Esta semana, destacamos un estudio reciente que sugiere que el 87 % de las bandas de ransomware están utilizando macros maliciosas. Estas estadísticas, recopiladas antes de la implantación de la nueva política de bloqueo de macros de Microsoft, contrastan con un informe de Proofpoint que revela cómo los autores de ataques de phishing se están adaptando a dicha política tras su puesta en marcha. Además, los atacantes están utilizando actualmente la plataforma «Dark Utilities C2 » como servicio en sus campañas de malware. Además, el ransomware LockBit está utilizando indebidamente Windows Defender para cargar Cobalt Strike, lo que constituye otro ejemplo de cómo los ciberdelincuentes recurren cada vez más a técnicas de «living-off-the-land» (LotL) y hacen un uso indebido de herramientas y servicios en la nube de confianza para almacenar y distribuir cargas útiles.
1. Un estudio sobre la dark web sugiere que el 87 % de las bandas de ransomware utilizan macros maliciosas
La empresa de gestión de identidades de máquinas Venafi ha publicado un nuevo estudio que sugiere que el 87 % del ransomware detectado en la dark web se distribuye a través de macros maliciosas para infectar los sistemas objetivo.
Venafi llegó a esta conclusión a través de una investigación conjunta con el proveedor de inteligencia criminal Forensic Pathways, llevada a cabo entre el November 2021 y el March 2022. En el estudio se analizaron 35 millones de direcciones URL de la dark web, incluidas las pertenecientes a mercados y foros de piratería informática. Los investigadores descubrieron 475 páginas web que promocionaban productos y servicios sofisticados de ransomware, y observaron que varios grupos de gran relevancia comercializaban de forma agresiva programas de «ransomware como servicio» (RaaS) entre posibles afiliados.
Un estudio sobre la dark web realizado por @Venafi sugiere que el 87 % de las bandas de ransomware utilizan macros maliciosas. bit.ly/3bFBeUE
Conclusiones clave
Microsoft comenzó a bloquear las macros XL4 y VBA de forma predeterminada para los usuarios de Office en October 2021 y February 2022, respectivamente. (A esto le siguió, pocas semanas después, el anuncio del gigante del software de que iba a suspender temporalmente esa popular política, aunque Microsoft volvió a dar un giro de 180 grados y volvió a aplicar la elogiada política poco después.)
Teniendo en cuenta el momento en que se han producido tanto el estudio como la medida adoptada por Microsoft para reforzar la seguridad de sus productos de Office, no es de extrañar que la principal conclusión destacada por los investigadores de Venafi sea su descubrimiento de que, según los informes, el 87 % del ransomware detectado en la dark web se distribuyó mediante macros maliciosas. No obstante, si se tiene en cuenta el periodo en el que Venafi llevó a cabo su investigación, resulta un poco menos sorprendente, ya que Microsoft no aplicó su nueva política sobre macros hasta algún momento entre abril y junio de 2022 , justo después de que Venafi concluyera su estudio. A pesar de haber desactivado temporalmente la política, Microsoft la volvió a aplicar rápidamente en July 2022.
De hecho, aunque la estadística del « “87 %» de Venafi pueda parecer abrumadora a primera vista, hay que tener en cuenta que, desde que Microsoft puso en marcha la política de bloqueo de macros, el número de campañas que utilizan archivos contenedores —incluidos los formatos ISO y RAR— y los archivos adjuntos de accesos directos de Windows (LNK), ha aumentado casi un 175 %, según un estudio de Proofpoint titulado « » ( ), que analiza cómo se han ido adaptando los autores de ataques de phishing en un mundo «post-macros». He aquí una pista: se están adaptando perfectamente; utilizan archivos contenedores y otros métodos para eludir el mecanismo de seguridad de Microsoft que bloquea las macros.
A continuación se presentan otras conclusiones clave extraídas del estudio de Venafi:
- Se identificaron 30 marcas diferentes de ransomware en los anuncios de las plataformas de venta y en los hilos de los foros.
- Muchas variantes de ransomware que se comercializan —como Babuk, GoldenEye, Darkside/BlackCat, Egregor, HiddenTear y WannaCry— se han utilizado con éxito en ataques de gran repercusión.
