Esta semana, CTI analiza en detalle la campaña de ransomware ESXiArgs, que está creciendo rápidamente y que está cifrando miles de servidores ESXi. A continuación, analizamos una tendencia al alza en la que los autores de amenazas distribuyen malware a través de archivos de OneNote, un método de distribución que antes era poco habitual. Por último, concluimos con un artículo de inteligencia de carácter más estratégico, centrado en las recientes declaraciones del presidente Biden, realizadas durante su segundo discurso sobre el Estado de la Unión, acerca de la urgente necesidad que tiene el país de contar con una ley federal integral sobre la protección de datos.
1. Un ataque masivo del ransomware ESXiArgs afecta a servidores VMware ESXi de todo el mundo
Según un boletín del CERT-FR francés, , los atacantes están dirigiendo sus ataques de forma activa contra servidores VMware ESXi (se abre en una nueva pestaña) —centrándose, al parecer, en servidores que siguen sin parches y son vulnerables a CVE-2021-21974 (se abre en una nueva pestaña) (una vulnerabilidad de ejecución remota de código de hace dos años)— en el marco de una campaña generalizada en la que se utiliza el ransomware ESXiArgs, relativamente desconocido.
En el momento de redactar este informe, el seguimiento de realizado por Censys (se abre en una nueva pestaña) había contabilizado 3,200 servidores comprometidos (ubicados en Canadá, Francia, Finlandia, Alemania y EE. UU.), cifra que seguía aumentando. Los investigadores señalan que es probable que el número de víctimas sea mayor, ya que los motores de búsqueda en Internet solo ofrecen una instantánea —o un análisis en un momento determinado— y los dispositivos se desconectan periódicamente de la red para su reparación entre un análisis y otro.
Nuevo ransomware ESXiArgs
Según una entrada publicada en el blog «TheRecord» de Recorded Future, el ransomware utilizado en la campaña se conoce como ESXiArgs, ya que el malware crea un archivo adicional con la extensión .args tras el cifrado del documento. Este archivo contiene información sobre cómo descifrar el documento de la víctima.
La variante de ransomware implicada en la campaña parecía, en un principio, estar relacionada con la familia de ransomware Nevada —una teoría difundida en una entrada de blog publicada por el proveedor francés de alojamiento en la nube OVHcloud (se abre en una nueva pestaña) (una empresa cuyos clientes se encuentran entre las víctimas afectadas por esta campaña). Sin embargo, esta hipótesis acabó siendo desmentida. También se han observado similitudes entre ESXiArgs y el ransomware Babuk, ya que ambos utilizan el mismo algoritmo de cifrado (Sosemanuk); sin embargo, las diferencias en la estructura del código del malware han puesto en duda esta posibilidad.
Arctic Wolf (se abre en una nueva pestaña) afirma que, a juzgar por la nota de rescate, es probable que la campaña sea obra de un único actor malicioso o de un grupo. Esta hipótesis se debe al carácter no selectivo de la campaña, a la probable ausencia de un reconocimiento previo a la operación sobre las víctimas y a la demanda de extorsión relativamente baja de los atacantes, que asciende a dos bitcoins. Cada nota cuenta, además, con un identificador Tox idéntico, que las víctimas utilizan para comunicarse con el autor de la amenaza. Un «Tox ID» se utiliza para añadir personas a las listas de contactos dentro de la plataforma de mensajería Tox Chat.
Dejando a un lado la atribución, OVHcloud ha podido identificar las siguientes características de comportamiento a partir de los incidentes relacionados con ESXiArgs que han sufrido sus clientes:
- Se ha confirmado que el vector de compromiso aprovecha una vulnerabilidad de OpenSLP que podría ser la CVE-2021-21974 (aún por confirmar). Los registros indican que el usuario «dcui» está implicado en el proceso de compromiso de seguridad.
- El cifrado utiliza una clave pública que el malware almacena en /tmp/public.pem.
- El proceso de cifrado se centra específicamente en los archivos de las máquinas virtuales (.vmdk, .vmx, .vmxf, .vmsd, .vmsn, .vswp, .vmss, .nvram y .vmem).
- El malware intenta apagar las máquinas virtuales terminando el proceso VMX para desbloquear los archivos. Esta función no funciona sistemáticamente como se esperaba, lo que provoca que algunos archivos permanezcan bloqueados.
