Esta semana, CTI examina una gran campaña de protocolo de escritorio remoto (Remote Desktop Protocol, RDP) fraudulento vinculada al actor ruso de amenazas Earth Koshchei. A continuación, CTI analiza un nuevo informe de Zscaler que contiene detalles técnicos sobre el malware de RiseLoader. Finalmente, CTI ofrece perspectivas clave de un nuevo aviso de ransomware emitido por Corvus Insurance.
1. La Tierra de Rusia, Koshchei, lanza ataques fraudulentos de RDP
Un actor de amenazas ruso rastreado como Earth Koshchei (conocido como Midnight Blizzard y APT29) recientemente llevó a cabo una campaña de RDP fraudulenta a gran escala utilizando correos electrónicos de phishing selectivo y técnicas de anonimización.
Los correos electrónicos de phishing se diseñaron para engañar a los destinatarios para que utilicen un archivo de configuración RDP fraudulento adjunto para darle al perpetrador un control parcial del dispositivo.
¿Quién es Earth Koshchei?
El grupo Earth Koshchei supuestamente está patrocinado por el Servicio Ruso de Inteligencia Extranjera (SVR) y tiende a participar en campañas de espionaje.
En October 2024 Trend Micro, este actor aprovechó un ataque RDP fraudulento contra varios objetivos diferentes. Este tipo de ataque permite a un actor obtener el control parcial de la máquina de la víctima.
Microsoft y Amazon han atribuido previamente esta actividad a este mismo actor. Trend Micro ahora comparte detalles para ayudar a expandir los indicadores que ya se han compartido públicamente.
Acerca de la campaña fraudulenta RDP
Un ataque de RDP fraudulento implica algunos componentes, incluido un relé RDP, un servidor RDP fraudulento y un archivo de configuración RDP malicioso.
Trend Micro observó al actor enviando correos electrónicos maliciosos de phishing selectivo a gobiernos, fuerzas armadas, grupos de expertos y otras agencias. Si una víctima abriera el archivo, la máquina intentaría conectarse a un servidor RDP a través de uno de los 193 relés RDP configurados previamente por el actor.
Trend Micro señala que muchas organizaciones probablemente tengan conexiones RDP salientes bloqueadas. Sin embargo, aún hay casos en los que esto podría haber sido exitoso.
El archivo de configuración RDP fraudulento
Trend Micro analizó más de cerca un archivo de configuración RDP que se adjuntó a un correo electrónico en esta campaña y descubrió los siguientes detalles.
- El nombre de host especificado en el archivo sugiere un servidor AWS legítimo, pero está controlado por el perpetrador.
- El archivo redirigirá unidades locales, impresoras, portapapeles, etc. y habilitará el acceso remoto a la máquina de la víctima.
- El ataque no comienza hasta que la víctima intenta usar el archivo RDP que se le envió, lo que activa la conexión saliente al sistema del perpetrador. En este caso, el actor utilizó PyRDP para actuar como proxy e interceptar la conexión.
- Luego, pueden conectar a la víctima a un servidor fraudulento que controlen. Una vez conectado, este servidor fraudulento actúa como una sesión RDP y explota la sesión para una mayor actividad maliciosa.
Capas de anonimización
Según Trend Micro, una característica clave de este actor es el “uso abundante de capas de anonimización como servicios VPN comerciales, TOR y proveedores de servicios de proxy residenciales”. Los actores de amenazas a menudo hacen esto para combinar el tráfico malicioso con el tráfico normal esperado.
Trend Micro afirma que el actor estaba utilizando nodos de salida TOR durante varias semanas para controlar más de 200 direcciones IP de servidor VPS y 34 servidores RDP fraudulentos.
Dominio de registro
Se estima que el actor ha configurado más de 200 dominios entre agosto y October 2024. De estos dominios, se confirmó que 193 estaban configurados para su uso en la campaña RDP. Los dominios abarcaron múltiples industrias, incluidos el gobierno, los grupos de expertos/ONG, el ejército, TI y más.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Este actor utiliza muchas capas de anonimato populares en sus ataques para actuar de manera más sigilosa. Se cree que su uso de servidores RDP fraudulentos está inspirado en una publicación de blog de 2022 escrita por una empresa de seguridad de la información.
Como señala Trend Micro, este es un excelente ejemplo de cómo los actores de amenazas aprovecharán las herramientas y técnicas existentes para hacer que sus ataques sean más sofisticados y, al mismo tiempo, reducir el esfuerzo laboral.
2. Zscaler publica detalles técnicos sobre el malware de RiseLoader
Los nuevos detalles técnicos sobre el malware de RiseLoader están disponibles en el blog de Zscaler.
La muestra es similar al malware RisePro, pero se descubrió que tiene capacidades adicionales cuando se trata de descargar y ejecutar cargas útiles de segunda etapa.
RiseLoader se observó por primera vez en October 2024, se ha visto que entrega diferentes tipos de malware, incluidos Vidar, Lumma Stealer y otros.
