En primer lugar, en el resumen de esta semana, CTI analiza un nuevo aviso sobre la variante del ransomware LockBit 3.0 , que ha tenido un gran éxito. A continuación, CTI profundiza en la última de la reciente serie de iniciativas dignas de elogio de la CISA: una nueva herramienta de código abierto para la respuesta ante incidentes que ayuda a detectar indicios de actividad maliciosa en entornos en la nube de Microsoft. Asimismo, se incluye un análisis de las nuevas actividades atribuidas a APT37 (ScarCruft), un grupo de ciberespionaje del que se sospecha que es norcoreano.
1. Se ha publicado un nuevo aviso conjunto sobre el ransomware LockBit 3.0
Se ha publicado un aviso conjunto sobre ciberseguridad (se abre en una nueva pestaña) elaborado por la Oficina Federal de Investigación (FBI), la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y el Centro Multiestatal de Intercambio y Análisis de Información (MS-ISAC), disponible en March 16, con el fin de difundir los últimos indicadores de compromiso (IOC) y tácticas, técnicas y procedimientos (TTP) asociados al notorio —y cada vez más eficaz— ransomware LockBit 3.0 .
La información técnica que figura en el aviso se obtuvo en el marco de las investigaciones del FBI llevadas a cabo tan recientemente como en March 2023.
Empecemos por lo básico: ¿qué es LockBit 3.0?
LockBit 3.0 funciona según el modelo de «ransomware como servicio» (RaaS). Estas operaciones suponen una continuación de la actividad observada en relación con versiones anteriores del ransomware, entre ellas LockBit 2.0 y LockBit.
Tal y como describe la CISA:
Desde January 2020, LockBit ha funcionado como una variante de ransomware basada en afiliados; los afiliados que utilizan el servicio LockBit RaaS emplean una gran variedad de TTP y atacan a una amplia gama de empresas y organizaciones de infraestructuras críticas, lo que puede dificultar la defensa eficaz de las redes informáticas y la mitigación de los riesgos.
What to know about LockBit 3.0
- LockBit 3.0 es la variante más modular de este ransomware hasta la fecha. También conocida como LockBit Black, su última versión es más difícil de detectar que sus predecesoras y presenta similitudes con otras familias de ransomware de primer nivel, como Blackmatter y Blackcat.
- LockBit 3.0 , que se caracteriza por su gran capacidad de adaptación y personalización en función del entorno de la víctima en el que se encuentre, se configura durante la compilación mediante una amplia gama de opciones que influyen en el comportamiento del malware.
- LockBit 3.0 incorpora un mecanismo integrado diseñado para proteger su código y dificultar la detección y el análisis del malware.
- Los autores de amenazas pueden obtener acceso inicial a las redes de las víctimas mediante el aprovechamiento de vulnerabilidades del protocolo de escritorio remoto (RDP). Otras tácticas incluyen el uso indebido de cuentas válidas, el aprovechamiento de aplicaciones de acceso público, el compromiso de sistemas mediante «drive-by» y las campañas de phishing de tipo « ».
- LockBit 3.0 comprueba cuál es su nivel de privilegios actual. Si el ransomware detecta que este atributo no está presente, intentará elevar sus privilegios a un nivel que le resulte más adecuado.
- Se ha observado en repetidas ocasiones que LockBit 3.0 utiliza una amplia variedad de herramientas de código abierto durante sus intrusiones. Estas herramientas están diseñadas para facilitar una serie de actividades, entre las que se incluyen el reconocimiento de redes, el acceso remoto y la creación de túneles, la extracción de credenciales y la sustracción de archivos.
Además, LockBit 3.0 ha demostrado ser muy hábil en el uso de PowerShell y scripts Batch en la mayoría de las intrusiones observadas. Estas herramientas sirven para facilitar la detección de sistemas, el reconocimiento, la búsqueda de contraseñas y credenciales, y la escalada de privilegios.
La CISA también destaca las capacidades de cifrado de LockBit 3.0’s :
LockBit 3.0 intenta cifrar [T1486 (se abre en una nueva pestaña)] los datos guardados en cualquier dispositivo local o remoto, pero omite los archivos relacionados con las funciones básicas del sistema... Una vez cifrados los archivos, LockBit 3.0 deja una nota de rescate con el nuevo nombre de archivo .README.txt y cambia el fondo de pantalla y los iconos del equipo por los de la marca LockBit 3.0 [T1491.001 (se abre en una nueva pestaña)]. En caso necesario, LockBit 3.0 enviará información cifrada sobre el host y el bot a un servidor de comando y control (C2) [T1027 (se abre en una nueva pestaña)].