- El malware crea el archivo «argsfile» para almacenar los argumentos que se pasan al binario cifrado (número de MB que se deben omitir, número de MB por bloque de cifrado y tamaño del archivo).
- No se produjo ninguna filtración de datos.
Según se ha informado, Michael Gillespie, de ID Ransomware, analizó una copia del cifrador ESXiArgs de ,, y declaró a BleepingComputer que, lamentablemente, se trata de un cifrador seguro que no presenta fallos criptográficos que pudieran permitir su descifrado.
Propagación
Los investigadores creen que ESXiArgs se está propagando mediante la explotación de CVE-2021-21974 (se abre en una nueva pestaña), una vulnerabilidad de seguridad de hace dos años relacionada con un problema de desbordamiento del montón en el servicio OpenSLP, lo que, en esencia, hace que los hipervisores ESXi sin parches sean vulnerables a actores maliciosos no autenticados en ataques de baja complejidad.
No se trata de una vulnerabilidad de día cero
El February 6, 2023, VMware publicó un aviso en el que instaba a los administradores a aplicar parches a los servidores ESXi y a desactivar el servicio OpenSLP; la empresa se encargó de confirmar que los atacantes no estaban aprovechando una vulnerabilidad de día cero para propagar el ransomware ESXiArgs.
En esencia, VMware verificó que la campaña a gran escala se debía, de hecho, a que los autores del ransomware tenían como objetivo servidores ESXi expuestos a Internet y sin parches. VMware ha señalado que este servicio está desactivado de forma predeterminada (se abre en una nueva pestaña)en las versiones del software ESXi publicadas a partir de la 2021.
¿Qué se ve afectado?
VMWare describe ESXi (se abre en una nueva pestaña) como un «hipervisor bare-metal… con acceso directo y control sobre los recursos subyacentes», lo que ofrece acceso a archivos críticos y permite a los atacantes alterar una amplia gama de recursos del usuario.
Según informa BleepingComputer, la vulnerabilidad CVE-2021-21974 afecta a los siguientes sistemas:
- Versiones de ESXi 7.x anteriores a la ESXi70U1c-17325551
- Versiones de ESXi 6.7.x anteriores a la ESXi670-202102401-SG
- Versiones de ESXi 6.5.x anteriores a la ESXi650-202102101-SG
En febrero de 2021 se publicó un parche para la versión CVE-2021-21974 . En la actualidad, los organismos gubernamentales y los investigadores en materia de seguridad están instando a los administradores de red a que actualicen de inmediato cualquier servidor que no cuente con los parches correspondientes.
Segunda oleada de ataques del ransomware ESXiArgs; se cuestiona el vector de acceso inicial
En la última actualización, lo que parece ser una segunda oleada de ataques del ransomware ESXiArgs presenta una versión revisada del malware y cifra un volumen de datos mucho mayor, lo que, en última instancia, dificulta considerablemente —si no imposibilita— que los equipos de respuesta recuperen las máquinas virtuales VMware ESXi cifradas.
El blog sobre ciberseguridad BleepingComputer afirma que se enteró por primera vez de la segunda oleada de ataques después de que un administrador publicara en el hilo del foro «» de EXSiArgs Support del blog el enlace.
Los profesionales de la seguridad también están cuestionando ahora la validez de la afirmación, ampliamente aceptada, de que el vector de infección inicial de la campaña es, de hecho, la explotación de servidores VMware ESXi que no han sido parcheados y que siguen siendo vulnerables a CVE-2021-21974 (se abre en una nueva pestaña).
Nueva versión de ESXiArgs
Tras analizar muestras de la nueva variante del ransomware, BleepingComputer habría descubierto que, si bien el cifrador de ESXiArg no había cambiado, la parte del código de la rutina de cifrado que determinaba la cantidad de datos cifrados sí se había modificado, lo que, en esencia, hacía que el cifrador alternara entre cifrar 1MB de datos y omitir 1MB de datos. Esto significa que todos los archivos que superen los 128MB tienen ahora el 50 % de sus datos cifrados, lo que los hace prácticamente irrecuperables.
Además, estas modificaciones impiden que las herramientas de recuperación publicadas por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) a través de i, su página de GitHub (se abre en una nueva pestaña),y en respuesta a la primera oleada de ataques permitan recuperar con éxito los sistemas cifrados, ya que se habrá cifrado una cantidad de datos demasiado grande como para que resulten útiles.
