Esta semana, CTI desglosa la campaña de ransomware de ESXiArgs en rápido desarrollo que cifra miles de servidores ESXi. A continuación, exploramos una tendencia ascendente que involucra a actores de amenazas que distribuyen malware a través de archivos OneNote, un método de entrega que una vez fue poco común. Finalmente, concluimos con una historia de inteligencia más orientada estratégicamente y enfocada en los comentarios recientes del presidente Biden, dados durante su segundo discurso del Estado de la Unión, sobre la necesidad urgente del país de una ley federal integral de privacidad de datos.
1. El ataque masivo de ransomware de ESXiArgs apunta a servidores VMware ESXi en todo el mundo
Según un boletín de CERT-FR de Francia, los atacantes apuntan activamente a servidores VMware ESXi (se abre en una nueva pestaña), supuestamente enfocándose en servidores que permanecen sin parches y vulnerables a CVE-2021-21974 (se abre en una nueva pestaña) (una vulnerabilidad de ejecución de código remoto de dos años de antigüedad) en una campaña generalizada que presenta el ransomware ESXiArgs relativamente desconocido.
Al momento de la elaboración de informes, el seguimiento de Censys (se abre en una nueva pestaña) había puesto la cantidad de servidores comprometidos (ubicados en Canadá, Francia, Finlandia, Alemania y los EE. UU.) en 3,200 y en aumento. Los investigadores observan que el recuento de víctimas es probablemente mayor debido a que los motores de búsqueda de Internet solo entregan una instantánea o un escaneo en un momento determinado, y los dispositivos se desconectan regularmente para la corrección entre escaneos.
Nuevo ransomware ESXiArgs
Según una publicación publicada por el blog TheRecord de Recorded Future, el ransomware presentado en la campaña se denomina ESXiArgs porque el malware crea un archivo adicional con la extensión .args después del cifrado del documento. Este archivo contiene información sobre cómo descifrar el documento de la víctima.
La tensión del ransomware involucrado en la campaña inicialmente parecía estar vinculada a la familia de ransomware de Nevada, una teoría propagada en una publicación de blog publicada por el proveedor francés de alojamiento en la nube OVHcloud (se abre en una nueva pestaña) (una firma cuyos usuarios se cuentan entre las víctimas afectadas por esta campaña). Sin embargo, esta hipótesis finalmente se desacreditó. También se han observado similitudes entre ESXiArgs y el ransomware de Babuk, ya que ambos utilizan el mismo cifrado cifrado (Sosemanuk), pero las diferencias en la estructura del código del malware también han puesto en duda esta probabilidad.
Arctic Wolf (se abre en una nueva pestaña) dice que, según la nota de rescate, la campaña probablemente sea el trabajo de un solo actor o grupo de amenazas. Esta suposición se debe a la naturaleza no objetivo de la campaña, su probable falta de reconocimiento previo a la operación en las víctimas y la relativamente baja demanda de extorsión de dos Bitcoin por parte de los atacantes. Cada nota también tiene una ID de Tox idéntica, que las víctimas utilizan para interactuar con el perpetrador en la comunicación. Se utiliza un ID de Tox para agregar gente a las listas de contactos dentro de la plataforma de mensajería de chat de Tox.
Dejando de lado la atribución, OVHcloud pudo proporcionar las siguientes características de comportamiento extraídas de los incidentes relacionados con ESXiArgs de los clientes:
- Se confirma que el vector de compromisión utiliza una vulnerabilidad de OpenSLP que podría ser CVE-2021-21974 (todavía por confirmar). Los registros indican que el dcui del usuario está involucrado en el proceso de compromisión.
- El cifrado utiliza una clave pública implementada por el malware en /tmp/public.pem.
- El proceso de cifrado se dirige específicamente a archivos de máquinas virtuales (.vmdk, .vmx, .vmxf, .vmsd, .vmsn, .vswp, .vmss, .nvram y .vmem).
- El malware intenta apagar las máquinas virtuales eliminando el proceso VMX para desbloquear los archivos. Esta función no funciona sistemáticamente como se esperaba, lo que da como resultado que los archivos permanezcan bloqueados.