Además, la CISA destaca la función de exfiltración de LockBit 3.0’s :
Los afiliados de LockBit 3.0 utilizan Stealbit, una herramienta de exfiltración personalizada que ya se había empleado anteriormente con LockBit 2.0 [TA0010 (se abre en una nueva pestaña)]; rclone, un gestor de almacenamiento en la nube de código abierto que funciona desde la línea de comandos [T1567.002 (se abre en una nueva pestaña)]; y servicios de intercambio de archivos de acceso público, como MEGA [T1567.002 (se abre en una nueva pestaña)], para sustraer archivos con datos confidenciales de la empresa antes de cifrarlos. Aunque rclone y muchos servicios de intercambio de archivos disponibles públicamente se utilizan principalmente con fines legítimos, los actores maliciosos también pueden recurrir a ellos para facilitar el compromiso de sistemas, la exploración de redes o la sustracción de datos. Los afiliados de LockBit 3.0 suelen utilizar también otros servicios de intercambio de archivos disponibles públicamente para sustraer datos [T1567 (se abre en una nueva pestaña)].
Perspectivas y orientaciones de CTI
CTI ha identificado anteriormente el ransomware LockBit como una ciberamenaza de primer orden con fines económicos. Este último aviso sobre ciberseguridad, elaborado conjuntamente por varios organismos, confirma esta valoración.
LockBit ha demostrado ser capaz de recuperarse de una grave interrupción provocada por un desarrollador descontento (que hizo público el código del generador de LockBit 3.0), y lo ha hecho a lo grande. Entre las víctimas de esta operación de ransomware figuran varias empresas privadas de gran relevancia, así como entidades de infraestructuras críticas.
Según TheHackerNews, «la empresa de ciberseguridad industrial Dragos reveló a principios de este año que LockBit 3.0 fue responsable del 21 % de los 189 ataques de ransomware detectados contra infraestructuras críticas en Q4 2022, lo que supone un total de 40 incidentes». «La mayoría de esos ataques afectaron a los sectores de la alimentación y las bebidas y a la industria manufacturera».
En noviembre, el Departamento de Justicia de EE. UU. informó de que la variante de ransomware LockBit se ha utilizado contra al menos 1,000 víctimas en todo el mundo, lo que ha reportado a la operación más de 100 millones de dólares en beneficios ilícitos.
De la CISA:
El FBI, la CISA y el MS-ISAC recomiendan a las organizaciones que apliquen las medidas de mitigación que se indican a continuación para mejorar la postura de ciberseguridad de su organización a la luz de la actividad de LockBit 3.0’s . Estas medidas de mitigación se ajustan a los Objetivos de Rendimiento en materia de Ciberseguridad Intersectoriales (CPG) elaborados por la CISA y el Instituto Nacional de Estándares y Tecnología (NIST). Las CPG establecen un conjunto mínimo de prácticas y medidas de protección que la CISA y el NIST recomiendan que todas las organizaciones pongan en práctica. La CISA y el NIST han elaborado las CPG basándose en los marcos y directrices existentes en materia de ciberseguridad para proteger contra las TTP más comunes y con mayor impacto. Consulte los Objetivos de Rendimiento en Ciberseguridad Intersectoriales (CPG) de la CISA para obtener más información sobre los CPG, incluidas las medidas de protección básicas adicionales recomendadas.
En el aviso original se pueden consultar otras medidas prácticas de mitigación.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Este aviso llega en un momento interesante para el ransomware y el panorama general de las amenazas cibernéticas, ya que cada vez más operaciones de ransomware están dejando de lado la extorsión mediante el cifrado para optar por la extorsión directa a través del robo de datos». Por ejemplo, el grupo del ransomware BianLian (se abre en una nueva pestaña) ha cambiado su enfoque (se abre en una nueva pestaña) , pasando de cifrar los archivos de sus víctimas a llevar a cabo ataques de extorsión basados exclusivamente en el robo de datos. «Esta es una tendencia que CTI prevé que continúe hasta bien entrado el año 2023 y más allá».
2. Una nueva herramienta de la CISA detecta actividades de piratería informática en los servicios en la nube de Microsoft
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha lanzado una nueva herramienta de código abierto para la respuesta ante incidentes (se abre en una nueva pestaña) que ayuda a detectar indicios de actividad maliciosa en entornos en la nube de Microsoft.
Siguiendo la arraigada tradición de la comunidad de seguridad de la información de asignar nombres extravagantes a asuntos serios, «Untitled Goose Tool» es una utilidad basada en Python desarrollada conjuntamente con Sandia Laboratories y capaz de extraer información de telemetría de los entornos de Azure Active Directory, Microsoft Azure y Microsoft 365 .