Es más, la nota de rescate ya no incluye una dirección de Bitcoin. Probablemente se trató de un intento por parte de los operadores de ESXiArg de evitar que los investigadores de seguridad pudieran rastrear los pagos de rescates.
¿Es la CVE-2021-21974 la verdadera culpable?
Según un artículo reciente de publicado en el blog de Greynoise (se abre en una nueva pestaña), es posible que los investigadores de seguridad se hayan precipitado un poco en sus conclusiones al vincular la campaña del ransomware ESXiArgs con la explotación del CVE-2021-21974.
Según la publicación:
Es posible que se haya exagerado la relación entre CVE-2021-21974 (se abre en una nueva pestaña) y la campaña de ransomware. Por el momento, desconocemos cuál es el vector de acceso inicial, y es posible que se trate de cualquiera de las vulnerabilidades relacionadas con el servicio OpenSLP de ESXi.
La comunidad de seguridad parece estar centrando su atención en una única vulnerabilidad. En GreyNoise consideramos que « CVE-2021-21974 » tiene sentido como vector de acceso inicial, pero no tenemos constancia de ninguna fuente de primera mano que confirme que ese sea el caso. Animamos a los responsables de la seguridad a que se mantengan alerta y no se fíen ciegamente de lo que digan todos los proveedores (incluidos nosotros).
Esta afirmación se ve respaldada por el hecho de que, según se ha informado, varias víctimas han afirmado que OpenSLP estaba desactivado en sus dispositivos y que, a pesar de ello, sufrieron una filtración y sus datos fueron cifrados. No obstante, la pregunta sigue siendo: ¿cómo llegó la comunidad de seguridad, en primer lugar, a atribuir la campaña ESXiArgs a un CVE concreto?
Una entrada de blog de October 2022 (se abre en una nueva pestaña) publicada por Juniper Networks ponía de manifiesto el riesgo de abuso de las diversas vulnerabilidades de OpenSLP que existen en diferentes versiones de ESXi. Aunque en la publicación no se llegó a atribuir una vulnerabilidad concreta a un caso de explotación exitosa, sí se proporcionaron detalles sobre la puerta trasera que se instaló tras la explotación en los incidentes observados.
En resumen, existen numerosas vulnerabilidades de OpenSLP en varias versiones de ESXi, entre las que se incluyen: CVE-2021-21974 (se abre en una nueva pestaña), CVE-2020-3992 y CVE-2019-5544 (se abre en una nueva pestaña). Es muy probable que varias de ellas hayan sido explotadas en el pasado para instalar una puerta trasera maliciosa, tal y como ha informado Greynoise, y, aunque «ninguna fuente oficial ha atribuido concretamente ningún CVE como vector de acceso inicial de la campaña ESXiArgs», los investigadores de seguridad parecen haber coincidido en que estos hechos son suficientemente concluyentes por sí mismos, lo que les permite dar el paso de señalar a CVE-2021-21974 como el misterioso vector de acceso inicial del ransomware ESXiArgs.
Un análisis en profundidad recientemente actualizado de sobre ESXiArgs (se abre en una nueva pestaña), publicado por Censys, señala lo siguiente, lo que arroja más dudas sobre la posibilidad de que OpenSLP sea la vía de ataque utilizada por los atacantes:
«Tal y como informamos ayer, no parece que OpenSLP sea el método de ataque, dado que en varios de los servidores comprometidos no se estaba ejecutando SLP».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Este último acontecimiento pone de relieve, tanto para los profesionales de la seguridad como para los analistas de inteligencia sobre amenazas cibernéticas, la importancia de no sacar conclusiones precipitadas, sobre todo cuando dichas afirmaciones no se basan en testimonios de primera mano ni en la información facilitada por los proveedores afectados». Actuar así solo sirve para alimentar el miedo, la incertidumbre y la duda en una situación que ya de por sí es grave. La verdad siempre acaba saliendo a la luz. «Por lo general, es solo cuestión de tiempo».
