En el resumen de esta semana, CTI destaca las últimas tácticas de phishing relacionadas con los códigos QR. A continuación, CTI analiza el nuevo ransomware Babuk Locker 2.0 . Por último, CTI concluye con una visión general de un reciente ataque a la cadena de suministro dirigido a los clientes finales de un MSP.
1. El phishing mediante códigos QR se intensifica a medida que evolucionan las tácticas
Palo Alto está analizando las nuevas tácticas que se están utilizando en , documentos de phishing que contienen códigos QR.
Entre las nuevas tácticas se encuentran el aprovechamiento de redireccionamientos abiertos para ocultar el destino final del phishing y la inclusión de verificaciones manuales en los redireccionamientos para eludir la detección y convencer a las víctimas de que introduzcan sus credenciales.
Palo Alto también ha observado casos en los que los sitios de phishing se dirigen a víctimas concretas, lo que indica que se ha llevado a cabo cierto nivel de reconocimiento previo al ataque.
¿Qué es el phishing mediante códigos QR?
El phishing mediante códigos QR, o «quishing», consiste en crear códigos QR maliciosos y engañar a las víctimas para que los escaneen con sus dispositivos móviles.
Mediante el phishing con códigos QR, los autores de las amenazas intentarán aprovechar los dispositivos controlados por los usuarios que cuenten con controles de seguridad deficientes. El phishing mediante códigos QR ha demostrado ser muy eficaz, por lo que cada vez es más habitual.
Redirección a una URL de phishing
Palo Alto ha analizado las URL de los códigos QR de campañas recientes y ha determinado que, con frecuencia, utilizan la redirección de URL, lo que implica aprovechar las redirecciones abiertas de sitios web legítimos. Esto difiere de la inserción de enlaces que dirigen directamente al sitio de phishing.
La redirección de URL no es una táctica nueva y es una de las razones por las que a menudo se enseña a los usuarios a fijarse en la URL de un enlace antes de hacer clic en él. La redirección de URL, cuando se combina con códigos QR, resulta complicada, ya que no basta con pasar el cursor del ratón por encima del código QR para ver la URL.
Tal y como explica Palo Alto, las redirecciones permiten a los sitios web legítimos redirigir fácilmente a los usuarios a páginas externas, conservando al mismo tiempo la fuente original. Los atacantes también pueden incluir texto adicional en la URL de redireccionamiento de Google, de modo que el verdadero sitio web de phishing quede oculto al escanear el código QR con un teléfono.
Operaciones de phishing
Palo Alto ha descubierto que estas operaciones de phishing constan de tres pasos: la redirección, la verificación humana y la recopilación de credenciales.
- Las redirecciones guían a las víctimas hacia el sitio web auténtico. Algunos actores utilizan varias redirecciones para dificultar su identificación.
- La verificación humana consiste en aprovechar los pasos de verificación legítimos con los que muchos usuarios están familiarizados, como CAPTCHA y Cloudflare Turnstile. Para utilizar Cloudflare Turnstile en sus ataques, lo único que debe hacer un actor malintencionado es registrarse y obtener la suscripción gratuita del servicio.
- La sustracción de credenciales se lleva a cabo a través de páginas de phishing que imitan páginas de inicio de sesión, como Microsoft 365. Algunas de las páginas muestran el logotipo de la empresa e incluso rellenan automáticamente la dirección de correo electrónico de la víctima, de modo que esta solo tiene que introducir la contraseña.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los ataques de phishing y la ingeniería social están en constante evolución, y el informe de Palo Alto destaca algunas de las tendencias más recientes.
Si bien las tres actividades principales destacadas en el informe se han observado de forma aislada a lo largo de los últimos meses, en Palo Alto se está observando ahora que se utilizan de forma combinada, lo que no hace sino aumentar la tasa de éxito potencial.
Como ocurre siempre con las nuevas tácticas de phishing, es necesario combinar la concienciación con las soluciones de seguridad.
2. El ransomware LockBit 3.0 pasa a denominarse Babuk Locker 2.0
Rapid7 ha descubierto recientemente un canal de un grupo de ransomware que afirma ser « » Babuk Loader, un grupo que dejó de operar allá por el año 2021.
Se han descubierto Rapid7 foros y canales clandestinos en los que se mencionaba «Babuk Locker 2.0», además de que algunos autores se han atribuido la autoría de los recientes ataques de ransomware. Finalmente, llegaron a la conclusión de que no se trataba de un resurgimiento del grupo, sino más bien de LockBit 3.0 bajo un nuevo nombre.
Operadores
Durante su investigación, el equipo Rapid7 observó varios debates sobre un posible regreso de Babuk, la mayoría de los cuales estaban relacionados con dos grupos distintos denominados «Skywave» y «Bjorka».
Estos grupos reivindicaron la autoría de algunos ataques de ransomware e incluso difundieron filtraciones relacionadas con Babuk. Rapid7 considera que se trata, bien de afiliados, bien de operadores clave de Babuk 2.0.
Babuk Locker 2.0
Rapid7 identificó docenas de canales de Telegram cuyos nombres guardaban relación con Babuk Locker 2.0. Uno de los grupos mencionados anteriormente, Skywave, reivindicó la propiedad de varios canales, mientras que al otro, Bjorka, se le ha dado mayor difusión a su contenido relacionado con Babuk.
