En el resumen de esta semana: Un puñado de actores de amenazas han implementado una función de búsqueda que facilita a las víctimas encontrar datos filtrados y los están utilizando como mecanismo de extorsión. Además, las sospechas de APT respaldadas por China apuntan cada vez más a Rusia. Y un aumento de los ataques de QBot se ha atribuido a mejoras y nuevas técnicas de ataque implementadas por los desarrolladores y operadores de malware de larga duración.
1. Las pandillas de ransomware ahora le permiten buscar sus datos robados
Dos grupos de ransomware y un grupo de extorsión de datos han adoptado una nueva estrategia para forzar a las víctimas a someterse a demandas de rescate para evitar que sus datos robados sean divulgados públicamente por sus atacantes.
Estos grupos han agregado una función de búsqueda en sus sitios de filtración de datos que facilita a las víctimas y a sus socios/clientes/accionistas determinar si los datos filtrados contienen detalles confidenciales o dañinos con respecto a sus negocios o relaciones.
Según BleepingComputer (se abre en una nueva pestaña), la operación de ransomware ALPHV/BlackCat puede haber iniciado la tendencia. La semana pasada revelaron una base de datos de búsqueda que contiene datos robados de víctimas que no pagan.
La pandilla de ransomware ahora le permite buscar sus datos robados: @Ionut_Ilascuhttps://t.co/3VIKsiLJG6
— BleepingComputer (@BleepinComputer) July 11, 2022
La pandilla de ransomware dejó en claro que están indexando repositorios; lo que sugiere útilmente que la opción de búsqueda funciona mejor cuando los usuarios buscan información por nombre de archivo o contenido conocido por estar contenido en documentos o imágenes. Los resultados se extraen de la función “recolecciones” en el sitio de fugas de BlackCat. Y aunque aún hay espacio para mejorar cuando se trata de la precisión de la característica, la capacidad es una evolución innegable de la metodología de extorsión de los actores de amenazas.
Cuando gran parte del éxito de una operación de extorsión depende de la cantidad de presión que puede aplicar a sus víctimas, la capacidad de buscar el contenido de los datos robados es una adición invaluable a los conjuntos de herramientas de estos actores. Esta funcionalidad fácil de adoptar probablemente demuestre ser un recurso clave para los grupos de tipo extorsión que intentan convencer a las víctimas de pagar la eliminación de los datos; mientras que potencialmente permite a las víctimas evitar más dolores de cabeza, como demandas colectivas y multas considerables de los reguladores de privacidad de datos.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Lo que estamos presenciando aquí es otra evolución natural en la metodología utilizada por los ciberdelincuentes de tipo extorsión que buscan aumentar la presión sobre sus víctimas para someterse a demandas de rescate, lo que aumenta la probabilidad y la frecuencia de pagos exitosos. Fuimos testigos de lo mismo con la aparición de la táctica de “doble extorsión”, y nuevamente con la inevitable adopción de la táctica de “triple extorsión” por parte de ciberdelincuentes financieramente motivados.
Queda por ver si la implementación de una táctica aparentemente trivial será exitosa para los actores de amenazas mencionados anteriormente y para aquellos que seguramente adoptarán la capacidad de búsqueda en un intento por mantener el ritmo con sus pares. Lo que está claro es que la táctica no requiere ninguna inversión importante, por lo que si demuestra ser exitosa, seguramente se convertirá en una actualización atractiva para los sitios de filtración de datos pertenecientes a varias operaciones de extorsores cibernéticos”.
2. Los hackers vinculados al gobierno chino apuntan cada vez más a Rusia, sugiere un análisis
Los hackers del estado nacional con enlaces al gobierno chino (se abre en una nueva pestaña) parecen estar atacando a entidades rusas a una velocidad creciente, informa el investigador sénior de amenazas de SentinelOne, Tom Hegel. La motivación detrás de la actividad en curso está relacionada con el espionaje, como lo evidencia la focalización de la actividad, lo que indica actores de ciberamenazas respaldados por el estado que poseen un “interés entusiasta en el noreste de Asia, incluidos gobiernos, infraestructura crítica y otros negocios privados”.
La última publicación de @LabsSentinel destaca la actividad reciente de APT en chino. Aspectos destacados:
- Royal Road Maldocs > RAT (Bisonal)
- Focalización RU/PK (gobierno + infracrítico)
- Oportunidades dinámicas picantes https://t.co/jSitGI7IVT
— Tom Hegel (@TomHegel) July 7, 2022
El análisis de Hegel atribuye los ataques a objetivos rusos con alta confianza a un grupo de ciberespionaje patrocinado por el estado chino. También se presentó una conclusión similar en una alerta de CERT de Ucrania (CERT-UA) emitida recientemente (se abre en una nueva pestaña). Los ataques utilizan correos electrónicos de phishing para entregar documentos de Microsoft Office (MS Word) para explotar objetivos y, en última instancia, entregar su troyano de acceso remoto (Remote Access Trojan, RAT) de elección, que parece ser Bisonal, un RAT único para los actores de amenazas chinos. Bisonal tiene una larga historia de empleo en campañas de espionaje contra empresas de defensa (se abre en una nueva pestaña) en Rusia, Japón y el norte de Asia, y más recientemente, ataques a organizaciones de telecomunicaciones paquistaníes.
