Esta semana, CTI analiza a un actor respaldado por el Gobierno chino conocido como «Evasive Panda», que ha actualizado su conjunto de herramientas para introducir nuevas versiones de su puerta trasera «Macma» para Mac y del malware «Nightdoor» para Windows. A continuación, CTI resume la décima edición del Informe de evaluación de amenazas de la delincuencia organizada en Internet (IOCTA) de Europol. Por último, CTI concluye con un análisis del ransomware Play, una operación que actualmente está desplegando una variante para Linux de su ransomware con el objetivo de atacar entornos VMware ESXi.
1. Evasive Panda lanza nuevas versiones de la puerta trasera Macma
Un actor respaldado por el Gobierno chino ha actualizado su conjunto de herramientas para introducir varias versiones nuevas de su puerta trasera « » para Macma, «mac» , así como un nuevo malware para Windows denominado «Nightdoor». El actor ha utilizado estas nuevas herramientas en varios ataques recientes contra organizaciones ubicadas en Taiwán y contra una organización no gubernamental estadounidense en China.
¿Qué es la puerta trasera «Macma» de macOS?
Macma es una puerta trasera específica para macOS. Google lo documentó por primera vez en el año 2021, pero hay indicios que sugieren que se lleva utilizando al menos desde el año 2019.
Cuando se descubrió Macma por primera vez, se utilizaba principalmente en ataques de tipo «watering hole» en Hong Kong. Esta puerta trasera es modular y cuenta con funciones como la identificación de dispositivos, la ejecución de comandos, la captura de pantalla, el registro de pulsaciones de teclas, la captura de audio y la capacidad de cargar y descargar archivos.
Symantec ha descubierto variantes más recientes de la puerta trasera. Una variante contaba con un módulo principal totalmente diferente, mientras que otra presentaba actualizaciones incrementales. Entre las diferencias de las nuevas variantes se incluyen módulos actualizados, rutas de directorios y nombres de archivo actualizados, así como registros de depuración adicionales. El módulo principal del malware se ha actualizado para incluir una nueva lógica, código modificado y un nuevo archivo.
Atribución de Macma
Los investigadores atribuyen esta última actividad a un actor respaldado por China conocido como «Evasive Panda», también denominado «Daggerfly». Aunque anteriormente no se había relacionado a Macma con ningún grupo concreto, Symantec considera que ahora forma parte del arsenal de Daggerfly.
Dos de las variantes que identificaron se conectaron a un servidor C2 que era utilizado por un dropper de MgBot, muy utilizado por Daggerfly. Esta infraestructura compartida constituye un indicador clave de atribución. Además, se ha comprobado que MgBot y Macma contienen código procedente de una biblioteca compartida o un marco de trabajo.
Nueva puerta trasera de Windows
Symantec también descubrió que el autor utilizaba una puerta trasera de Windows, el troyano «Trojan.Suzafk», que fue detectada por primera vez a principios de este año por ESET y bautizada como «Nightdoor».
La puerta trasera de Windows se detectó junto con MgBot y, una vez más, se desarrolló utilizando la misma biblioteca compartida que muchas herramientas de Daggerfly.
Esta puerta trasera consta de varias fases y utiliza TCP o OneDrive para sus comunicaciones C2 . El cargador descargará un archivo DLL y un ejecutable. El ejecutable es una aplicación legítima denominada «DAEMON Tools Lite Helper», mientras que el archivo DLL es un cargador diseñado para crear tareas programadas y cargar la carga útil final.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este actor lleva más de una década en activo, dedicándose principalmente a llevar a cabo campañas de espionaje. La evolución constante del repertorio del actor es una de las principales razones por las que este sigue cosechando éxitos.
Dado que este grupo cuenta con «abundantes recursos», puede desarrollar y utilizar rápidamente nuevas variantes una vez que se ha informado públicamente de las variantes anteriores. Symantec considera que el grupo está utilizando un marco de trabajo personalizado para desarrollar sus variantes de malware, ya que no han podido relacionarlo con ningún marco de trabajo disponible públicamente. Esto respalda aún más la capacidad del actor para crear rápidamente nuevas variantes.
2. Los ciberdelincuentes actúan de forma independiente tras el desmantelamiento de las plataformas RaaS
Europol ha publicado la décima edición de su «Evaluación de la amenaza de la delincuencia organizada en Internet» ( , IOCTA) , que examina el panorama general de las amenazas y analiza una serie de amenazas y tendencias en constante evolución, que van desde los ciberataques hasta las estafas en los pagos. Una parte del análisis se centra en el impacto de las interrupciones en las actividades de las fuerzas del orden. Una de las conclusiones clave es la mayor dificultad para realizar el seguimiento de los actores y el aumento del número de actores que optan por trabajar de forma independiente.
El modelo RaaS funciona de tal manera que prácticamente obliga a las operaciones de ransomware a competir por los afiliados y a posicionarse como el RaaS más atractivo. Este modelo ya complica un poco la atribución, ya que los afiliados podrían pertenecer a más de un RaaS.