De la CISA:
Untitled Goose Tool es una herramienta sólida y flexible para la detección y la respuesta ante incidentes que incorpora métodos innovadores de autenticación y recopilación de datos con el fin de llevar a cabo una investigación exhaustiva en los entornos de Azure Active Directory (AzureAD), Azure y M365 de un cliente.
La telemetría mencionada anteriormente se complementa con datos de telemetría adicionales procedentes de Microsoft Defender for Endpoint (MDE) y Defender for Internet of Things (IoT) (D4IoT).
Lo que puede hacer el ganso
Según BleepingComputer, con la ayuda de la herramienta multiplataforma de interrogación y análisis en la nube de Microsoft de la CISA, «» (se abre en una nueva pestaña), los expertos en seguridad y los administradores de red pueden:
- Exporte y revise los registros de inicio de sesión y de auditoría de AAD, el registro de auditoría unificado M365 (UAL), los registros de actividad de Azure, las alertas de Microsoft Defender para IoT (Internet de las cosas) y los datos de Microsoft Defender para Endpoint (MDE) en busca de actividades sospechosas.
- Realice consultas, exporte e investigue las configuraciones de AAD, M365 y Azure.
- Extraiga artefactos en la nube de los entornos AAD, Azure y M365 de Microsoft sin necesidad de realizar análisis adicionales.
- Realice la estimación del tiempo necesario para el UAL.
- Extraiga los datos dentro de esos límites temporales.
- «Recopile y revise los datos utilizando funciones similares de delimitación temporal para los datos de MDE».
La CISA está en racha
El último intento de la CISA por ayudar a los defensores se inscribe en una serie de iniciativas proactivas, transparentes y colaborativas destinadas a reforzar su participación en la protección de las empresas pertenecientes a organismos gubernamentales, del sector privado y de infraestructuras críticas.
Por ejemplo, la CISA ha publicado recientemente una herramienta de código abierto denominada Decider (se abre en una nueva pestaña) para ayudar a los responsables de la seguridad a generar informes de correspondencia con el marco MITRE ATT&CK. Justo antes del lanzamiento de Decider, la CISA publicó en enero una guía de buenas prácticas sobre el marco de trabajo para la gestión de amenazas y la respuesta ( ) (se abre en una nueva pestaña) sobre la correspondencia con el marco MITRE ATT&CK, en la que se destaca la importancia de utilizar dicho estándar.
Es más, la CISA está advirtiendo ahora a las entidades de infraestructuras críticas (se abre en una nueva pestaña)sobre los sistemas expuestos a Internet que son vulnerables a los ataques de ransomware.
Al parecer, esta última iniciativa ya ha dado sus frutos.
De la CISA:
Gracias a esta capacidad de ciberdefensa proactiva, la CISA ha notificado a más de 60 entidades la presencia de intrusiones de ransomware en fase inicial desde el January 2023, entre las que se incluyen organizaciones de infraestructuras críticas de los sectores de la energía, la asistencia sanitaria y la salud pública, los sistemas de agua y aguas residuales, así como la comunidad educativa.
Según BleepingComputer:
Esto se produjo tras la puesta en marcha de una nueva iniciativa de colaboración en el marco de la iniciativa « August 2021 » para proteger las infraestructuras críticas de EE. UU. frente al ransomware y otras amenazas cibernéticas, conocida como «Joint Cyber Defense Collaborative» (JCDC).
La agencia de ciberseguridad había publicado anteriormente, en June 2021 , un nuevo módulo para su Herramienta de Evaluación de la Ciberseguridad (CSET), denominado «Evaluación de la Preparación ante el Ransomware» (RRA), con el fin de ayudar a las organizaciones a evaluar su grado de preparación para prevenir los ataques de ransomware y recuperarse de ellos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La CISA y sus responsables están demostrando un firme compromiso con la mejora de la ciberseguridad de las empresas pertenecientes a organismos gubernamentales, del sector privado y de infraestructuras críticas, lo cual es digno de elogio». Muchos de nosotros llevamos mucho tiempo esperando a que el país adopte una política o infraestructura integral en materia de ciberseguridad, y estas últimas iniciativas suponen un paso positivo en esa dirección. «Enhorabuena, CISA».
3. El arsenal en constante evolución de ScarCruft
Zscaler ha estado realizando un seguimiento de (se abre en una nueva pestaña) las TTP de APT37, también conocido como ScarCruft, que ha estado muy activo en febrero y March 2023.