Los investigadores observaron que había un solapamiento entre las víctimas de Babuk y Bjorka e identificaron una posible colaboración entre los autores tras observar los logotipos de Skywave y Bjorka uno junto al otro en una página de contacto de Babuk 2.0.
Detalles técnicos
Rapid7 se topó con una supuesta muestra de Babuk 2.0 en un canal de Telegram. Tras analizar la muestra, determinaron que no guarda relación con Babuk, sino que se trata de LockBit 3.0 o LockBit Black. Esto indica que Babuk 2.0 no es más que un nuevo nombre o un cambio de marca de LockBit 3.0.
¿Babuk o LockBit 3.0?
Rapid7 analizó un archivo denominado «babuk.exe», que se promociona como Babuk 2.0. Han confirmado que esta muestra se basa íntegramente en LockBit 3.0 y no guarda relación con el código de Babuk filtrado anteriormente.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El análisis Rapid7’s indica que Babuk Locker 2.0 no pertenece en realidad al grupo Babuk, sino que se trata simplemente de LockBit 3.0 con un nuevo nombre.
Tal y como señala Rapid7 , «los grupos de ransomware no desaparecen: simplemente cambian de nombre, reutilizan el código y siguen obteniendo beneficios». Esto puede complicar la atribución, lo que lleva a los defensores a dedicar recursos a «nuevos» tipos de ransomware que no son más que un cambio de marca o una forma que tiene un actor de llamar la atención.
3. Las filiales de Qilin se dirigen a los clientes finales de un MSP
Según un informe de Sophos, en enero, un administrador de un proveedor de servicios de gestión (MSP) de recibió un correo electrónico de phishing que se hacía pasar por una alerta de autenticación de la herramienta RMM ScreenConnect. En última instancia, el correo electrónico permitió al grupo malicioso de ransomware Qilin acceder a las credenciales del administrador y le facilitó la ejecución de ataques de ransomware contra los clientes del proveedor de servicios gestionados (MSP). El grupo Qilin RaaS existe desde el año 2022 y anteriormente se denominaba «Agenda». Se sabe que este grupo recluta a sus miembros en foros rusos y utiliza una página web dedicada a la filtración de datos para llevar a cabo una doble extorsión.
Acerca de STAC4365
Sophos atribuye este último incidente a un afiliado de un grupo de ransomware identificado con el número STAC4365 , debido a la coincidencia en la infraestructura, los patrones de denominación y diversas tácticas, técnicas y procedimientos (TTP) utilizados por el grupo en otros ataques.
STAC4365 es un grupo malicioso que Sophos ha relacionado con «un patrón de actividades e indicadores comunes a un conjunto de sitios web de phishing que se remontan a November 2022». Los sitios web utilizados por este actor suelen suplantar direcciones URL legítimas de ScreenConnect. Este actor está utilizando un marco de trabajo de AitM de código abierto denominado «evilginx» para recopilar credenciales de phishing y cookies de sesión.
Cadena de ataque «STAC4365’s Qilin»
El correo electrónico de phishing utilizado en el ataque se adaptó a la cuenta de administrador del MSP para simular una alerta de inicio de sesión de ScreenConnect. Cuando el administrador hizo clic en el enlace del correo electrónico para iniciar sesión y consultar dicha alerta, fue redirigido a una página de phishing a través de varias redirecciones.
Sophos señala que el autor utilizó la URL únicamente para redirigir a la víctima prevista al sitio de phishing, mientras que al resto de visitantes los redirigía al sitio legítimo de ScreenConnect. En este punto, el atacante podría interceptar las credenciales e iniciar sesión en su cuenta.
Tras obtener acceso a la cuenta de ScreenConnect del administrador, el autor instaló una instancia de ScreenConnect gestionada por él mismo en los equipos de varios clientes del proveedor de servicios gestionados (MSP). Según Sophos, esta instancia se utilizó para la enumeración, la identificación de usuarios, el restablecimiento de las credenciales de las cuentas y para obtener acceso a otras herramientas. Una vez obtenido el acceso necesario, el autor recopiló y extrajo archivos de los entornos de los clientes, subiéndolos a un sitio web denominado «easyupload[.]io» en una pestaña de navegación de incógnito.
Sophos también revela varias de las técnicas empleadas por el autor, entre las que se incluyen la identificación y el ataque selectivo a copias de seguridad para impedir su restauración, la instalación del ransomware Qilin en los sistemas de varios clientes del proveedor de servicios gestionados (MSP), la desactivación del Servicio de Copias de Sombra de Volumen (VSS), la eliminación de copias de sombra y de los registros de eventos de Windows, así como la eliminación de sí mismo tras su ejecución, entre otras.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este ataque en concreto tuvo como objetivo a los clientes de un proveedor de servicios gestionados (MSP), lo que lo convierte en un ataque de tipo «cadena de suministro», algo que cada vez es más habitual.
Lo interesante es cómo el actor logró extraer datos a través de una pestaña de incógnito en Chrome. Esto es poco habitual y ofrece a los defensores otra vía más de exfiltración que deben vigilar.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
