En el resumen de esta semana: Un grupo reducido de actores maliciosos ha implementado una función de búsqueda que facilita a las víctimas la localización de datos filtrados y la está utilizando como mecanismo de extorsión. Además, las APT que se sospecha que cuentan con el respaldo de China están dirigiendo cada vez más sus ataques contra Rusia. Además, el aumento de los ataques de QBot se ha atribuido a las mejoras y a las nuevas técnicas de ataque implementadas por los desarrolladores y operadores de este malware, que llevan mucho tiempo en activo.
1. Las bandas de ransomware ahora le permiten realizar búsquedas en los datos que han sustraído
Dos grupos de ransomware y un grupo dedicado a la extorsión de datos han adoptado una nueva estrategia para obligar a las víctimas a ceder a las exigencias de rescate, con el fin de evitar que los atacantes hagan públicos los datos sustraídos.
Estos grupos han incorporado una función de búsqueda en sus sitios web dedicados a las filtraciones de datos, lo que facilita a las víctimas y a sus socios, clientes o accionistas determinar si los datos filtrados contienen información sensible o perjudicial relativa a sus negocios o relaciones.
Según , BleepingComputer (se abre en una nueva pestaña), es posible que la operación de ransomware ALPHV/BlackCat haya marcado el inicio de esta tendencia. La semana pasada dieron a conocer una base de datos consultable que contiene información sustraída a víctimas que no habían pagado.
Una banda de ransomware le permite ahora buscar entre los datos que ha robado - @Ionut_Ilascu bleepingcomputer.com/news/security/…
La banda de ransomware dejó claro que está indexando los repositorios; además, sugirió que la opción de búsqueda funciona mejor cuando los usuarios buscan información por nombre de archivo o por contenido que saben que figura en los documentos o imágenes. Los resultados se han extraído de la función «colecciones» del sitio web de filtraciones de BlackCat. Y, aunque aún hay margen de mejora en cuanto a la precisión de esta función, se trata sin duda de una evolución innegable de la metodología de extorsión empleada por los autores de las amenazas.
Cuando gran parte del éxito de una operación de extorsión depende de la presión que pueda ejercer sobre sus víctimas, la capacidad de examinar el contenido de los datos sustraídos constituye una herramienta de un valor incalculable para estos actores. Es probable que esta funcionalidad, de fácil implementación, resulte un recurso clave para los grupos dedicados a la extorsión que intentan convencer a las víctimas de que paguen a cambio de la eliminación de los datos; al tiempo que podría permitir a las víctimas evitar más problemas, como demandas colectivas y cuantiosas multas por parte de las autoridades reguladoras de la protección de datos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Lo que estamos presenciando aquí es otra evolución natural en la metodología empleada por los ciberdelincuentes dedicados a la extorsión, que pretenden aumentar la presión sobre sus víctimas para que accedan a las demandas de rescate, incrementando así la probabilidad y la frecuencia de que se produzcan pagos exitosos». Fuimos testigos de lo mismo con la aparición de la táctica de la «doble extorsión» y, de nuevo, con la inevitable adopción de la táctica de la «triple extorsión» por parte de los ciberdelincuentes con motivaciones económicas.
Queda por ver si la aplicación de una táctica aparentemente tan trivial resultará eficaz para los autores de las amenazas mencionados anteriormente, así como para aquellos que, sin duda, adoptarán esta función de búsqueda en el futuro con el fin de mantenerse al día con sus homólogos. Lo que está claro es que esta táctica no requiere ninguna inversión importante, por lo que, si resulta ser eficaz, sin duda se convertirá en una novedad atractiva para los sitios web de filtración de datos pertenecientes a diversas operaciones de ciberchantaje».
2. Según un análisis, los piratas informáticos vinculados al Gobierno chino están dirigiendo cada vez más sus ataques contra Rusia
Los piratas informáticos de Estados-nación vinculados al Gobierno chino (se abre en una nueva pestaña) parecen estar atacando a entidades rusas con una frecuencia cada vez mayor, según informa Tom Hegel, investigador sénior de amenazas de SentinelOne. La motivación que subyace a esta actividad en curso está relacionada con el espionaje, tal y como demuestra el objetivo de la misma, lo cual apunta a que los autores de estas amenazas cibernéticas, respaldados por un Estado, tienen un gran «interés en el noreste de Asia, incluidos los gobiernos, las infraestructuras críticas y otras empresas privadas».
Ya se ha publicado la última entrada de @LabsSentinel , en la que se destaca la reciente actividad de los grupos APT chinos. Aspectos destacados: 🟣 Royal Road Maldocs > RATs (Bisonal) 🟣 RU / PK: enfoque específico (Gobierno + infraestructuras críticas) 🟣 Oportunidades de reorientación muy interesantes
🇨🇳 Novedades en #SentinelLabs! Una campaña de phishing vinculada a China pretende atacar a objetivos rusos mediante un malware personalizado diseñado para el espionaje. Investigación de @TomHegel sentinelone.com/labs/targets-o… cc: @LabsSentinel #rusia #china #ciberseguridad #ciberespionaje #investigación #espionaje
El análisis de Hegel atribuye, con un alto grado de certeza, los ataques contra objetivos rusos a un grupo de ciberespionaje patrocinado por el Estado chino. También se presentó una conclusión similar en una alerta publicada recientemente por el Centro de Respuesta a Incidentes Informáticos de Ucrania ( , CERT-UA) (se abre en una nueva pestaña). Los ataques utilizan correos electrónicos de phishing de tipo « » para enviar documentos de Microsoft Office (MS Word) con el fin de explotar las vulnerabilidades de las víctimas y, en última instancia, instalar el troyano de acceso remoto (RAT) de su elección, que parece ser Bisonal, un RAT exclusivo de los actores maliciosos chinos. Bisonal cuenta con un largo historial de uso en campañas de espionaje de tipo « » contra empresas del sector de la defensa (se abre en una nueva pestaña) en Rusia, Japón y el norte de Asia, y, más recientemente, en ataques contra organizaciones de telecomunicaciones pakistaníes.