Técnicas antianálisis
Las muestras de malware de RiseLoader descubiertas por Zscaler se empacaron con VMProtect. Esto, junto con el hecho de que el malware oculta muchas de las cadenas importantes de su código, hace que sea más difícil de analizar.
Zscaler identificó varias cadenas, definidas en una matriz global pero no utilizadas en la ejecución, que están relacionadas con el análisis y la depuración. Debido a que aún no se utilizan en la ejecución, creen que esta característica antianálisis aún puede estar en desarrollo.
Análisis conductual
El malware comienza creando una exclusión mutua, o mutex, y lo nombra utilizando cadenas codificadas. Si el mutex ya existe en el sistema, el malware no continuará. De lo contrario, si seleccionará aleatoriamente un servidor C2 de una lista codificada y abrirá una conexión al servidor.
Comunicación de red
Después de que el malware se conecte con el servidor C2 , esperará a que el servidor responda con las claves necesarias para futuras comunicaciones. Luego enviará una ID de campaña y otra información al servidor y esperará un comando de carga útil, enviando periódicamente mensajes de mantenimiento para asegurarse de que la comunicación permanezca abierta.
RiseLoader frente a RisePro
Como se indicó, Zscaler determinó que RiseLoader tenía similitudes con el malware RisePro. Las dos similitudes más grandes están en el protocolo binario personalizado basado en TCP y en la estructura del mensaje en sí. Zscaler también determinó que el proceso de inicialización de ambos malware es similar, y RiseLoader es ligeramente más simple.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Una cosa interesante sobre este malware es que se basa en la codificación sólida de la información necesaria. Codifica la lista de C2 servidores y un puñado de cadenas a partir de las cuales nombra el mutex, lo que facilita la creación de detecciones.
Zscaler cree que algunas características antianálisis aún pueden estar en desarrollo, por lo que existe la posibilidad de que el malware cambie las características codificadas por algo más dinámico.
3. La actividad del ransomware alcanza un máximo histórico
Según un nuevo informe de Corvus Insurance, la actividad de ransomware alcanzó su máximo histórico en November 2024, con 632 víctimas de ransomware informadas enumeradas en sitios de filtración de datos. Esto es más del doble del promedio mensual histórico (307 víctimas) y es November 2024 el mes más activo para los ataques de ransomware hasta el momento.
Grupos de ransomware notables
Según Corvus, varios grupos son responsables del reciente pico de ataques de ransomware. Sin embargo, hay algunos grupos específicos que parecieron aumentar durante noviembre.
- RansomHub: El grupo con la mayor cantidad de víctimas enumeradas en un sitio de filtración de datos el mes pasado fue RansomHub, con 98 víctimas enumeradas. Este grupo ha ampliado sus operaciones en varios sectores, lo que demuestra una rápida escalabilidad.
- Akira: El siguiente contribuyente más alto, Akira, recuperó 73 víctimas en sitios de filtración de datos. Como señala Corvus, este grupo es conocido por su adaptabilidad técnica, lo que permite que el grupo siga siendo exitoso. Las 73 víctimas mensuales de Akira son más de tres veces el promedio mensual para el grupo.
Corvus también menciona a Kill Security, SAFEPAY y Qilin como contribuyentes al número récord de ataques de noviembre. Estos cinco grupos en conjunto totalizaron casi el 50 % de todos los ataques del mes.
Cómo comienzan los ataques de ransomware
Corvus analizó más de cerca los ataques de ransomware para intentar identificar patrones. Descubrieron que el 13 % de las víctimas que se publicaron en sitios de filtración de datos utilizaban productos VPN que se determinó que tenían un mayor riesgo de ser violados. Esta determinación de alto riesgo se basa en los datos históricos de reclamaciones de seguros de Corvus.
Corvus dio un paso más allá al desglosar esto por grupo de ransomware. Descubrieron que el 40 % de las víctimas enumeradas en el sitio de fugas de ransomware del grupo RA utilizaban VPN de alto riesgo. Había 9 grupos de ransomware en los que el 25 % o más de las víctimas enumeradas utilizaban VPN de mayor riesgo.
Además, aproximadamente el 6 % de las November 2024 víctimas estaban ejecutando Microsoft Exchange Servers desactualizados. Algunas víctimas ejecutaban 2021 y 2022 versiones que no tienen parches para las vulnerabilidades de ProxyShell.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Los dos grupos de ransomware que reclamaron la mayor cantidad de víctimas en noviembre surgieron a principios de este año, lo que demuestra cuán rápido un nuevo grupo puede expandirse y evolucionar.
Es importante considerar que estos datos se basan en información de sitios de filtración de datos y es posible que no sean una representación precisa de los ataques del mes. Sin embargo, resalta algunos de los puntos de entrada clave. El informe de Corvus indica que las VPN son potencialmente un objetivo principal para los actores de amenazas, lo que hace que sea fundamental que las organizaciones las protejan.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium e inicie una conversación.
Para obtener más información, póngase al día con nuestras recientes redondeos de inteligencia sobre amenazas cibernéticas.