- El malware crea argsfile para almacenar argumentos pasados al binario cifrado (cantidad de MB para omitir, cantidad de MB en el bloque de cifrado, tamaño del archivo).
- No se produjo exfiltración de datos.
Según se informa, Michael Gillespie de ransomware de ID analizó una copia del cifrador ESXiArgs, y le dijo a BleepingComputer que, lamentablemente, es un cifrador seguro sin errores de criptografía que podrían permitir el descifrado.
Propagación
Los investigadores creen que ESXiArgs se está propagando a través de la explotación de CVE-2021-21974 (se abre en una nueva pestaña), una falla de seguridad de dos años de antigüedad relacionada con un problema de desbordamiento en pila en el servicio OpenSLP, que esencialmente hace que los hipervisores ESXi sin parches sean vulnerables a actores de amenazas no autenticados en ataques de baja complejidad.
No hay día cero involucrado
El February 6, 2023, VMware emitió un aviso instando a los administradores a aplicar parches a los servidores ESXi y deshabilitar el servicio OpenSLP, la empresa se aseguró de confirmar que los atacantes no estaban explotando una vulnerabilidad de día cero para propagar el ransomware de ESXiArgs.
Básicamente, VMware verificó que la campaña a gran escala era, de hecho, el resultado de actores de ransomware dirigidos a servidores ESXi expuestos a Internet y sin parches. VMware señaló que este servicio está deshabilitado de manera predeterminada (se abre en una nueva pestaña)en versiones de software ESXi emitidas desde 2021.
¿Qué se está viendo afectado?
VMWare describe a ESXi (se abre en una nueva pestaña) como un “hipervisor de metal desnudo... con acceso directo y control de recursos subyacentes”, que ofrece acceso a archivos críticos y permite a los atacantes interrumpir una enorme gama de recursos del usuario.
BleepingComputer informa que CVE-2021-21974 afecta a los siguientes sistemas:
- Versiones ESXi 7.x anteriores a ESXi70U1c-17325551
- Versiones ESXi 6.7.x anteriores a ESXi670-202102401-SG
- Versiones ESXi 6.5.x anteriores a ESXi650-202102101-SG
Se emitió un parche para CVE-2021-21974 en febrero de 2021. Las agencias gubernamentales y los investigadores de seguridad actualmente están alentando a los administradores de red a actualizar cualquier servidor sin parches de inmediato.
Segunda ola de ataques de ransomware ESXiArgs; vector de acceso inicial cuestionado
En la última actualización, lo que parece ser una segunda ola de ataques de ransomware de ESXiArgs presenta una versión revisada del malware y cifra cantidades más extensas de datos, lo que en última instancia hace que sea mucho más difícil, si no imposible, que los socorristas recuperen máquinas virtuales VMware ESXi cifradas.
BleepingBlog de ciberseguridadLa computadora afirma haber aprendido por primera vez de la segunda ola de ataques después de que un administrador publicara en el tema del foro de soporte de EXSiArgs del blog.
Los profesionales de seguridad ahora también cuestionan la validez de la aserción ampliamente aceptada de que el vector de infección inicial de la campaña es, de hecho, la explotación de servidores VMware ESXi que permanecen sin parches y vulnerables a CVE-2021-21974 (se abre en una nueva pestaña).
Nueva versión de ESXiArgs
Después de analizar muestras de la nueva variante de ransomware, se informó que BleepingComputer descubrió que, si bien el encriptador de ESXiArg no había cambiado, la parte del código de la rutina de cifrado que dictaba la cantidad de datos cifrados se había alterado, lo que básicamente hizo que el encriptador alternara entre el cifrado entre 1MB de datos y la omisión de 1MB de datos. Esto significa que todos los archivos de más de 128MB ahora tienen el 50 % de sus datos cifrados, lo que los vuelve prácticamente irrecuperables.
