Esta semana, CTI analiza un aviso conjunto sobre ciberseguridad « March 2, 2023» (Atención: Alerta de ransomware «Royal») emitido por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y la Oficina Federal de Investigación (FBI), centrado en la creciente amenaza que supone para diversos sectores la variante más reciente del ransomware «Royal». A continuación, analizamos en profundidad el último estudio de Check Point, que se centra en el grupo de ciberespionaje Sharp Panda y en cómo está utilizando una nueva versión de su marco de trabajo de malware y puerta trasera «Soul» en su última campaña. Por último, analizamos la variante recién descubierta de IceFire, una cepa de ransomware de gran envergadura que, hasta ahora, solo se sabía que se utilizaba contra entornos Windows, pero que recientemente ha aparecido con una variante específica para Linux.
1. El FBI y la CISA publican el aviso conjunto de ciberseguridad #StopRansomware: Royal Ransomware
Un aviso conjunto sobre ciberseguridad de « » (se abre en una nueva pestaña), publicado por la CISA y el FBI, advierte de que los ciberdelincuentes están atacando a organizaciones estadounidenses e internacionales con una variante del ransomware «Royal» que utiliza su propio programa de cifrado de archivos diseñado a medida; una versión que ha evolucionado a partir de iteraciones anteriores que utilizaban «Zeon» como cargador. Esto lleva ocurriendo desde aproximadamente el September 2022.
A continuación, se resumen los puntos clave:
- Tras acceder a las redes de las víctimas, los autores de Royal desactivan el software antivirus y extraen grandes cantidades de datos antes de, finalmente, instalar el ransomware y cifrar los sistemas afectados.
- Los miembros de la banda «Royal» han exigido rescates que oscilan entre aproximadamente 1 millón y 11 millones de dólares estadounidenses en bitcoins.
- Los «Royal» no incluyen las cantidades del rescate ni las instrucciones de pago en la nota de rescate inicial. En cambio, la nota, que aparece tras el cifrado, exige a las víctimas que se pongan en contacto directamente con el autor de la amenaza a través de una URL «.onion», a la que solo se puede acceder mediante el navegador Tor.
- Los autores del ransomware «Royal» han atacado numerosos sectores de infraestructuras críticas, entre los que se incluyen la industria manufacturera, las comunicaciones, la asistencia sanitaria y la sanidad pública (HPH), así como la educación.
Cómo consiguen los actores de «Royal» acceder a las redes
Según las agencias de información, los miembros de la red Royal consiguen acceder inicialmente a las redes de las víctimas de diversas formas, entre las que se incluyen:
sobre phishing: En el 66.7 % de los incidentes, los autores de Royal logran obtener acceso inicial a las redes de las víctimas mediante correos electrónicos de phishing que dan resultado. Las víctimas han instalado, sin saberlo, un programa malicioso que distribuye el ransomware Royal tras recibir correos electrónicos de phishing que contienen documentos PDF maliciosos y publicidad.
sobre el Protocolo de Escritorio Remoto (RDP): Más del 13 % de los incidentes están relacionados con la vulneración del RDP, lo que lo convierte en el segundo vector más habitual para los actores de Royal.
Aplicaciones de acceso público: El FBI también ha observado que los agentes de Royal obtienen acceso inicial aprovechando aplicaciones de acceso público.
de brokers: Los actores de tipo «Royal» pueden recurrir a los brokers para obtener acceso inicial y generar tráfico mediante la recopilación de credenciales de redes privadas virtuales (VPN) a partir de los registros de los programas de robo de datos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Muchas bandas de ransomware y otras organizaciones de ciberdelincuencia con fines lucrativos han comenzado a abandonar el modelo de extorsión basado en el cifrado para optar por ataques de extorsión directos».
«Hay diversos factores que han contribuido a este cambio de metodología. Por ejemplo, el ransomware es llamativo, detectable y complejo, mientras que las negociaciones pueden ser procesos largos y tediosos que, en muchos casos, no dan lugar a ningún pago o a uno considerablemente reducido. «Esta situación se ha visto agravada por la normativa federal y los cambios en las pólizas de las aseguradoras cibernéticas».