«El hecho de que la nueva variante de ESXiArgs pueda hacer que los sistemas afectados resulten prácticamente irrecuperables debería servir para poner de relieve la importancia de identificar los sistemas expuestos o vulnerables y protegerlos de inmediato.» «Independientemente de si la CVE-2021-21974 es o no la vía de acceso de los responsables de esta campaña, la presencia de una vulnerabilidad RCE de hace dos años en máquinas virtuales ESXi sin parches supone un riesgo innecesario».
2. Los nuevos ataques de QakNote propagan el malware QBot a través de archivos de Microsoft OneNote
Sophos ha detectado un nuevo ataque a gran escala, denominado «QakNote», que propaga el malware QBot de a través de archivos de Microsoft OneNote. (se abre en una nueva pestaña)
Tendencia al alza: el uso de archivos de OneNote para distribuir malware
Las empresas de seguridad llevan ya algún tiempo haciendo un seguimiento del aumento del malware que se distribuye a través de archivos .one de OneNote. Hasta hace poco, los ciberdelincuentes rara vez recurrían a esta táctica. Sin embargo, en « January 2023», , Proofpoint observó más de 50 campañas de OneNote (se abre en una nueva pestaña) que distribuían diversas cargas maliciosas, entre ellas AsyncRAT, Redline, AgentTesla y Doubleback. Reviste especial interés el uso de documentos de OneNote para distribuir QBot a través del «Initial Access Broker TA577 » al final de January 2023.
¿A qué se debe este repentino aumento en el número de campañas que utilizan OneNote para distribuir malware? Aunque resulta difícil dar una respuesta definitiva, se cree que los autores de amenazas están recurriendo a OneNote debido a la decisión de Microsoft de bloquear las macros de forma predeterminada en los documentos procedentes de Internet. Esta decisión ha llevado a los autores de amenazas a probar diversas tácticas, técnicas y procedimientos (TTP) para eludir las soluciones de detección.
¿Qué novedades presenta el malware QBot?
QBot (se abre en una nueva pestaña), también conocido como QakBot (de ahí el nombre de la campaña, «QakNote»), es conocido históricamente como un troyano bancario —aunque, al igual que muchos de sus homólogos, ha evolucionado desde entonces hasta convertirse en un malware multifacético dedicado al robo de información— y lleva años activo.
QBot sustrae datos confidenciales (se abre en una nueva pestaña) y se propaga de forma autónoma a otros sistemas de la red. QBot ha desarrollado para ofrecer capacidades de ejecución remota de código (RCE), lo que permite a los autores de amenazas llevar a cabo ataques manuales con el fin de alcanzar objetivos secundarios.
Una investigación de Sophos sobre archivos .one maliciosos condujo al descubrimiento del malware QBot, que se propagaba a través de este vector de amenaza. Parece que QBot ha comenzado a utilizar documentos .one en sus ataques a finales de enero. En una campaña observada, el correo electrónico malicioso contenía un enlace que incitaba a la víctima a descargar un archivo malicioso con extensión .one. En esta campaña, el mensaje de correo electrónico resultaba bastante impersonal.
En otro caso observado se siguió una táctica más habitual en QBot, en la que el correo electrónico malicioso se inserta en medio de una conversación ya existente. En este hilo se incluía el archivo .one directamente como archivo adjunto.
Independientemente de si el usuario hace clic en un enlace que le lleva al documento de OneNote o abre el archivo adjunto directamente, se le redirige a una página de OneNote en la que se indica: «Este documento contiene archivos adjuntos de la nube; para recibirlos, haga doble clic [sic] en “Abrir”». El botón «Abrir» incluido en el documento lleva a un archivo .hta.
Al hacer clic en el botón «Abrir», se ejecutará el archivo .hta, que descarga una muestra de QBot desde un servidor remoto y la ejecuta. El código del script del archivo .hta pasa una URL fija a la aplicación curl[.]exe, que recupera el archivo del otro extremo. Las muestras detectadas en los servidores presentaban extensiones de archivo propias de formatos de imagen, como .png o .gif, pero en realidad eran archivos DLL. En este caso, la carga útil del malware QBot se inyectó en AtBroker[.]exe, la utilidad «Administrador de tecnologías de asistencia» de Windows.
