de que el malware modifique las características codificadas de forma fija por otras más dinámicas.
3. La actividad del ransomware alcanza un máximo histórico
Según un nuevo informe de Corvus Insurance, la actividad relacionada con el ransomware alcanzó un máximo histórico en November 2024, con 632 víctimas de ransomware registradas en sitios web dedicados a la divulgación de datos. Esta cifra supone más del doble de la media mensual histórica (307 víctimas) y convierte a e November 2024 e en el mes más activo en cuanto a ataques de ransomware hasta la fecha.
Grupos de ransomware destacados
Según Corvus, varios grupos son los responsables del reciente aumento de los ataques de ransomware. Sin embargo, hay algunos grupos concretos que parecen haber experimentado un fuerte aumento durante el mes de noviembre.
- de RansomHub: El grupo con mayor número de víctimas registradas en una página web dedicada a las filtraciones de datos durante el último mes fue RansomHub, con 98 víctimas registradas. Este grupo ha ampliado sus operaciones a varios sectores, lo que demuestra su rápida capacidad de expansión.
- Akira: El siguiente colaborador con mayor número de aportaciones, Akira, se atribuyó 73 víctimas en sitios web dedicados a la filtración de datos. Tal y como señala Corvus, este grupo destaca por su capacidad de adaptación técnica, lo que le permite seguir cosechando éxitos. Las 73 víctimas mensuales de Akira suponen más del triple de la media mensual del grupo.
Corvus también señala a Kill Security, SAFEPAY y Qilin como responsables del número récord de ataques registrados en noviembre. Estos cinco grupos sumaron, en conjunto, casi el 50 % del total de ataques registrados durante ese mes.
Cómo se inician los ataques de ransomware
Corvus analizó con más detalle los ataques de ransomware para intentar identificar patrones. Descubrieron que el 13 % de las víctimas cuyos datos aparecieron publicados en sitios web dedicados a filtraciones de datos utilizaban productos VPN que, según se determinó, presentaban un mayor riesgo de sufrir una brecha de seguridad. Esta calificación de alto riesgo se basa en los datos históricos de siniestros de Corvus.
Corvus fue un paso más allá al desglosar estos datos por grupos de ransomware. Descubrieron que el 40 % de las víctimas que figuraban en la página web de filtraciones de ransomware de RA Group utilizaban VPN de alto riesgo. Se identificaron 9 grupos de ransomware en los que el 25 % o más de las víctimas registradas utilizaban VPN de mayor riesgo.
Es más, aproximadamente el 6 % de las víctimas de « November 2024 » utilizaban servidores Microsoft Exchange obsoletos. Algunas víctimas utilizaban las versiones 2021 y 2022 , que no cuentan con parches para las vulnerabilidades de ProxyShell.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los dos grupos de ransomware que causaron el mayor número de víctimas en noviembre surgieron ambos a principios de este año, lo que demuestra la rapidez con la que un nuevo grupo puede expandirse y evolucionar.
Es importante tener en cuenta que estos datos se basan en información procedente de sitios web dedicados a las fugas de datos y es posible que no reflejen con exactitud los ataques ocurridos durante el mes. No obstante, destaca algunos de los principales puntos de acceso. El informe de Corvus señala que las VPN siguen siendo, potencialmente, un objetivo prioritario para los autores de amenazas, por lo que resulta fundamental que las organizaciones las protejan.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le invitamos a consultar nuestros últimos resúmenes sobre inteligencia en materia de ciberamenazas.