Las alteraciones también evitan que las herramientas de recuperación emitidas por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) a través de la página its GitHub (se abre en una nueva pestaña) en respuesta a la ola inicial de ataques de recuperación exitosa de sistemas cifrados, ya que se habrán cifrado demasiados datos para ser utilizables.
Además, la nota de rescate ya no incluye una dirección de Bitcoin. Este era probablemente un intento de los operadores de ESXiArg de evitar que los investigadores de seguridad rastrearan los pagos de rescate.
¿Es CVE-2021-21974 el verdadero culpable?
Según un artículo reciente publicado en el blog de Greynoise (se abre en una nueva pestaña), los investigadores de seguridad pueden ser un poco prematuros en sus conclusiones que vinculan la campaña de ransomware de ESXiArgs con la explotación de CVE-2021-21974.
Desde la publicación:
La relación entre CVE-2021-21974 (se abre en una nueva pestaña) y la campaña de ransomware puede verse desproporcionada. Actualmente no sabemos cuál es el vector de acceso inicial y es posible que pueda ser cualquiera de las vulnerabilidades relacionadas con el servicio OpenSLP de ESXi.
La comunidad de seguridad parece enfocarse en una sola vulnerabilidad. GreyNoise cree que CVE-2021-21974 tiene sentido como vector de acceso inicial, pero no conoce ninguna fuente de terceros que confirme que ese es el caso. Alentamos a los defensores a mantenerse atentos y no aceptar a cada proveedor en su palabra (incluidos nosotros).
Esta declaración se ve reforzada por el hecho de que varias víctimas han afirmado que OpenSLP fue deshabilitada en sus dispositivos y fue violada y cifrada independientemente de ello. Aún así, la pregunta sigue siendo: ¿Cómo llegó la comunidad de seguridad a la atribución de la campaña ESXiArgs a un CVE específico en primer lugar?
Una publicación de blog October 2022 (se abre en una nueva pestaña) publicada por Juniper Networks introdujo el potencial de abuso de las diversas vulnerabilidades de OpenSLP que existen en diferentes versiones de ESXi. Aunque la publicación no atribuyó una vulnerabilidad específica a una instancia de explotación exitosa, proporcionó detalles sobre la puerta trasera que se instaló después de la explotación en incidentes observados.
En resumen, hay muchas vulnerabilidades de OpenSLP diferentes en varias versiones de ESXi, incluidas CVE-2021-21974 (se abre en una nueva pestaña), CVE-2020-3992 y CVE-2019-5544 (se abre en una nueva pestaña). Varios de estos han sido explotados más probablemente en el pasado para instalar una puerta trasera maliciosa y, según lo informado por Greynoise, y, si bien “ningún CVE se atribuye concretamente como el vector de acceso inicial para la campaña ESXiArgs por fuentes de primera parte”, los investigadores de seguridad parecen haber acordado que estos hechos se mantienen lo suficientemente bien por su cuenta, lo que les permite dar el salto hacia la huella CVE-2021-21974 como el misterioso vector de acceso inicial del ransomware ESXiArgs.
Una profundización recientemente actualizada en ESXiArgs (se abre en una nueva pestaña) publicada por Censys señala lo siguiente, lo que plantea más dudas sobre que OpenSLP sea la vía de ataque de los atacantes:
“Como informamos ayer, OpenSLP no parece ser el método de ataque, dado que varios hosts comprometidos no tenían SLP en ejecución”.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Este último desarrollo subraya tanto para los profesionales de seguridad como para los analistas de inteligencia de amenazas cibernéticas el valor de abstenerse de saltar a conclusiones prematuras, especialmente cuando dichas reclamaciones no se basan en cuentas de primera mano o en los proveedores afectados. Hacerlo solo sirve para inyectar una situación ya grave con miedo, incertidumbre y duda. La verdad siempre tiene una forma de surgir. Por lo general, es solo cuestión de tiempo”.
“El hecho de que la nueva variante de ESXiArgs pueda hacer que los sistemas afectados sean prácticamente irrecuperables debería servir para destacar la importancia de identificar sistemas expuestos y/o vulnerables y protegerlos de inmediato. Ya sea que CVE-2021-21974 sea o no el método de entrada para los actores detrás de esta campaña, la presencia de una vulnerabilidad de RCE de dos años en máquinas virtuales ESXi sin parches es un riesgo innecesario”.