- Las variantes de ransomware utilizadas en ataques de gran repercusión alcanzan un precio más elevado por los servicios asociados. Por ejemplo, el anuncio más caro era de 1,262 dólares por una versión personalizada del ransomware Darkside, que se utilizó en el infame ataque con ransomware contra Colonial Pipeline de 2021.
- Los listados de código fuente de programas de ransomware conocidos suelen alcanzar precios más elevados. Por ejemplo, el código fuente de Babuk se vende por 950 dólares y el de Paradise, por 593 dólares. Esto resulta interesante, ya que el código fuente de Babuk se filtró hace mucho tiempo y, desde entonces, ha estado disponible en foros de la dark web.
Los investigadores también han descubierto una amplia gama de servicios y herramientas que facilitan a los atacantes novatos la realización de ataques sofisticados con ransomware. Entre los servicios con mayor número de anuncios se encuentran aquellos que incluyen código fuente, servicios de compilación, servicios de desarrollo a medida y paquetes de ransomware con tutoriales paso a paso.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Este estudio ofrece una visión general de un momento concreto en el que las macros constituían el mecanismo de distribución preferido para una abrumadora mayoría de operaciones de ransomware». No está claro cuál fue el motivo concreto que llevó a Microsoft a adoptar la decisión de aplicar una política para bloquear las macros de forma predeterminada, sobre todo si se tiene en cuenta que el phishing es —y lo ha sido durante años— el principal vector de infección inicial, con innumerables campañas de phishing que utilizan documentos de Microsoft manipulados para fines maliciosos y que contienen macros maliciosas.
Dicho esto, independientemente de los motivos que hayan motivado el momento en que se ha aplicado esta política, hay que felicitar a Microsoft por haber dado un paso proactivo para reducir de forma incalculable la superficie de ataque de las organizaciones de todo el mundo».
2. Los atacantes están utilizando la plataforma «Dark Utilities ‘C2aaS’ » en campañas de malware dirigidas a sistemas Windows y Linux
Un informe reciente del equipo de inteligencia de Cisco Talos analiza la nueva plataforma «Dark Utilities» de , que ofrece a los atacantes funciones completas de mando y control (C2).
Desde su lanzamiento inicial a principios de 2022, los investigadores han observado muestras de malware en circulación que aprovechan la plataforma para facilitar el acceso remoto.
Recientemente ha surgido una nueva plataforma C2 denominada #DarkUtilities , y los atacantes no han tardado en aprovecharla para sus campañas #malware . Esto es lo que sabemos sobre este «C2aaS» cs.co/6012z4Pns
¿Qué es «Dark Utilities»?
Dark Utilities es una nueva plataforma C2 detectada por primera vez a principios de 2022 que ofrece diversos servicios, entre los que se incluyen el acceso remoto a sistemas, capacidades de ataques DDoS y minería de criptomonedas.
La plataforma C2-as-a-service (C2aaS) proporciona a los adversarios una serie de cargas útiles que pueden ejecutarse en los sistemas de las víctimas, lo que permite al atacante registrarse en el servicio y establecer un canal C2 .
Actualmente, Dark Utilities es compatible con Windows, Linux y cargas útiles basadas en Python, lo que facilita aún más a los atacantes atacar múltiples plataformas. Esto también concuerda con las investigaciones actuales, que demuestran que las plataformas de malware más versátiles (capaces de atacar múltiples sistemas operativos) resultan más atractivas para los autores de amenazas y tienen más éxito en los mercados de la dark web.
En la actualidad, la plataforma cuenta con unos 3,000 usuarios registrados, que pagan 9.99 € (10.21 $) por el acceso a la plataforma, las cargas útiles y los puntos finales de la API. El operador de la plataforma también ha creado comunidades en Discord y Telegram para ofrecer soporte técnico y asistencia a sus clientes.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El bajo precio de esta plataforma C2 , junto con su amplia variedad de funciones, hace que Dark Utilities resulte muy atractiva para los autores de amenazas que buscan una forma sencilla de cometer delitos cibernéticos de cualquier tipo».