APT37 (se abre en una pestaña nueva) es un grupo de ciberespionaje patrocinado por el Estado norcoreano. Históricamente, este grupo ha tenido como objetivo a víctimas en Corea del Sur, Japón, Vietnam, Rusia, etc. El grupo APT37 ha utilizado anteriormente vectores de infección como «watering holes», el aprovechamiento de vulnerabilidades y correos electrónicos de phishing que contienen archivos adjuntos maliciosos. Se ha observado con frecuencia que el grupo APT37 distribuye la puerta trasera «Chinotto» de PowerShell.
Unos investigadores han descubierto recientemente un repositorio de GitHub propiedad de un miembro de APT37. Debido a lo que se considera un fallo de seguridad operativa por parte del actor malicioso, Zscaler pudo acceder a información relativa a los archivos maliciosos utilizados por el grupo. Este repositorio se utilizó para preparar numerosas cargas maliciosas diferentes empleadas por el actor malicioso.
La información obtenida del repositorio de GitHub también permitió a los investigadores conocer los tipos de temas que utiliza APT37 en sus señuelos de ingeniería social. Entre estos temas se incluyen los atractivos relacionados con la geopolítica, las instituciones académicas y las empresas surcoreanas.
TTP recientes
- CHM: APT37 utiliza habitualmente una puerta trasera de PowerShell denominada «Chinotto», que se instala en el dispositivo final a través de un archivo de ayuda de Windows malicioso o un archivo CHM. Los archivos CHM se distribuyen dentro de archivos comprimidos, la mayoría de los cuales contienen dos componentes: el archivo CHM malicioso y el archivo señuelo que se muestra a la víctima. Los archivos señuelo detectados suelen estar protegidos con contraseña, y dicha contraseña se encuentra dentro del archivo CHM.
- Complemento de MS Excel «»: En una campaña detectada en March 15, se observó que APT37 subía un complemento malicioso de Excel al repositorio de GitHub. Esta fue la primera vez que se observó que el grupo utilizaba archivos XLL. Este archivo XLL extrae un archivo XLS y lo guarda en la siguiente ruta: C:\programdata\20230315_SejeongSupport[.]xls. Muestra el archivo XLS adjunto, que es un señuelo y se utiliza exclusivamente como estrategia de ingeniería social. A continuación, ejecuta MSHTA para descargar un archivo HTA desde una URL de yangak[.]com. El archivo HTA descargado contiene la puerta trasera de PowerShell denominada «Chinotto».
- LNK: Se han recuperado algunos archivos LNK del repositorio de GitHub que se habían subido a August 2022 y que se observaron en ataques reales aproximadamente en esa misma época. Los archivos LNK se encontraban dentro de archivos RAR. También se encontró un archivo HTML que se hacía pasar por una página de inicio de sesión de la empresa surcoreana LG. Los archivos LNK se utilizaron para ejecutar MSHTA y descargar los archivos HTA maliciosos desde el servidor controlado por el atacante. La cadena de ataque da lugar a la misma puerta trasera de PowerShell, Chinotto.
Los metadatos de los archivos LNK revelaron que se generaron en una máquina virtual que ejecutaba VMware, con la dirección MAC 00:0c:29:41:1b:1c. El autor de la amenaza utilizó la misma máquina virtual para generar múltiples cargas útiles, lo que resulta útil para la búsqueda de amenazas y su futura atribución.
- Archivo de Microsoft Office basado en macros También se observó que: APT37 subió un archivo de Microsoft Office Word basado en macros al repositorio de GitHub. La macro ejecuta MSHTA para descargar Chinotto.
- Archivo HWP con un objeto OLE incrustado: APT37 también implementó Chinotto en el terminal utilizando archivos HWP con objetos OLE incrustados. Los objetos OLE se presentan en forma de un elemento en el que la víctima debe hacer clic para que se ejecuten las cargas maliciosas en formato PE.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
El “APT37 es otro grupo APT más que resulta increíblemente sofisticado y que evoluciona constantemente sus TTP. «Su capacidad para mantener un repositorio de GitHub con cargas maliciosas durante más de 2 años sin ser detectado ni eliminado pone aún más de manifiesto la sofisticación de sus operaciones».
«Se ha observado recientemente que otro grupo afiliado a Corea del Norte, Kimsuky, utiliza de forma « » archivos CHM para distribuir malware (se abre en una nueva pestaña) ». «Kimsuky utilizó archivos CHM para distribuir una puerta trasera encargada de recopilar datos del portapapeles y de las pulsaciones del teclado».
«¿Son los archivos CHM la próxima gran tendencia en las APT norcoreanas?» «Solo el tiempo lo dirá».
¿Tiene alguna información sobre estas noticias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