2. Los nuevos ataques de QakNote envían malware de QBot a través de archivos de Microsoft OneNote
Sophos ha observado un nuevo ataque a gran escala, denominado QakNote, que envía malware QBot a través de archivos de Microsoft OneNote. (Se abre en una nueva pestaña)
Tendencia creciente: Uso de archivos OneNote para entregar malware
Las empresas de seguridad han estado haciendo un seguimiento del crecimiento del malware que se entrega a través de archivos .one OneNote durante algún tiempo. Hasta hace poco, esta táctica rara vez era empleada por ciberdelincuentes. Sin embargo, en January 2023, Proofpoint observó más de 50 campañas de OneNote (se abre en una nueva pestaña) entregando varias cargas útiles de malware, incluidas AsyncRAT, Redline, AgentTesla y Doubleback. De particular interés es el uso de documentos de OneNote para entregar QBot por el corredor de acceso inicial TA577 al final de January 2023.
¿Por qué el aumento repentino en la cantidad de campañas que aprovechan OneNote para entregar malware? Aunque es difícil señalar una respuesta definitiva, se cree que los actores de amenazas están cambiando a OneNote debido a la decisión de Microsoft de bloquear macros de manera predeterminada en documentos que se originan en Internet. Esta decisión ha llevado a los actores de amenazas a experimentar con varios TTP para omitir las soluciones de detección.
¿Qué hay de nuevo con el malware QBot?
QBot (se abre en una nueva pestaña), también conocido como QakBot (de ahí el nombre de la campaña QakNote), históricamente conocido como troyano bancario, aunque, al igual que muchos de sus pares, desde entonces ha evolucionado hasta convertirse en un malware multifacético que roba información, y ha estado activo durante años.
QBot roba datos confidenciales (se abre en una nueva pestaña) y trabaja para autopropagarse a otros sistemas de la red. QBot ha evolucionado para proporcionar capacidades de ejecución remota de códigos (RCE), lo que permite a los actores de amenazas realizar ataques manuales para lograr objetivos secundarios.
La investigación de Sophos que involucraba archivos .one maliciosos llevó al descubrimiento de malware QBot que se envía a través de este vector de amenaza. QBot parece haber comenzado a aprovechar los documentos .one en los ataques hacia fines de enero. En una campaña observada, el correo electrónico malicioso contenía un enlace, lo que solicitaba a la víctima que descargara un archivo .one malicioso. En esta campaña, el mensaje de correo electrónico era bastante impersonal.
Otra instancia observada siguió tácticas más conocidas por QBot donde el correo electrónico malicioso se inyecta en el medio de una conversación existente. Este subproceso incluía el archivo .one directamente como adjunto.
Independientemente de si el usuario hace clic en un vínculo que lo lleva a OneNote o abre el archivo adjunto directamente, se lo conduce a una página de OneNote que dice: “Este documento contiene archivos adjuntos de la nube, para recibirlos, haga doble clic en [sic] ‘open’”. El botón “abrir” integrado en el documento conduce a un archivo .hta.
Al hacer clic en el botón “abrir” se ejecutará el archivo .hta que recupera una muestra de QBot de un servidor remoto y lo ejecuta. El script code del archivo .hta pasa una dirección URL codificada a la aplicación curl[.]exe, que recupera el archivo en el otro extremo. Las muestras observadas en los servidores exhibían extensiones de archivos de formato de imagen, como .png o .gif, pero en realidad eran DLL. En este caso, la carga útil de malware QBot se inyectó en AtBroker[.]exe, la utilidad de Windows Assistive Technology Manager.
