Esta semana, CTI analiza una campaña en curso llevada a cabo por un actor malicioso con motivaciones económicas, capaz de conectarse a la red TOR y eludir la detección. A continuación, CTI examina un nuevo grupo de ransomware como servicio (RaaS) de , (se abre en una nueva pestaña) denominado Lynx, que actualmente gestiona un sofisticado programa de afiliados. Por último, CTI resume el último informe de Cisco Talos correspondiente al cuarto trimestre de 2024.
Una campaña en curso utiliza la puerta trasera TorNet
Cisco Talos ha descubierto (se abre en una nueva pestaña) una campaña de gran alcance que lleva en marcha desde July 2024. El actor distribuye una serie de cargas útiles conocidas y una puerta trasera no documentada hasta la fecha denominada TorNet para conectarse a la red TOR.
El actor utiliza el phishing como vector de ataque inicial y ejecuta tareas programadas para garantizar la persistencia. Además, el actor desconecta el dispositivo de la red antes de descargar y ejecutar el malware, y lo vuelve a conectar una vez hecho esto.
¿Cómo funciona la campaña de phishing?
Los ataques comienzan con un correo electrónico de phishing del tipo « » ( ) (se abre en una nueva pestaña) () ( ) que se hace pasar por una entidad financiera o una empresa de fabricación y logística. El correo electrónico atrae al destinatario con confirmaciones falsas de transferencias de dinero y recibos falsos de pedidos.
Hasta ahora, la mayoría de los correos electrónicos han estado redactados en polaco y alemán, lo que sugiere que los autores de la amenaza podrían estar dirigiéndose a usuarios de esos países. No obstante, también han aparecido algunos correos electrónicos de phishing en inglés.
Los archivos adjuntos de los correos electrónicos también tienen la extensión « .tgz» , lo que significa que están comprimidos con GZIP. El destinatario debe abrir el archivo adjunto del correo electrónico, descomprimirlo y ejecutar el archivo ejecutable de carga incluido. Este cargador se encarga de descargar el malware PureCrypter, que se ejecuta en la memoria del sistema.
¿De qué manera utiliza el ataque de phishing el malware PureCrypter?
Cisco Talos analizó los archivos adjuntos comprimidos y descubrió que contienen un archivo ejecutable .NET de gran tamaño. Este ejecutable está configurado para descargar ejecutables adicionales o cargar un binario integrado. Algunas muestras descargaron los archivos binarios del malware PureCrypter y los almacenaron con nombres de archivo arbitrarios y diferentes extensiones. En algunos casos, PureCrypter se integraba directamente en el cargador.
Este malware PureCrypter es una biblioteca de enlace dinámico de Windows, ofuscada mediante Eziriz .NET Reactor. Su objetivo es crear un mutex en el dispositivo infectado y ejecutar un comando para liberar la dirección IP DHCP asignada actualmente. Establecerá la persistencia, llevará a cabo tareas de evasión de análisis y detección, descargará y ejecutará la carga útil, y ejecutará un comando para renovar la dirección IP. Esta técnica es menos habitual, pero es probable que se utilice para eludir la detección.
¿Qué es la puerta trasera TorNet?
En algunos casos, Cisco Talos ha observado que el malware PureCrypter instala una puerta trasera hasta ahora desconocida denominada TorNet. Esta puerta trasera establece una conexión con el servidor C2 y conecta el dispositivo infectado a la red TOR. Asimismo, puede cargar y ejecutar ensamblados .NET en la memoria del equipo.
El malware descodificará una cadena para obtener el número de puerto, el dominio C2 y una cadena de 16 caracteres (5e7a81857a353068). Al igual que PureCrypter, también llevará a cabo varias comprobaciones para eludir los sistemas de antidepuración, antimalware, antivirtualización y entornos de pruebas.
Cisco Talos no pudo obtener respuesta del C2 durante su análisis. Sin embargo, se determinó que la respuesta consistiría en un código de ensamblado .NET arbitrario, lo que ampliaría aún más la superficie de ataque. La puerta trasera conecta el dispositivo infectado a la red TOR descargando el paquete «TOR Expert», descomprimiéndolo y ejecutándolo como un proceso en segundo plano.