Las recientes operaciones policiales contra estas redes dificultan aún más la atribución de la responsabilidad, ya que obligan a las operaciones a cambiar de nombre o a desmantelarse, y empujan a los responsables a unirse a otros grupos o a colaborar con miembros de otros grupos para crear operaciones completamente nuevas. La rotación de miembros entre los distintos grupos de ransomware hace que resulte cada vez más difícil determinar qué operador se encuentra realmente detrás de un ataque.
Europol califica el panorama del ransomware de «fragmentado» debido al aumento de los esfuerzos de las fuerzas del orden.
Dado que las medidas de las fuerzas del orden pueden desarticular una operación de ransomware, existe la posibilidad de que los afiliados se unan a otro grupo o decidan actuar por su cuenta. Aunque esto último no es algo que se vea todos los días, sigue siendo plausible, sobre todo porque los afiliados se cansan de tener que cambiar continuamente de modo de funcionamiento.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Las recientes medidas de las fuerzas del orden y las operaciones de desarticulación llevadas a cabo en los últimos meses han tenido, sin duda, un impacto en el panorama del ransomware. Aunque no bastan para eliminar por completo la amenaza, sin duda están provocando un cambio en la forma de actuar de los autores de los ataques de ransomware.
Estas medidas de desmantelamiento y desarticulación están poniendo a prueba, en esencia, la lealtad de los actores e incluso aumentando el número de aquellos que están dispuestos a romper con el modelo RaaS y, posiblemente, comenzar a operar de forma independiente.
Este posible giro hacia los agentes independientes conlleva sus propios retos. Además de dificultar la atribución, es probable que también inundara el panorama con una gran cantidad de variantes de malware y ransomware, cada una con sus propias modificaciones mínimas.
3. La variante «Linux Play» ataca a los sistemas VMware ESXi
El grupo de ransomware Play está distribuyendo actualmente una variante para Linux de su ransomware dirigida a entornos VMware ESXi.
Los últimos ataques de Play tienen como objetivo principal a organizaciones de Estados Unidos pertenecientes a diversos sectores, entre los que se incluyen la industria manufacturera, los servicios profesionales y el sector de las tecnologías de la información. Los investigadores también han identificado una relación entre el ransomware Play y Prolific Puma, un actor que gestiona un servicio de acortamiento de enlaces.
¿Qué es el ransomware Play?
La operación de ransomware «Play» apareció por primera vez en June 2022 y pronto se dio a conocer en todo el sector por el uso de herramientas creadas a medida.
La incorporación de una variante de Linux diseñada para entornos VMware ESXi permite al grupo atacar a nuevas víctimas. Según Symantec, entre enero y julio de 2024, la operación se cobró 187 víctimas en diversos sectores, y el 82.4 % de ellas se encontraban en Estados Unidos.
La cadena de contagio de Play
La variante «Play Linux» no presentaba ninguna detección en VirusTotal en el momento de la publicación del informe de Trend Micro. Trend Micro aún no ha detectado ningún caso de infección real derivado de esta variante, pero ha confirmado que el servidor C2 aloja muchas de las herramientas que el autor suele utilizar en sus ataques.
La variante para Linux parece ser similar a la de Windows y admite muchos de los mismos argumentos. Entre ellas se incluyen la ejecución de funciones habituales y el cifrado de una unidad determinada, un recurso compartido en red o un archivo o carpeta concretos. Esta variante ejecutará varios comandos para confirmar que se está ejecutando en un entorno ESXi antes de ejecutarse por completo y, de no ser así, se eliminará a sí misma.
Los comandos de script de Shell se ejecutarán si se detecta que se están ejecutando en un entorno ESXi; uno de ellos se encarga de analizar y apagar cualquier máquina virtual identificada. A continuación, el ransomware ejecutará varios comandos que cifrarán los archivos de la máquina virtual, incluidos el disco, los archivos de configuración y los metadatos, añadiéndoles la extensión .play y dejando la nota de rescate.
La prolífica relación de Play con Puma
Trend Micro detectó que la URL que aloja la carga útil y las herramientas del ransomware estaba relacionada con otro actor de « » conocido como Prolific Puma. Este actor crea dominios mediante un algoritmo generador de destinos aleatorios y, a continuación, los utiliza en el servicio de acortamiento de enlaces que comercializa.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este descubrimiento convierte a Play en la última operación de ransomware de una lista cada vez mayor de actores interesados en atacar sistemas Linux para aumentar el número de víctimas potenciales.
El hecho de que Play esté aprovechando los servicios de acortamiento de enlaces que ofrece Prolific Puma es una señal más de la evolución del grupo. Trend Micro señala que Prolific Puma es «exigente en su proceso de selección de clientes y prefiere colaborar con personas o grupos que considera merecedores de sus servicios», lo que indica que otros actores, como Prolific Puma, consideran que la operación del ransomware Play es sofisticada o «digna de atención».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
