En el resumen de esta semana, CTI analiza el descubrimiento de un troyano de acceso remoto (RAT) hasta ahora desconocido, al que los investigadores en ciberseguridad han bautizado como SharpRhino. A continuación, CTI destaca un informe de Sophos en el que se detalla cómo los grupos de ransomware se están volviendo cada vez más agresivos. Por último, CTI investiga una nueva campaña de phishing que utiliza enlaces de Google Drawings y WhatsApp para eludir la detección.
1. El RAT «SharpRhino» supone una amenaza para los administradores de TI
El Equipo de Respuesta ante Incidentes Cibernéticos de Quorum ha descubierto recientemente un malware hasta ahora desconocido, al que el grupo denomina ahora « » (SharpRhino).
El ataque se ha atribuido a un grupo denominado Hunters International. El grupo distribuye el RAT « » SharpRhino a las víctimas mediante un dominio de «typosquatting» que se hace pasar por la herramienta de código abierto «Angry IP Scanner».
¿Quiénes son Hunters International?
Según Quorum Cyber, Hunters International es el décimo grupo de ransomware más activo en 2024. Se cree que este grupo, que se observó por primera vez en el año 2023, está relacionado con la ya desaparecida operación de ransomware «Hive», con sede en Rusia.
Hunters International opera, al igual que muchas operaciones de «ransomware como servicio» (RaaS) de tipo « » , cifrando archivos y sustrayendo datos de los entornos de las víctimas. El cifrador del grupo se ha desarrollado en Rust y presenta un alto nivel de sofisticación. Hunters International se ha centrado en organizaciones de todo el mundo y de diversos sectores.
Análisis del RAT SharpRhino
El malware inicial —un archivo denominado « “ipscan-3.9.1-setup.exe»— es un instalador de Nullsoft que contiene un archivo autoextraíble.
- Instalador NSIS: Las víctimas descargan SharpRhino creyendo que están instalando el instalador legítimo de AngryIP. El instalador contiene un archivo comprimido protegido con contraseña que se descomprime mediante los archivos 7za.exe y 7za.dll integrados.
- Persistencia: El malware establece su persistencia modificando una clave de ejecución del Registro. Modifica el Registro añadiendo un acceso directo a «Microsoft.AnyKey.exe», que viene incluido en la versión legítima de Microsoft Visual Studio 2019.
- Instalaciones múltiples: El programa de instalación crea dos directorios, a saber, « WindowsUpdater24 » y «LogUpdateWindows». Ambos directorios contienen archivos binarios y otros archivos que se utilizan posteriormente para la comunicación C2 . Es probable que se hayan creado dos directorios en lugar de uno para garantizar una mayor persistencia.
- Ejecución: El código C# del malware está muy ofuscado. El código fuente se carga en un entorno de desarrollo integrado (IDE) y, una vez ejecutado, envía una solicitud HTTP POST con datos de solicitud en formato JSON. Quorum Cyber ha determinado que el malware responde a dos comandos predefinidos, a saber, «delay» y «exit». El comando «delay» «reconfigurará el temporizador antes de que el malware realice otra solicitud POST para recuperar el siguiente comando», y el comando «exit» simplemente sale del bucle.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Hunters International ha demostrado ser una amenaza importante, con 134 ataques registrados en 2024.
Parte del motivo por el que este proveedor de RaaS tiene tanto éxito es que incorpora regularmente nuevas funcionalidades a su oferta, como SharpRhino.
Esta técnica no es técnicamente sofisticada, pero se está volviendo increíblemente habitual y, por lo tanto, nos recuerda que debemos estar atentos y ser cautelosos a la hora de buscar archivos para descargar.
2. Las bandas de ransomware intensifican la presión sobre sus víctimas
Según un informe de Sophos publicado en , los grupos de ransomware se están volviendo cada vez más agresivos a la hora de convencer a las víctimas para que realicen los pagos.
Los grupos de ransomware están utilizando actualmente una combinación de tácticas antiguas y nuevas, lo que supone una clara evolución en su forma de actuar. Sophos clasifica estas tácticas en diferentes categorías, entre las que se incluyen la legislación y los litigios, la ética, el daño a la reputación, la vergüenza, los datos sensibles y el «swatting».
Legislación y tácticas procesales
Sophos ha observado varios casos en los que los autores de ataques de ransomware han utilizado la legislación como arma o han animado a víctimas secundarias —como clientes o empleados— a aumentar la presión sobre las organizaciones afectadas mediante la interposición de demandas judiciales. Un ejemplo de ello fue un incidente relacionado con BlackCat en November 2023 , en el que el autor presentó una denuncia ante la SEC contra una de las víctimas, alegando que la empresa no había notificado a la agencia la filtración de datos.
Otro ejemplo fue el de la banda de ransomware Monti. En esta operación se afirmó que un empleado de una de las organizaciones afectadas estaba buscando material inapropiado, y se presentaron como prueba el historial del navegador y una ventana de PowerShell en la que aparecía el nombre de usuario del supuesto infractor. El grupo de ransomware añadió que denunciaría al usuario ante las autoridades si no se pagaba el rescate.