«Dicho esto, esta advertencia conjunta sobre la actividad del ransomware Royal sirve para recordar que existen numerosas amenazas de ransomware tradicionales, aunque cada vez son más las que adoptan nuevas metodologías y TTP, como las tácticas «living-off-the-land» (LotL), el uso de herramientas legítimas para eludir la detección y la adopción de nuevos marcos C2 .» Asimismo, están aprovechando las alianzas con familias de malware de gran éxito, como o QBot , con fines que van desde la ayuda para obtener acceso inicial hasta el uso de una infraestructura de comunicaciones (C2) ya preparada. «Royal utiliza prácticamente todas estas técnicas y, por lo tanto, debe considerarse una amenaza importante».
2. El grupo APT «Sharp Panda» utiliza una nueva variante de malware con una función de «silencio de radio»
Según Check Point, el grupo de ciberespionaje « » Sharp Panda (se abre en una nueva pestaña) está utilizando una nueva versión de su marco de malware «Soul» en su última campaña.
La puerta trasera «Soul» incluye una función de «silencio de radio», que permite al autor de la amenaza especificar las horas de la semana en las que la puerta trasera no puede comunicarse con el servidor de comando y control de ,.
¿Quién es Sharp Panda?
A principios de 2021, Check Point descubrió una operación de vigilancia de tipo « » (se abre en una nueva pestaña) llevada a cabo por un grupo al que denominan «Sharp Panda». Esta campaña se dirigió a entidades gubernamentales del sudeste asiático y utilizó correos electrónicos de spear-phishing para obtener acceso inicial a sus objetivos. Estos correos electrónicos de phishing dirigidos (spear-) incluían un documento de Word adjunto con señuelos relacionados con el ámbito gubernamental. La campaña utilizó una plantilla remota para descargar y ejecutar un documento RTF malicioso que contenía el infame kit RoyalRoad.
Tras obtener acceso a la red, el malware puso en marcha una cadena de cargadores en memoria, entre los que se incluían un descargador DLL personalizado y un cargador de segunda fase para instalar la puerta trasera definitiva. La carga útil final de esta campaña fue VictoryDLL, un malware personalizado que permite el acceso remoto y la recopilación de datos.
La última campaña de Sharp Panda
Una investigación más exhaustiva sobre Sharp Panda reveló varias campañas que utilizaban la misma cadena de infección descrita anteriormente. Sin embargo, la última campaña de Sharp Panda aprovecha una nueva versión del cargador SoulSearcher de (se abre en una nueva pestaña), que es capaz de descargar, descifrar y cargar en memoria otros módulos de la puerta trasera modular Soul de (se abre en una nueva pestaña).
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No se ha confirmado si el marco Soul está siendo utilizado por un único actor malicioso, aunque los primeros intentos de atribución parecen vincular dicho marco con un actor malicioso que mantiene algún tipo de vínculo con China». El intercambio de herramientas personalizadas y de tácticas, técnicas y procedimientos (TTP) entre los grupos de amenazas persistentes (APT) chinos es extremadamente habitual, lo que hace que la atribución —y la tarea concreta de vincular este tipo de campañas a un único actor malicioso— resulte especialmente difícil. También cabe señalar que el marco Soul lleva ya varios años en uso y se actualiza y perfecciona constantemente, lo que dificulta aún más que los investigadores puedan mantenerse al día».
3. El ransomware IceFire aprovecha una vulnerabilidad de IBM Aspera Faspex para atacar redes empresariales que funcionan con Linux
Un nuevo informe de SentinelLabs afirma que sus investigadores han observado nuevas versiones para Linux de una conocida cepa de ransomwaredenominada IceFire (se abre en una nueva pestaña) que se está utilizando contra empresas del sector de los medios de comunicación y el entretenimiento en lugares que tradicionalmente no se consideran objetivos habituales de las bandas de r, entre ellos Turquía, Irán, Pakistán y los Emiratos Árabes Unidos.