El blog de Cisco Talos contiene más detalles técnicos sobre en relación con TorNet (se abre en una nueva pestaña).
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Una de las técnicas más interesantes utilizadas en esta campaña consiste en desconectar el dispositivo de la víctima de la red liberando su dirección IP, llevar a cabo actividades maliciosas y volver a conectarlo a la red. Esto podría permitir al actor eludir la detección, especialmente en aquellos casos en los que esta se limite a indicadores específicos.
Esta técnica, junto con la capacidad de TorNet para anonimizar la comunicación con el servidor C2 , pone de manifiesto las medidas adicionales que está adoptando el autor para evitar ser detectado.
El grupo de ransomware Lynx cuenta con un programa de afiliados avanzado
Investigadores de Group-IB han compartido recientemente información (se abre en una nueva pestaña) sobre el nuevo grupo de ransomware como servicio (RaaS) Lynx, que cuenta con una plataforma muy bien organizada y un sofisticado programa de afiliados.
El informe de Group-IB ofrece una visión muy detallada sobre Lynx, incluyendo información sobre la red de afiliados del grupo, sus comunicaciones internas y sus tácticas, técnicas y procedimientos (TTP).
Lo que debe saber sobre el panel de afiliados de Lynx
Group-IB logró infiltrarse en el grupo y acceder a su panel de afiliados. Esta investigación reveló que el panel consta de cinco secciones:
- La sección «Noticias» es el punto de referencia principal para diversas actualizaciones y comunicados, y ofrece a los afiliados información sobre las nuevas funciones.
- La sección «Empresas» del sitio web de filtraciones sirve de plataforma para que los afiliados gestionen a sus víctimas. En esta sección, los afiliados pueden crear perfiles de las víctimas, generar muestras únicas de ransomware y establecer un chat específico para cada víctima.
- La sección «Chats» es donde los afiliados pueden acceder a los chats creados.
- La sección «The Stuffers», disponible en , ofrece a los afiliados un método para gestionar a los subafiliados o a los miembros de su equipo durante los proyectos colaborativos.
- La sección «Leaks» ( ) es donde los afiliados pueden publicar las empresas a las que han atacado con éxito, pero de las que aún no han recibido el pago del rescate de (se abre en una nueva pestaña) .
Datos técnicos sobre el ransomware Lynx
El ransomware Lynx existe en variantes tanto para Windows como para Linux. La variante de Linux aún no se ha detectado en el entorno real.
Una diferencia clave entre la última variante de Windows y las observadas el año pasado es una nueva opción de «modo», que permite al atacante seleccionar el porcentaje de un archivo que desea cifrar. Esto permite al atacante determinar el equilibrio entre la velocidad y la cantidad de datos cifrados. Esta variante llevará a cabo el cifrado, cambiará el fondo de pantalla por una nota de rescate e incluso intentará imprimirla.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El grupo de ransomware Lynx se vale de capacidades técnicas avanzadas y de un programa sofisticado. Es un buen ejemplo de cómo los grupos de ransomware, especialmente las operaciones de tipo «RaaS», actúan cada vez más como empresas y cada vez menos como las organizaciones ciberdelictivas tradicionales.
También cabe señalar que este grupo enumerará las impresoras locales e intentará enviar la nota de rescate a las impresoras conectadas, lo cual es poco habitual.
Group-IB concluye su informe señalando que «solo una estrategia defensiva proactiva y adaptable garantizará la protección de los datos críticos y mantendrá la resiliencia empresarial». Esta afirmación es válida para numerosas amenazas.
Cisco Talos publica el informe « Q4 tendencias en la respuesta a incidentes»
Cisco Talos ha publicado « » (se abre en una nueva pestaña) , su informe trimestral de tendencias para el Q4 2024, en el que se recogen las observaciones clave extraídas de las intervenciones de respuesta a incidentes (se abre en una nueva pestaña) llevadas a cabo durante este periodo.
