En el resumen de esta semana, CTI analiza el reciente aumento de la actividad del ransomware Medusa y las últimas tácticas de este grupo. A continuación, CTI explica cómo los programas de robo de información se están centrando cada vez más en macOS. Por último, CTI concluye con un resumen de un aviso conjunto sobre ciberseguridad emitido por la Oficina Federal de Investigación (FBI) y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), cuyo objetivo era difundir los indicadores de compromiso (IOC) y las tácticas, técnicas y procedimientos (TTP) conocidos asociados a los actores maliciosos que utilizan el malware Androxgh0st .
1. El ransomware Medusa se centra ahora en la extorsión
Los investigadores de Palo Alto Networks han detectado un aumento de la actividad del ransomware « » y «Medusa» (se abre en una nueva pestaña) , así como un cambio en las tácticas empleadas por el grupo.
El ransomware Medusa está orientándose hacia la extorsión con la ayuda de su sitio web , el blog de Medusa (se abre en una nueva pestaña),y , que el grupo utiliza para filtrar los datos sustraídos. La estrategia de extorsión múltiple de esta operación ofrece a las víctimas varias opciones entre las que elegir, como una prórroga del plazo, la eliminación de datos o la descarga de todos los datos sustraídos, cada una de las cuales tiene un precio distinto.
Un análisis detallado del ransomware Medusa
La plataforma Medusa RaaS surgió a finales de 2022 , pero no ganó mucha popularidad hasta principios de 2023. Este ransomware ataca a dispositivos Windows y suele aprovechar servicios vulnerables y secuestrar cuentas legítimas.
El ransomware aprovecha las técnicas de «living-off-the-land» utilizando software con fines maliciosos para camuflarse entre el tráfico habitual. El ransomware Medusa lanzó su «Medusa Blog» en 2023 , que el grupo utiliza para filtrar los datos sustraídos.
Las víctimas del ransomware Medusa disponen de varias opciones al visitar el blog de Medusa:
- Las víctimas pueden abonar una tasa estándar de 10,000 dólares para obtener una prórroga de un día y evitar que los datos se publiquen en el blog.
- Asimismo, pueden solicitar que se eliminen los datos, así como descargar y consultar los datos sustraídos. Estas opciones conllevan una tarifa considerable.
Una entrada reciente del blog consistía en un vídeo en el que se mostraban archivos de una organización que había sufrido un ataque. El vídeo llevaba la leyenda «Medusa Media Team», que, según creen los investigadores, es una rama de la operación encargada de la imagen pública.
Además de ser un sitio web dedicado a la filtración de datos y un espacio para alojar vídeos de datos sustraídos, el blog también incluye enlaces a Telegram y X. Se supone que el enlace de Telegram sirve como «apoyo informativo». Por el contrario, el enlace X no es más que una página de resultados de búsqueda para «ransomware Medusa».
Victimología de Medusa
El ransomware Medusa afecta a diversos sectores y no parece estar especialmente dirigido a sectores concretos. El sector más atacado, que fue el tecnológico, representó menos de 10 de los 74 ataques del grupo.
El grupo actúa de forma más selectiva en lo que respecta a la ubicación geográfica de sus ataques. Medusa ha atacado a organizaciones de varios países, pero Estados Unidos ha sido su principal objetivo.
Archivo binario de ransomware
Palo Alto también descubrió un elemento común en el binario de Medusa, que era el uso y la inclusión del término «gaze» en la ruta de depuración de PEStudio.
Este tema les llevó a denominar «Gaze» al archivo binario del ransomware. El ransomware puede ejecutarse con 11 argumentos posibles y ha recibido actualizaciones desde su primera aparición en 2023. El ransomware utiliza cifrado asimétrico RSA y añade la extensión .medusa a los archivos cifrados. Evitará cifrar los archivos con las extensiones .dll, .exe, .lnk y .medusa. Tras dejar la nota de rescate, se eliminará automáticamente del sistema para dificultar la recuperación y el análisis.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La operación del ransomware Medusa es, en cierta medida, oportunista, ya que tiene como objetivo a organizaciones de una amplia variedad de sectores. Esto es algo habitual en muchas operaciones de ransomware.