Antes de la publicación del informe de SentinelLabs, IceFire solo se había relacionado con ataques centrados en Windows de (se abre en una nueva pestaña). Según se informa, IceFire fue detectado por primera vez por MalwareHunterTeam en marzo de 2022. Sin embargo, no fue hasta August 2022 (se abre en una nueva pestaña) cuando se dio a conocer la identidad de las víctimas a través de su sitio web de filtraciones en la dark web.
SentinelLabs describe las tácticas de IceFire como propias de las bandas de ransomware que aplican la metodología de la «caza mayor» (BGH). En otras palabras, las tácticas consisten en una doble extorsión, dirigida a grandes empresas, que aprovecha múltiples mecanismos de persistencia y hace hincapié en eludir los sistemas de defensa y análisis mediante la eliminación de los archivos de registro.
Si bien en informes anteriores se atribuye a IceFire la autoría de los ataques contra el sector tecnológico, la actividad más reciente de este ransomware, centrada en Linux, se ha limitado hasta ahora, en gran medida, a los sectores del entretenimiento y los medios de comunicación.
Variante de IceFire para Windows
La variante para Windows de IceFire se distribuye a través de mediante mensajes de phishing (se abre en una nueva pestaña). Los actores maliciosos también llevan a cabo maniobras de pivote utilizando marcos de post-explotación.
Los investigadores describen a IceFire como una amenaza de extorsión con múltiples vertientes; sus operadores extraen todos los datos de interés del entorno del objetivo antes de cifrar los dispositivos. Una vez logrado esto, se extorsiona a las víctimas y se les presiona para que paguen el rescate exigido con el fin de evitar la filtración de datos y, con suerte, obtener las claves de descifrado.
Acerca de la variante IceFire de Linux
Según SentinelLabs, los investigadores observaron por primera vez que se estaba implementando la nueva variante para Linux de IceFire a mediados deFebruary 2023. Las intrusiones aprovechan una vulnerabilidad de deserialización recientemente revelada (y ya corregida) en el software de intercambio de archivos IBM Aspera Faspex (CVE-2022-47986 (se abre en una nueva pestaña), puntuación CVSS: 9.8).
De TheHackerNews:
«El archivo binario del ransomware , (se abre en una nueva pestaña), dirigido a sistemas Linux, es un archivo ELF de 64 bits de 2.18 MB que se instala en hosts CentOS que ejecutan una versión vulnerable del software de servidor de archivos IBM Aspera Faspex».
La variante de Linux también es capaz de evitar el cifrado de las rutas que deben permanecer intactas en los equipos de las víctimas para que estos sigan funcionando.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«IceFire es la última de una serie cada vez mayor de familias de ransomware que diversifican su arsenal y desarrollan variantes adaptadas a distintos sistemas operativos». «Los ataques de ransomware dirigidos a Linux en general se han acelerado considerablemente en los últimos años y seguirán haciéndolo en 2023 y más allá».
De SentinelLabs:
Si bien las bases se (se abre en una nueva pestaña) sentaron en 2021, la tendencia del ransomware para Linux se aceleró en 2022 cuando grupos destacados incorporaron cifradores para Linux a su arsenal, entre los que se incluyen BlackBasta, Hive (se abre en una nueva pestaña), Qilin (se abre en una nueva pestaña), Vice Society, también conocida como HelloKitty (se abre en una nueva pestaña), y otros.
«Dado que muchos sistemas Linux son servidores, los vectores de infección habituales, como el phishing o las descargas automáticas, resultan menos eficaces». Por lo tanto, para superar esta situación, los autores de las amenazas han recurrido a la explotación de vulnerabilidades detectadas en las aplicaciones para desplegar sus cargas maliciosas; en este caso, la vulnerabilidad de IBM Aspera».
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