Se observó una característica singular en algunos de los cuadernos maliciosos de OneNote. Si hace clic con el botón derecho del ratón y guarda los elementos gráficos del cuaderno, en el cuadro de diálogo aparecerá automáticamente el nombre de archivo que se asignó a la imagen cuando se incrustó por primera vez en el documento. El nombre del archivo en este caso era «
bezymyanny risunok», que en ruso significa «dibujo anónimo».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Los cuadernos de OneNote permiten a los autores de amenazas incrustar prácticamente cualquier tipo de archivo, desde archivos adjuntos VBS hasta archivos LNK». Lo que resulta interesante del uso de OneNote por parte de los autores de amenazas es el paso adicional de ingeniería social. Sí, la ingeniería social ya entra en juego cuando la víctima recibe un correo electrónico de phishing de que contiene el enlace o el archivo adjunto de OneNote. Sin embargo, se produce un aspecto adicional de ingeniería social cuando el usuario accede al cuaderno de OneNote y se le convence de que haga clic en el archivo adjunto incrustado mediante alguna llamada a la acción».
3. El discurso de Biden sobre el Estado de la Unión lo deja claro: la protección de datos es imprescindible
En su segundo discurso sobre el estado de la Unión, el presidente de los Estados Unidos, Joe Biden, prestó más atención que nunca a la necesidad inmediata del país de contar con una normativa de carácter similar al Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE).
Si bien el reglamento de la UE —promulgado en 2018 — no es, en absoluto, perfecto (se abre en una nueva pestaña), su mera existencia proyecta una larga sombra sobre la ausencia total de leyes federales integrales en materia de protección de datos en EE. UU. El presidente Biden dedicó una parte considerable de su discurso a llamar la atención sobre esta laguna en la doctrina de ciberseguridad del país.
Por qué el panorama político actual podría ser propicio para una nueva normativa
Dado que el control del Congreso de los Estados Unidos se encuentra actualmente repartido entre distintos partidos, el presidente Biden señaló que tales circunstancias podrían contribuir a facilitar el apoyo bipartidista a una ley federal integral sobre la protección de datos.
El concepto de una ley o un conjunto de normas federales de este tipo ha ganado sin duda terreno y ha conseguido un número considerable de partidarios en los últimos años, especialmente a raíz de ciberataques de gran repercusión, incluidos aquellos dirigidos contra infraestructuras críticas, como el ataque con el ransomware «» contra Colonial Pipeline (se abre en una nueva pestaña) en mayo de 2021, y aquellos dirigidos contra organismos gubernamentales federales o locales.
¿Un nuevo precedente?
A juicio tanto de los comentaristas de los medios de comunicación como de los expertos en seguridad, la mera mención de la posible promulgación de una ley federal de protección de datos en el discurso sobre el Estado de la Unión del presidente Biden (se abre en una nueva pestaña) sienta un precedente «que indica que este tema debería ser motivo de verdadera preocupación para los presidentes de EE. UU. y para la ciudadanía», tal y como señaló la revista WIRED.
Los presidentes anteriores solían evitar cualquier referencia a la privacidad de los datos en discursos de esta envergadura y con tal grado de visibilidad. De los dos presidentes anteriores, solo uno mencionó el tema, y solo una vez. El presidente Biden ha abordado esta cuestión en sus dos discursos sobre el estado de la Unión.
En su primer discurso, pronunciado en 2022, el presidente Biden se refirió a la protección de datos en el contexto de la protección de los menores y de la prevención de que las grandes empresas tecnológicas recopilen datos personales. El discurso de este año fue aún más allá.
El siguiente nivel
Al profundizar en el concepto que presentó por primera vez en aquel discurso del 2022 y al ofrecer una visión más detallada de las amenazas cibernéticas a las que se enfrenta actualmente el país en términos más técnicos, el presidente Biden —ya sea de forma intencionada o no— dejó claro que el Gobierno de los Estados Unidos valora enormemente la percepción que tiene la ciudadanía sobre la privacidad de los datos y la urgencia con la que el país debe mejorar su protección.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Estados Unidos sigue careciendo de una ley federal sobre protección de datos verdaderamente exhaustiva e inclusiva, así como del marco normativo correspondiente. En este caso, la peor de las situaciones sería que simplemente siguiéramos teniendo un vacío normativo a nivel nacional en lo que respecta a la legislación sobre protección de datos. «Como mínimo, las declaraciones del presidente Biden ejercen la presión suficiente sobre ambas partes de su Gobierno para que se ponga en marcha el proceso con los legisladores».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