Según SentinelOne, los recientes objetivos de inteligencia de China contra Rusia pueden observarse en múltiples campañas llevadas a cabo tras el inicio del conflicto entre Rusia y Ucrania, tales como: , Scarab (se abre en una nueva pestaña),, , , Mustang Panda (se abre en una nueva pestaña),, , , Space Pirates (se abre en una nueva pestaña),, y, ahora, la actividad que aquí se describe. SentinelOne considera que se trata de una campaña china independiente, pero Hegel admite que, por el momento, resulta imposible atribuirla a un actor concreto. Es probable que el uso del RAT Bisonal haya sido un factor que haya contribuido a las dificultades a las que se enfrentaron los investigadores de SentinelOne a la hora de determinar la autoría de esta actividad. Los grupos de amenazas persistentes (APT) chinos son conocidos por compartir herramientas y metodología, y el malware ha sido utilizado por una amplia variedad de actores maliciosos respaldados por China en distintos momentos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«China ha llevado a cabo recientemente numerosas iniciativas importantes en el ámbito cibernético. Tal y como informó recientemente el CTI de « » en (se abre en una nueva pestaña), el Partido Comunista Chino (PCCh) y su gobierno, sometido a un estricto control —incluidas sus numerosas grupos APT, dotados de amplios recursos y afiliados al Ministerio de Seguridad del Estado chino (MSS) y al Ejército Popular de Liberación (EPL)—, están llevando a cabo abiertamente una campaña a largo plazo para convertirse en la ÚNICA superpotencia mundial. Esto implica la puesta en práctica de la estrategia china denominada «todo el Estado»; un nombre que suena bien, pero que en realidad hace referencia a una operación a escala nacional destinada a sustraer «conocimientos especializados, tecnología, investigación y ventajas comerciales líderes a nivel mundial» de los países occidentales, en un esfuerzo intensivo por reforzar la posición de China en la escena internacional.
No se puede decir que China tenga precisamente en cuenta los intereses de Estados Unidos o de sus aliados. Sin embargo, desde el punto de vista de un observador que lleva casi una década siguiendo de cerca la actividad cibernética de China y el desarrollo de sus capacidades ofensivas, no puedo evitar tener la sensación de que se avecina un cambio radical. Así lo demuestra el aumento de las alertas relacionadas con China emitidas por la CISA, el CERT-UA, el MI5 y el FBI.
Teniendo todo esto en cuenta, CTI está adoptando un enfoque proactivo ante lo que consideramos que será un próximo aumento de los ciberataques (muy probablemente en forma de ataques dirigidos a la cadena de suministro y contra proveedores de servicios gestionados [MSP], proveedores de servicios de Internet [ISP] y empresas de telecomunicaciones) originados por actores maliciosos chinos vinculados al Estado».
3. El aumento de los ataques del malware Qakbot se atribuye a la evolución de las técnicas de ataque
Un informe reciente del equipo de investigación en seguridad «Threatlabz» de Zscaler ( ) (se abre en una nueva pestaña) detalla un aumento significativo en la propagación del malware Qakbot (también conocido como QBot) durante los últimos seis meses, lo que los investigadores atribuyen a nuevas técnicas de ataque y a las actualizaciones realizadas en el malware.
QBot ha seguido siendo una amenaza predominante durante los últimos 14 años, mostrando un grado de longevidad poco común en el contexto de un panorama de amenazas cibernéticas en constante cambio, en el que las familias de malware y los actores maliciosos con menor capacidad de resistencia aparecen, desaparecen y cambian de nombre con regularidad.
La amenaza que supone QBot se debe en gran medida a su naturaleza modular, así como a la capacidad del malware para sustraer información y desplegar cargas útiles de siguiente fase —que a menudo adoptan la forma de ransomware—; esto es consecuencia de la disposición de QBot a mantener colaboraciones lucrativas con algunas de las bandas de extorsión más notorias del panorama cibernético.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El hecho de que QBot haya sobrevivido durante más de una década y, al parecer, sea más fuerte que nunca (como demuestran la evolución de sus TTP, el desarrollo continuo de su código y las florecientes alianzas con algunas de las operaciones de ransomware más peligrosas del panorama de amenazas) habla por sí solo. Se trata de una operación de malware que se ha considerado una amenaza importante desde el primer momento, y debe tratarse como tal. Es muy probable que muchos de los grupos de ransomware que hemos llegado a conocer y a temer no tendrían ni la mitad de impacto si no fuera por su dependencia de malware «precursor», como QBot o cualquiera de las demás familias de malware de primer nivel que hacen posible la rápida infección por ransomware de dominios enteros —en algunos casos, cifrando los sistemas de todo un dominio en cuestión de horas—.
Lectura recomendada: Libro electrónico «Cómo proteger la superficie de ataque informática»
Hoy en día, todas las empresas se enfrentan al riesgo de sufrir ciberamenazas peligrosas y en constante evolución. Los directores de sistemas de información (CIO) necesitan las herramientas, los procesos y el personal necesarios para evitar que los datos confidenciales caigan en manos de los ciberdelincuentes. Pero, ¿cómo se protege la superficie de ataque informática al tiempo que se avanza en la transformación digital? Descubra las respuestas en nuestro libro electrónico gratuito « » (se abre en una nueva pestaña).
Consulte nuestros últimos resúmenes sobre seguridad