Se observó una característica única en algunos de los cuadernos maliciosos de OneNote. Si hace clic con el botón derecho del mouse y guarda los elementos gráficos en el cuaderno, el cuadro de diálogo se completará previamente con el nombre de archivo que se asignó a la imagen cuando se incorporó inicialmente en el documento. El nombre del archivo en este caso era
“bezymyanny risunok”, que es ruso para “dibujo anónimo”.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Las computadoras portátiles de OneNote permiten a los actores de amenazas incorporar casi cualquier tipo de archivo, desde archivos adjuntos de VBS hasta archivos LNK. Lo que es interesante sobre los actores de amenazas que utilizan OneNote es el paso de ingeniería social agregado. Sí, la ingeniería social ya entra en juego cuando la víctima recibe un correo electrónico de phishing que contiene el enlace o adjunto de OneNote. Sin embargo, se produce un aspecto adicional de ingeniería social cuando el usuario cae en el cuaderno de OneNote y está convencido de hacer clic en el adjunto integrado a través de un llamado a la acción”.
3. El discurso del Estado de la Unión de Biden deja en claro: la privacidad de los datos es imprescindible
En su segundo discurso del Estado de la Unión, el presidente de los EE. UU., Joe Biden, dedicó más atención que nunca a la necesidad inmediata del país de una medida similar en naturaleza al Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE).
Aunque la reglamentación de la UE, promulgada en 2018 , de ninguna manera es perfecta (se abre en una nueva pestaña), su mera existencia deja una larga sombra sobre la falta total de leyes federales integrales de privacidad de datos de los EE. UU. El presidente Biden se tomó un tiempo considerable de su discurso para llamar la atención sobre esta brecha en la doctrina de ciberseguridad del país.
Por qué el panorama político actual puede estar listo para una nueva regulación
Dado que el control del Congreso de los EE. UU. actualmente se divide entre las partes, el presidente Biden señaló que dichas circunstancias podrían ayudar a facilitar el apoyo bipartidista para una ley federal integral de privacidad de datos.
El concepto de tal ley o conjunto de reglamentaciones federales ciertamente ha ganado terreno y ha ganado su cuota justa de seguidores en los últimos años, particularmente tras ciberataques de alto perfil, incluidos aquellos que apuntan a infraestructura crítica, como el ataque de ransomware en Colonial Pipeline (se abre en una nueva pestaña) en mayo de 2021) y esas agencias gubernamentales federales o locales.
¿Un nuevo precedente?
A los ojos de los expertos en seguridad y los expertos en medios de comunicación por igual, la mera mención de la posible promulgación de una ley federal de privacidad de datos en la dirección del Estado de la Unión del presidente Biden (se abre en una nueva pestaña) establece un precedente “que el tema debería ser de verdadera preocupación para los presidentes y el público de los EE. UU.”, según lo expresó WIRED.
Los presidentes anteriores generalmente se han alejado de cualquier conversación sobre la privacidad de los datos en direcciones de esta magnitud y con tan altos grados de visibilidad. De los dos presidentes anteriores, solo uno mencionó el tema, y solo una vez. El presidente Biden ha planteado el problema en ambos discursos de su Estado de la Unión.
En su primer discurso, que tuvo lugar en 2022, el presidente Biden mencionó la privacidad de los datos en el contexto de proteger a los niños y evitar que las grandes empresas tecnológicas recopilaran datos personales. La dirección de este año llevó las cosas más lejos.
El siguiente nivel
Al expandir el concepto que introdujo por primera vez en ese 2022 discurso y proporcionar más información sobre las ciberamenazas que actualmente enfrenta la nación en términos más técnicos, el presidente Biden, ya sea a propósito o no, indicó que el gobierno de los EE. UU. mantiene la comprensión del público sobre la privacidad de los datos y la urgencia con la que la nación debe mejorar su protección en gran consideración.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Los EE. UU. aún carecen de una ley federal de privacidad de datos verdaderamente integral e inclusiva y del marco normativo adjunto. El peor escenario aquí es que simplemente continuamos teniendo un vacío nacional cuando se trata de la ley nacional de privacidad de datos. Como mínimo, las declaraciones del presidente Biden aplican suficiente presión a ambos lados de su administración para hacer rodar la pelota con los legisladores”.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
