En el resumen de esta semana, CTI analiza un informe de Trend Micro que aborda la anterior desarticulación de LockBit por parte de las fuerzas del orden, incluido su análisis de una versión del ransomware que se encontraba en fase de desarrollo en el momento de dicha desarticulación. A continuación, CTI analiza un informe reciente de Sophos en el que se evalúa el impacto de los ataques de ransomware. Por último, CTI concluye con una descripción general de un actor malicioso conocido como Earth Freybug, que está utilizando un nuevo malware denominado UNAPIMON.
1. El impacto de las fuerzas del orden en LockBit
Trend Micro ha publicado un informe en el que se analiza la anterior intervención de las fuerzas del orden contra LockBit, incluyendo detalles sobre cómo LockBit siguió operando tras dicha intervención. El informe incluye asimismo un análisis de una versión del ransomware LockBit que se encontraba en fase de desarrollo en el momento en que se produjo la interrupción.
Acerca del desmantelamiento de LockBit
Los sitios web de filtraciones de datos asociados a y LockBit comenzaron a mostrar un mensaje de error 404 en February 19. Este fue el resultado de la Operación Cronos, una operación policial destinada a desmantelar la infraestructura de LockBit.
Una hora después de que Trend Micro detectara este mensaje de error en el sitio web, este volvió a estar disponible con una página de bienvenida de las fuerzas del orden en la que se confirmaba que los sitios web estaban bajo el control de las fuerzas del orden. A continuación, las fuerzas del orden actualizaron el sitio web para que imitara la página habitual de LockBit, pero incluyeron contenido relacionado con comunicados de prensa, autos de acusación y detenciones.
En esta página, las fuerzas del orden también hicieron referencia a LockBitSupp, el supuesto cerebro detrás de LockBit, y señalaron que la cuenta había sido expulsada de foros de ciberdelincuencia como Exploit y XSS. En la página también se incluía un comunicado en el que se indicaba que se pondrían a disposición de las víctimas las claves de descifrado.
Las fuerzas del orden procedieron a filtrar detalles del panel de administración y revelaron que habían podido acceder a los chats entre los colaboradores y las víctimas, lo que les ayudó a identificar a estas últimas. Pudieron identificar 193 cuentas de afiliados, además de varias cuentas de prueba y la cuenta de administrador.
Acerca de LockBit-NG-Dev
Trend Micro ha obtenido y analizado una muestra de LockBit-NG-Dev, que, según consideran, es otra versión del ransomware que se encuentra en fase de desarrollo.
El análisis de Trend Micro sobre esta versión también se publicó en , en la página web de filtraciones , que fue incautada por las fuerzas del orden. Esta versión se diferenciaba de las variantes anteriores de LockBit en que estaba escrita en .NET, se compilaba mediante CoreRT y era independiente de la plataforma.
Actividad de LockBit tras la interrupción
En respuesta a esta interrupción, LockBitSupp anunció que tenía previsto crear nuevas páginas «Onion». En un foro clandestino, el grupo reveló que estaba buscando adquirir dominios .gov, .edu y .org, lo que indica su intención de atacar a organizaciones gubernamentales.
La nueva página de filtraciones de LockBit parecía prometedora, pero, dado que LockBitSupp seguía estando prohibido en varios foros, no parecía que fuera a despegar. Tras la interrupción, se produjo un descenso muy evidente en el número real de ataques de LockBit.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
LockBit intentó mantenerse a flote tras una intervención de las fuerzas del orden, llegando incluso a volver a publicar datos antiguos en su página web y a modificar el árbol de archivos para que pareciera que se había actualizado recientemente. Esta acción coordinada entre múltiples cuerpos de seguridad fue fundamental para garantizar que LockBit no pudiera reanudar inmediatamente sus operaciones habituales.
Sin embargo, esto no significa que LockBit no vaya a reaparecer nunca. Al fin y al cabo, las agencias no siempre logran acabar por completo con los ciberdelincuentes y, en ocasiones, solo consiguen frenarlos durante un breve periodo de tiempo. También conviene recordar que los grupos maliciosos suelen cambiar de nombre, lo que significa que los sofisticados creadores y afiliados de LockBit podrían seguir en activo.
2. Las vulnerabilidades sin parchear contribuyen a los ataques de ransomware
Un informe reciente de Sophos analiza el impacto « » de los ataques de ransomware y revela que aquellos que se deben a la explotación de vulnerabilidades sin parchear tienen un mayor impacto en comparación con los que se deben al uso de credenciales comprometidas.
El informe analiza cómo los resultados de los ataques suelen variar en función de la causa principal, comparando el impacto financiero, el impacto operativo y la gravedad general.
Ataques de ransomware derivados de vulnerabilidades sin parchear
Sophos ha constatado que aproximadamente el 32 % de los ataques de ransomware comienzan con la explotación de una vulnerabilidad sin parchear.
Esta cifra varía al analizar cada sector por separado; en los sectores con mayor incidencia (energía, petróleo y gas, y servicios públicos), el 49 % de los ataques de ransomware se originan a partir de vulnerabilidades.
Sophos también ha constatado que este porcentaje aumenta en función del tamaño de la organización, lo cual suele deberse a que las organizaciones más grandes cuentan con más servicios de ataque y, por lo tanto, con más tecnologías que mantener.