Lo que resulta evidente es que las operaciones de ransomware están empezando a funcionar cada vez más como auténticas organizaciones, tal y como demuestra la incorporación del blog «Medusa» y del equipo de comunicación. Más allá de su estructura de carácter empresarial, Medusa cuenta con algunas estrategias y técnicas de explotación muy sofisticadas. Por ello, se está convirtiendo rápidamente en una amenaza cada vez más importante en el ámbito del ransomware.
2. Los programas de robo de información eluden los sistemas antimalware de macOS
SentinelOne ha descubierto recientemente tres programas de robo de información activos para macOS de (se abre en una nueva pestaña) que son capaces de eludir el sistema antimalware integrado de macOS, XProtect.
KeySteal
- El malware KeySteal se detectó por primera vez en 2021 y no ha dejado de evolucionar desde entonces. En la versión « February 2023», Apple añadió una firma a XProtect que permitía detectar KeySteal. Sin embargo, debido a la evolución del malware, esta firma ya no detecta las versiones actuales.
- KeySteal se distribuyó inicialmente como un archivo .pkg integrado en una utilidad de macOS denominada ReSignTool. Los autores de la amenaza modificaron el código de la aplicación legítima de código abierto para sustraer información del llavero y desplegar componentes de persistencia.
- Las variantes más recientes de KeySteal han cambiado aún más. Ya no utilizan ReSignTool y, en su lugar, aparecen en los binarios Mach-O como «UnixProject» o «ChatGPT».
- Lo que no está claro es cómo se están propagando estas nuevas variantes. Las últimas variantes no solo pasan desapercibidas para XProtect, sino que además presentan bajas tasas de detección en VirusTotal. SentinelOne señala que hay un elemento en común entre las primeras versiones y las más recientes, y es el valor « C2» codificado de forma fija. Este valor fijo de C2 sigue permitiendo que se detecten algunos interferencias estáticas, aunque quizá no por mucho tiempo.
Atomic Stealer
- Se ha informado en varias ocasiones de la existencia de «Atomic Stealer» y sigue activo. Este malware para macOS ha sufrido varios cambios, lo que ha dado lugar a que actualmente circulen simultáneamente numerosas versiones diferentes del mismo.
- SentinelOne ha informado de que ha detectado variantes del malware que, por el momento, no son detectadas por XProtect, muchas de las cuales también presentan bajas tasas de detección en VirusTotal.
- El malware impide que las víctimas, los analistas o los entornos de pruebas de malware ejecuten el terminal al mismo tiempo que el programa de robo de datos. Las variantes recientes utilizan código AppleScript integrado en texto sin cifrar que revela la lógica de robo del malware.
- Los autores de amenazas suelen distribuir este malware a través de torrents o plataformas de juegos sociales.
CherryPie
- El malware CherryPie se añadió a XProtect en la versión v2176.
- Este malware, también conocido como GaryStealer y JaskaGo, es un programa de robo de datos para macOS y Windows que, en la actualidad, presenta bajos índices de detección en VirusTotal.
- Algunas versiones del malware utilizan el proyecto legítimo de código abierto «Wails» para integrar el código malicioso en un paquete de aplicación.
- Muchas de las muestras que SentinelOne ha detectado están firmadas con una firma ad hoc y contienen código destinado a desactivar Gatekeeper.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Confiar únicamente en la detección estática no es, sencillamente, suficiente para mantenerse al día con el panorama de amenazas en constante evolución. La detección estática de malware se está convirtiendo en un juego del «golpea al topo» y no siempre resulta eficaz.
SentinelOne señala que, además de las capacidades nativas de macOS, «la búsqueda proactiva de amenazas, las reglas de detección mejoradas y el conocimiento de las tácticas en constante evolución pueden ayudar a los equipos de seguridad a adelantarse a las amenazas dirigidas a la plataforma macOS».