Los autores de ataques de ransomware también están animando a las personas cuya información de identificación personal (PII) quedó expuesta en una filtración a participar en acciones judiciales, y están señalando a personas concretas a las que consideran responsables.
Ética, daño a la reputación y tácticas para poner en evidencia
Estas tácticas se observan con frecuencia cuando los autores de ransomware afirman ser éticos, se hacen pasar por evaluadores de seguridad o fingen llevar a cabo auditorías de seguridad. Los actores suelen señalar que sus víctimas fueron «irresponsables» o «negligentes», con la esperanza de que el público vea a la organización bajo una luz desfavorable y considere al actor como una persona benévola.
Sophos ha observado varios casos en los que los autores han amenazado con ponerse en contacto con clientes o socios de una organización afectada para ejercer una mayor presión. En estos casos, el actor ejerció presión desde más de un frente, incluyendo los medios de comunicación, los clientes o los organismos reguladores.
Datos sensibles, «swatting» y otros temas
Los grupos de ransomware suelen publicar la información sustraída tras sus ataques. Los actores han hecho pública información médica, entre la que se incluyen historiales de salud mental, historiales médicos de menores, resultados de análisis de sangre y otros datos.
En un ejemplo extremo, el grupo de ransomware Qiulong publicó imágenes de documentos de identidad pertenecientes a la hija de un director general, junto con un enlace directo a su perfil de Instagram. Más recientemente, en January 2024 , un atacante amenazó con llevar a cabo una «broma de SWAT» contra los pacientes de un hospital oncológico.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como indica el informe de Sophos, los autores de ransomware se están volviendo cada vez más agresivos en sus campañas. Además, pone de manifiesto cómo están evolucionando los grupos de ransomware y cómo utilizan tácticas tanto antiguas como nuevas para intimidar a las víctimas.
Muchas de las nuevas tácticas, como las llamadas telefónicas y el «swatting», ponen de manifiesto cómo los autores están dispuestos a «trasladar las amenazas del ámbito digital al mundo real». Estas tácticas ponen de manifiesto cómo los autores de los ataques de ransomware están adquiriendo mayor sofisticación al utilizar múltiples estrategias para amenazar a sus víctimas.
3. Una nueva estafa de phishing utiliza Google Drawings y enlaces de WhatsApp
Menlo Security ha descubierto una nueva campaña de phishing que utiliza , Google Drawings y enlaces acortados de WhatsApp para eludir la detección.
En esta campaña, el autor de la amenaza envía un correo electrónico de phishing de tipo « » ( ) y solicita a la víctima que confirme los datos de su cuenta de Amazon. Además, incluyen un gráfico alojado en Google Drawings. El sitio web falso acaba obteniendo las credenciales de las víctimas, la información de sus tarjetas de crédito y otros datos personales.
El correo electrónico de phishing
Las víctimas reciben un correo electrónico de phishing en el que se les pide que verifiquen su cuenta de Amazon, alegando que esta ha sido suspendida debido a una actividad inusual al iniciar sesión.
El autor de la amenaza intentará crear una sensación de urgencia dando a la víctima 24 horas para verificar la cuenta o, de lo contrario, se enfrentará a una suspensión permanente.
El sitio web de phishing
Si el usuario hace clic en un botón para verificar su cuenta, se le redirige a una página de phishing que imita la página de inicio de sesión legítima de Amazon. El enlace se creó mediante un acortador de URL de WhatsApp. A la URL acortada se le añade además otro servicio de acortamiento de URL para generar códigos QR dinámicos.
Robo de datos
Una vez que el usuario introduce sus datos de acceso a Amazon, se le guía a través de cuatro páginas diferentes, cada una de las cuales tiene como objetivo convencerle de que está realizando algún tipo de acción para proteger su cuenta.
A lo largo de cada una de las páginas, el autor de la amenaza recopila diversa información. Menlo señala que no es necesario que la víctima llegue hasta el final de las cuatro páginas para que le roben sus datos, ya que la información se envía tras cada página.
A continuación se detalla el proceso:
- En la página «Revisión de seguridad» se le pedirá a la víctima que introduzca datos como el apellido de soltera de su madre, la fecha de nacimiento y el número de teléfono.
- A continuación, se le redirigirá a una página de facturación y se le solicitará la información de su tarjeta de crédito.
- Una vez completadas las cuatro páginas, se les redirige a la página de phishing original.
- Menlo ha confirmado que «una vez introducidas y validadas las credenciales, ya no se puede acceder a la página web desde la misma dirección IP».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña de phishing es ligeramente más exhaustiva que las campañas tradicionales. El autor de la amenaza no solo intenta recabar credenciales e información de tarjetas de crédito, sino también preguntas de seguridad habituales, como el apellido de soltera de su madre. Esta información, al combinarse con otros datos básicos sustraídos, podría permitir a un actor malintencionado acceder a otras cuentas que planteen preguntas de seguridad similares.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