Según SentinelOne, los objetivos de inteligencia recientes de China contra Rusia pueden observarse en múltiples campañas después del comienzo del conflicto Rusia/Ucrania, como Scarab (se abre en una nueva pestaña), Mustang Panda (se abre en una nueva pestaña), Space Pirates (se abre en una nueva pestaña) y ahora la actividad descrita en el presente documento.SentinelOne cree que esta es una campaña china separada, pero Hegel admite que la atribución específica de actores es imposible en este momento. El uso de la RAT bienal es probablemente un factor que contribuye a las dificultades que los investigadores de SentinelOne enfrentaron para lograr la atribución de esta actividad. Las APT chinas son reconocidas por compartir herramientas y metodología, y el malware ha sido aprovechado por una amplia gama de actores de amenazas respaldados por China en varios momentos.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“China recientemente ha realizado muchos movimientos significativos en el dominio cibernético. Como informó recientemente CTI (se abre en una nueva pestaña), el Partido Comunista Chino (CCP) y su gobierno estrechamente controlado, incluidas sus legiones de grupos de APT bien recursos afiliados al Ministerio de Seguridad Estatal (MSS) de China y al Ejército de Liberación Popular (PLA), están abiertamente involucrados en una campaña a largo plazo para convertirse en el ÚNICO superpoder del mundo. Esto implica llevar a cabo la estrategia de “todo el estado” de China; un nombre muy claro otorgado a una operación nacional para robar “experiencia, tecnología, investigación y ventaja comercial líderes en el mundo” de las naciones occidentales en una intensa oferta para impulsar la posición global de China.
China no tiene exactamente en mente los mejores intereses de los EE. UU. o sus aliados. Pero desde el punto de vista de un observador que ha estado haciendo un seguimiento de la actividad cibernética de China y la acumulación de sus capacidades ofensivas durante la mejor parte de una década, no puedo evitar sentir que está llegando un cambio en el mar. Esto se evidencia por un aumento en las alertas centradas en China de CISA, CERT-UA, MI5 y el FBI.
Con todo esto en mente, CTI está adoptando un enfoque proactivo de lo que creemos que es un aumento repentino en los ciberataques (lo más probable es que se trate de ataques estilo cadena de suministro y ataques a MSP/ISP/telecomunicaciones) originados por actores de amenazas chinos vinculados al estado”.
3. Aumento de los ataques de malware de Qakbot relacionados con técnicas de amenazas en evolución
Los informes recientes del equipo de investigación de seguridad de Threatlabz de Zscaler (se abre en una nueva pestaña) detallan un aumento significativo en la propagación del malware de Qakbot (también conocido como QBot) en los últimos seis meses, que los investigadores atribuyen a nuevas técnicas de ataque y actualizaciones realizadas al malware.
QBot ha seguido siendo una amenaza frecuente durante los últimos 14 años, mostrando un grado poco común de longevidad frente a los antecedentes de un panorama de ciberamenazas en constante cambio en el que aparecen, desaparecen y cambian de nombre las familias de malware y los actores de amenazas con menos poder de permanencia de manera regular.
La amenaza planteada por QBot se debe en gran medida a su naturaleza modular, así como a la capacidad del malware para robar información e implementar cargas útiles en la siguiente etapa, que a menudo toman la forma de ransomware; un resultado de la voluntad de QBot de mantener asociaciones lucrativas con algunas de las pandillas de extorsión más conocidas del panorama.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“El hecho de que QBot haya sobrevivido durante más de una década y aparentemente sea más fuerte que nunca (como lo demuestran sus TTP en evolución, el desarrollo continuo de códigos y las asociaciones en crecimiento con algunas de las operaciones de ransomware más peligrosas del panorama de amenazas) habla por sí mismo. Esta es una operación de malware que se ha considerado una amenaza significativa desde su principio y debe tratarse como tal. Es muy probable que muchos de los grupos de ransomware que hemos conocido y temer no sean tan impactantes si no fuera por su dependencia del malware “precursor” como QBot o cualquiera de las otras familias de malware de primer nivel que hacen posibles las infecciones rápidas de ransomware de dominios completos, en algunos casos, cifrando sistemas en todo el dominio en cuestión de horas”.
Lectura adicional: Proteger el libro electrónico de superficie de ataque de TI
Todas las empresas actuales están en riesgo de sufrir amenazas cibernéticas peligrosas y en evolución. Los CIO necesitan las herramientas, los procesos y el personal para mantener los datos confidenciales fuera de las manos de los ciberdelincuentes. Pero, ¿cómo protege la superficie de ataque de TI mientras avanza con la transformación digital? Descubra las respuestas en nuestro libro electrónico gratuito (se abre en una nueva pestaña).
Consulte nuestros recientes resúmenes de seguridad