Mayor gravedad
Como se ha señalado, Sophos ha constatado que los ataques de ransomware derivados de la explotación de una vulnerabilidad son más graves, sobre todo en lo que respecta a la vulneración de las copias de seguridad, el cifrado de datos y el pago de rescates.
- El 75 % de los ataques de ransomware que intentaron comprometer las copias de seguridad tuvieron éxito cuando el ataque se inició aprovechando una vulnerabilidad, en comparación con aquellos que comenzaron con credenciales comprometidas.
- El 67 % de los ataques dieron lugar al cifrado de datos cuando se iniciaron aprovechando una vulnerabilidad, frente al 43 % de los que se iniciaron a partir de credenciales comprometidas.
- El 71 % de las organizaciones afectadas sufrieron el cifrado de sus datos cuando el ataque se inició aprovechando una vulnerabilidad, frente a solo el 45 % de los casos en los que el ataque se inició mediante el uso de credenciales robadas.
Mayor impacto financiero y operativo
No debería sorprenderle que el hecho de que su entorno presente vulnerabilidades sin parchear pueda suponer un riesgo para su organización. Sophos ha constatado que los ataques de ransomware que se inician aprovechando una vulnerabilidad tienen un mayor impacto financiero y operativo que aquellos que comienzan a partir de credenciales comprometidas.
La encuesta reveló que la causa principal no modificó el importe total del pago del rescate, pero sí influyó en quién financió dicho pago. Por ejemplo, el 31 % de las organizaciones sufragó íntegramente los gastos con recursos propios cuando el ataque se originó a raíz de una vulnerabilidad, frente a solo el 2 % cuando el ataque se originó a raíz de credenciales comprometidas.
Desde el punto de vista operativo, el 45 % de las organizaciones atacadas tardó más de un mes en recuperarse cuando el ataque se inició a raíz de la explotación de una vulnerabilidad, y el 37 % tardó más de un mes cuando se inició a raíz del robo de credenciales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Sophos ha incluido sus propias recomendaciones para protegerse contra los ataques de ransomware derivados de vulnerabilidades sin parchear, pero, en realidad, todo se reduce a una sola cosa: gestión de parches.
La aplicación de parches, especialmente si se realiza a tiempo, resulta fundamental para ayudar a reducir el riesgo de ataques de ransomware y otros ciberataques. Dado que no todos los ataques de ransomware se originan a partir de vulnerabilidades, resulta igualmente importante contar con una supervisión continua que permita responder a todo tipo de actividades sospechosas.
Tal y como señala Sophos, «la tecnología por sí sola no puede detener todos los ataques», por lo que es imprescindible contar con defensores cualificados.
3. Earth Freybug distribuye el malware UNAPIMON
Se ha observado que un actor conocido como « » Earth Freybug (un subconjunto de perteneciente a APT41) utilizaba un nuevo programa malicioso denominado UNAPIMON.
El actor recurre a técnicas de «living-off-the-land» junto con malware personalizado, como el nuevo UNAPIMON, para llevar a cabo sus actividades de espionaje. En la última campaña, el actor utilizó técnicas como el secuestro de DLL y el desenganche de API.
Flujo de ataque de UNAPIMON
El ataque comienza mediante un proceso denominado «vmtoolsd.exe», que crea una tarea programada que, a su vez, ejecuta un archivo por lotes previamente instalado en el equipo remoto.
Los procesos utilizados en la secuencia de ataque son componentes legítimos de VMware y Windows.
Reconocimiento
Una vez que se activa la tarea programada, se ejecuta en el equipo remoto un archivo por lotes que se había instalado previamente.
El archivo por lotes ejecuta varios comandos para recopilar información sobre el sistema infectado y la almacena en un archivo de texto. A continuación, se configura otra tarea programada para ejecutar otro archivo por lotes e iniciar una puerta trasera.
Carga lateral de DLL
El segundo archivo por lotes utiliza un servicio denominado «SessionEnv» para cargar una biblioteca inexistente con el fin de instalar de forma no autorizada un archivo DLL malicioso. Como parte del proceso, se descarga un archivo DLL que se ha identificado como malware UNAPIMON.
Análisis detallado del malware UNAPIMON
UNAPIMON es un malware de tipo DLL bastante básico, ya que no está empaquetado ni ofuscado. El malware cuenta con varias técnicas que impiden la supervisión de los procesos secundarios.
Una vez cargado, crea un objeto de evento para la sincronización e inicia el hilo de enganche. Se instalará un hook mediante Microsoft Detours, un paquete de código abierto de Microsoft que se utiliza para supervisar e instrumentar llamadas a la API en dispositivos Windows. Esto redirigirá las llamadas procedentes de un proceso en el que se haya cargado la DLL hacia el «hook»; por lo tanto, su objetivo principal es desenganchar las funciones críticas de la API en los procesos secundarios.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este actor malicioso lleva mucho tiempo en activo y ha seguido teniendo éxito gracias a su capacidad para adaptar sus TTP.
Como demuestra este último ataque, las técnicas sencillas pueden resultar increíblemente eficaces para los autores de las amenazas y, al mismo tiempo, dificultar que los defensores las identifiquen.
Muchos autores de amenazas están adoptando esta mentalidad de «volver a lo básico», ya que ha demostrado ser eficaz.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