En particular, Cisco Talos observó un aumento tanto en el uso de «web shells» como en la explotación de aplicaciones accesibles al público.
Aumento de los casos de web shells
Cisco Talos ha observado que los autores de amenazas están utilizando «web shells» en el 35 % de sus intervenciones de respuesta a incidentes, concretamente «web shells» de código abierto y de acceso público contra aplicaciones web vulnerables o sin parches de (se abre en una nueva pestaña). Esto supone un aumento significativo con respecto al 10 % registrado en el tercer trimestre de 2024.
Tendencias en materia de ransomware
Aproximadamente el 30 % de los casos atendidos por Cisco Talos durante el cuarto trimestre se centraron en el ransomware, las amenazas previas al ransomware y la extorsión mediante robo de datos, lo que supone un descenso con respecto al 40 % registrado en el trimestre anterior. Asimismo, observaron una combinación de nuevos actores de ransomware, como Interlock, y otros ya conocidos, como , Black Basta (se abre en una nueva pestaña),, y RansomHub.
En la mayoría de los incidentes de ransomware investigados por Cisco Talos, el tiempo de permanencia del atacante osciló entre 17 y 44 días. Cisco Talos señala que los tiempos de permanencia más prolongados «pueden indicar que un atacante está intentando ampliar su acceso, eludir las defensas y/o identificar datos de interés para su sustracción».
Cisco Talos también señaló que los autores de ataques de ransomware utilizaron herramientas de acceso remoto en el 100 % de los incidentes de ransomware en los que intervinieron este trimestre. Esta cifra supone un aumento significativo con respecto al trimestre anterior, durante el cual solo se detectaron herramientas de acceso remoto en el 13 % de estos casos.
Sectores destinatarios
Por segundo trimestre consecutivo, el sector educativo (se abre en una nueva pestaña) fue el principal objetivo, seguido de los servicios financieros, la sanidad y la administración pública.
Acceso inicial
Por primera vez en más de un año, Cisco Talos ha determinado que la principal vía de acceso inicial consistía en el aprovechamiento de aplicaciones de acceso público. Observaron este fenómeno en aproximadamente el 40 % de los casos en los que pudieron determinar los contactos iniciales.
En los últimos trimestres, las cuentas válidas han sido la principal vía de acceso inicial. El trimestre pasado, bajó al segundo puesto. Desde diciembre, Cisco Talos también ha observado un aumento de los ataques de «password spraying» que impiden a los usuarios acceder a sus cuentas o les niegan el acceso a la VPN.
Autenticación multifactorial: una de las principales vulnerabilidades de seguridad
Según Cisco Talos, la ausencia de una autenticación multifactorial (MFA) (se abre en una nueva pestaña) figuró entre las principales vulnerabilidades de seguridad del cuarto trimestre. Casi el 40 % de todos los casos presentaban una autenticación multifactorial (MFA) mal configurada, débil o inexistente. Además, el 100 % de las organizaciones afectadas por el ransomware carecían de una implementación adecuada de la autenticación multifactorial (MFA) o esta había sido eludida mediante ingeniería social.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Sorprendentemente, los incidentes relacionados con el ransomware representaron un número ligeramente inferior de intervenciones que en el trimestre anterior. Aunque esto, desde luego, no significa que el ransomware vaya a desaparecer a corto plazo, podría indicar un cambio de enfoque por parte de los autores de las amenazas.
Además, parece que los autores de las amenazas están volviendo a recurrir a tácticas ya conocidas, como el aprovechamiento de vulnerabilidades. Por primera vez en más de un año, Cisco Talos ha identificado el aprovechamiento de aplicaciones accesibles al público como el principal método de acceso inicial.
En el informe « », Cisco Talos también ofrece recomendaciones (se abre en una nueva pestaña) para subsanar las vulnerabilidades de seguridad más importantes que se han observado, entre las que se incluyen la implementación de la autenticación multifactorial (MFA) y la aplicación periódica de parches.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