3. El FBI y la CISA publican un aviso conjunto sobre Androxgh0st programas maliciosos
La Oficina Federal de Investigación (FBI) y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) han publicado un aviso conjunto sobre ciberseguridad con el fin de difundir los indicadores de compromiso (IOC) y las tácticas, técnicas y procedimientos (TTP) conocidos asociados a los actores maliciosos que utilizan el malware Androxgh0st .
Varias investigaciones en curso han aportado detalles sobre el malware Androxgh0st , incluida su capacidad para crear una red de bots capaz de identificar y comprometer redes vulnerables.
¿Qué es el Androxgh0st?
Androxgh0st es un programa malicioso escrito en Python diseñado para localizar y extraer archivos .env que contengan credenciales de aplicaciones como AWS, Microsoft Office 365 y otras. Ofrece numerosas funciones que le permiten hacer un uso indebido del protocolo SMTP, como el escaneo y la explotación de credenciales y API expuestas, así como la implementación de shells web. Fortinet está detectando Androxgh0st intentos de malware en más de 40,000 dispositivos de Fortinet al día.
Orientación a PHPUnit
El malware suele utilizar scripts, realizar análisis y buscar sitios web con vulnerabilidades específicas. Más concretamente, los autores de la amenaza que distribuyen este malware parecen aprovechar la vulnerabilidad CVE-2017-9841 para ejecutar PHP de forma remota en sitios web vulnerables a través de PHPUnit.
Los sitios web que utilicen este módulo y cuenten con carpetas expuestas a Internet o de proveedores pueden verse expuestos a solicitudes HTTP POST maliciosas dirigidas a una URL concreta. Esta página ejecutará código PHP enviado mediante una solicitud POST, lo que permite al autor de la amenaza ejecutar código de forma remota.
El autor de la amenaza utiliza el código Androxgh0st para descargar archivos maliciosos adicionales en el sistema que aloja el sitio web. Con este acceso, pueden crear páginas falsas a las que se puede acceder a través del URI para establecer una puerta trasera en el sitio web.
El marco Laravel está dirigido a
El malware crea una red de bots para buscar sitios web a través del marco de aplicaciones web Laravel. Utiliza Laravel para identificar sitios web y, a continuación, determina si el archivo .env de nivel raíz del dominio está expuesto o no y si contiene credenciales.
Si el archivo queda expuesto, el autor de la amenaza puede utilizar una solicitud GET dirigida a la URL e intentar acceder a los datos. El malware también puede acceder a la clave de la aplicación Laravel alojada en el sitio web. Si logran identificar la clave de la aplicación, pueden intentar aprovechar la vulnerabilidad utilizando dicha clave para cifrar el código PHP, pasando el código como valor en el token XSRF.
Configuración del servidor web Apache
También se ha observado que los autores de amenazas que utilizan la vulnerabilidad Androxgh0st están realizando escaneos en servidores web Apache que podrían ser vulnerables a la vulnerabilidad CVE-2021-41773. Los atacantes pueden identificar direcciones URL de archivos que se encuentran fuera del directorio raíz mediante un ataque de recorrido de rutas. Estos archivos, si no están protegidos, podrían permitir la ejecución remota de código. Si el autor de la amenaza consigue obtener credenciales de cualquier servicio mediante estos métodos, podrá utilizarlas para acceder a datos confidenciales o llevar a cabo acciones maliciosas posteriores.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El reciente aumento de la actividad de Androxgh0st resulta sin duda alarmante, sobre todo si se tiene en cuenta que tiene como objetivo servicios como AWS y Office.
El malware se detectó por primera vez en 2022 y, al parecer, no suscitó mucho interés hasta hace poco. Es posible que o bien no se le estuviera sacando mucho partido, o bien simplemente pasara desapercibido.
En cualquier caso, el informe conjunto detalla una serie de recomendaciones de mitigación que pueden ayudar a protegerse contra el Androxgh0st. Merece la pena echar un vistazo al informe.
¿Tiene alguna información sobre estas historias que desee compartir? Visite el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