Ya podemos apreciar el éxito que está teniendo este curso C2aaS , con 3,000 usuarios inscritos en tan solo unos pocos meses. Aún más destacable es el uso que hace la plataforma del Sistema de Archivos Interplanetario (IPFS) para alojar sus cargas maliciosas. Tal y como ya ha informado CTI, los autores de amenazas recurren cada vez más a las URL e infraestructura de IPFS para alojar cargas maliciosas, debido a sus capacidades de almacenamiento distribuido descentralizado y entre pares (P2P). IPFS facilita el almacenamiento y el intercambio de contenidos maliciosos y, debido a su estructura, es muy resistente a las interferencias por parte de las fuerzas del orden.
«CTI prevé que los ciberdelincuentes sigan recurriendo cada vez más a las URL asociadas a IPFS».
3. El ransomware LockBit se aprovecha de Windows Defender para cargar Cobalt Strike
Un nuevo estudio de SentinelOne revela que el grupo de ciberdelincuentes « », en el marco de la operación «LockBit 3.0 » ( ), está haciendo un uso indebido de la herramienta de línea de comandos de Windows Defender para instalar de forma paralela archivos DLL maliciosos que descifran e instalan balizas de Cobalt Strike en los sistemas comprometidos.
El ransomware LockBit 3.0 , también conocido como , LockBit Black, es una evolución del modelo de ransomware como servicio (RaaS) de LockBit. Al parecer, LockBit 3.0 se creó en torno a June 2022 después de que se descubrieran errores críticos en la versión 2.0 de LockBit.
La nueva versión incluye varias novedades y mejoras:
- Con el fin de mejorar la resiliencia, los operadores han adoptado una estrategia agresiva a la hora de poner en marcha múltiples servidores espejo para los datos filtrados y de dar a conocer las URL de los sitios web. La organización también ha incorporado una herramienta de búsqueda instantánea a su página web dedicada a la divulgación de información (una tendencia sobre la que CTI ya había informado anteriormente y que, según había pronosticado, se extendería como la pólvora entre las operaciones de extorsión y ransomware —y así ha sido—).
- Se han introducido nuevas funciones de gestión para los afiliados del RaaS.
- Se ha añadido Zcash como medio de pago para las víctimas, además de Monero y Bitcoin.
- Consigue la persistencia mediante la instalación de servicios del sistema. Cada vez que se ejecuta la carga útil, se instalan varios servicios.
- Crea una copia de sí mismo en el directorio %programdata% y se ejecuta desde ese proceso.
- Nuevas técnicas contra el análisis, entre las que se incluyen la compresión de código, la ofuscación y la resolución dinámica de direcciones de funciones, los trampolines de funciones y las técnicas de depuración.
Ahora, SentinelOne ha observado que LockBit utiliza una herramienta legítima, Windows Defender, para cargar balizas de Cobalt Strike.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No está claro por qué LockBit ha optado por utilizar Windows Defender para instalar de forma no oficial los beacons de Cobalt Strike, pero lo más probable es que se trate de un intento de eludir las soluciones de seguridad habituales». Es importante que las organizaciones sean conscientes de que los autores de amenazas están utilizando (y han venido utilizando) herramientas legítimas para facilitar la carga de balizas de Cobalt Strike, y se trata de una tendencia cuyo aumento ha observado recientemente el CTI. Aunque no guarda relación directa con este caso, otro ejemplo destacable es que otros actores maliciosos también están haciendo un uso cada vez más indebido de recursos en la nube de confianza y de acceso público para almacenar y distribuir malware. Las organizaciones deben supervisar los cambios que se produzcan en sus herramientas de seguridad críticas y evitar pasar por alto actividades sospechosas derivadas de herramientas legítimas, simplemente por el hecho de que se trate de herramientas de confianza. Lo mismo ocurre con los servicios en la nube de confianza en los que las empresas se apoyan para llevar a cabo sus operaciones diarias».
Detecte las amenazas cibernéticas con Tanium
Los piratas informáticos están trabajando sin descanso para lanzar ataques sofisticados y selectivos contra empresas de todos los sectores. Las empresas deben pasar a la ofensiva y detectar las amenazas antes de que afecten a sus operaciones.
Nuestra plataforma de gestión convergente de terminales (XEM) facilita esta tarea, ya que ofrece funciones avanzadas de detección proactiva de amenazas. Para conocer nuestra plataforma en acción, pruébela hoy mismo en.
