Para empezar esta semana, CTI analiza un informe de IBM X-Force sobre la nueva variante «Sphynx» del conocido ransomware BlackCat/ALPHV. A continuación, CTI analiza el hallazgo por parte de Microsoft de una vulnerabilidad que permite a los atacantes con privilegios de root eludir los controles de la Protección de Integridad del Sistema (SIP) de macOS e instalar malware «imposible de eliminar». Por último, CTI concluye con un análisis de un informe reciente de Group-IB en el que se detallan las últimas actividades atribuidas al actor malicioso conocido como Dark Pink.
1. La versión mejorada del ransomware BlackCat ataca con una rapidez fulminante y tácticas sigilosas
Un nuevo informe del equipo IBM Security X-Force detalla las principales novedades sobre la operación de ransomware BlackCat/ALPHV de (se abre en una nueva pestaña). Las actualizaciones incluyen mejoras en la velocidad, el sigilo y las capacidades de exfiltración del ransomware.
¿Qué es BlackCat?
- CTI considera que BlackCat es una de las principales amenazas de ransomware y extorsión a las que se enfrentan las organizaciones en la actualidad.
- Los autores de las amenazas utilizan BlackCat principalmente para atacar los sectores de la administración pública, la educación, la industria manufacturera, la hostelería y la sanidad.
- BlackCat intenta incorporar una estrategia de doble extorsión en sus ataques. Los datos sustraídos suelen publicarse en la página web oficial de filtraciones del grupo, con el fin de aumentar la presión sobre las víctimas de extorsión para que paguen.
Tal y como explica el autor del informe de IBM, BlackCat pasó a utilizar el lenguaje de programación Rust de (se abre en una nueva pestaña)en 2022 , una decisión en la que probablemente influyeron las posibilidades de personalización que ofrece el lenguaje, así como su utilidad para dificultar la detección y el análisis del malware.
Un año y medio después de que, según se cree, irrumpiera en el panorama de las amenazas cibernéticas, el grupo BlackCat no da señales de ralentizar su actividad. BlackCat/ALPHV figura sistemáticamente entre las ofertas de «ransomware como servicio» (RaaS) de primer nivel más rentables que pueblan el panorama de las ciberamenazas, compitiendo con otros grupos de extorsión destacados, como LockBit, por la mayor parte de los pagos de rescates.
¿Qué es el Sphynx?
Sphynx es una nueva y potente variante de BlackCat que, según el análisis de X-Force de IBM, «incorpora una serie de capacidades actualizadas que refuerzan los esfuerzos del grupo por eludir la detección».
De IBM Security X-Force:
X-Force ha observado que los afiliados de BlackCat siguen perfeccionando sus operaciones con el fin de aumentar las probabilidades de lograr sus objetivos, concretamente el robo y el cifrado de datos. Los atacantes automatizaron la parte de la operación dedicada a la exfiltración de datos utilizando ExMatter, un malware personalizado capaz de «desvanecerse» (autodestrucción). Además, el grupo BlackCat ha lanzado recientemente una nueva versión de su ransomware, denominada Sphynx, con capacidades mejoradas destinadas a eludir las medidas de defensa.
ExMatter es una herramienta de exfiltración de datos basada en .NET que, según IBM X-Force, es utilizada en exclusiva por un grupo afiliado al ransomware BlackCat, al que Microsoft identifica como DEV-0504 (se abre en una nueva pestaña). En lo que respecta a las capacidades evasivas mejoradas de BlackCat mencionadas anteriormente, la versión «Sphynx» de BlackCat incorpora ahora código basura y cadenas cifradas; se trata de mejoras destinadas a dificultar su detección y análisis. Los argumentos de la línea de comandos que se pasan al binario también han sido objeto de una revisión completa, algo que lo distingue de sus versiones anteriores.
Mientras que las versiones anteriores utilizaban el parámetro «token de acceso» para ejecutarse, la última versión elimina por completo dicho parámetro y lo sustituye por un conjunto de argumentos más complejos. Es probable que esto se haya hecho para dificultar la detección del ransomware, ya que los profesionales de la seguridad carecen ahora de comandos estándar que les permitan llevar a cabo actividades de búsqueda.
Esto no es de extrañar, ya que la propia banda BlackCat afirma que el malware se ha reescrito por completo desde cero, siendo la prioridad declarada de esta actualización «» para optimizar la detección por parte de AV/EDR (se abre en una nueva pestaña).
February 21st, 2023 y el grupo de ransomware ALPHV han informado a sus afiliados de una nueva actualización de su «producto». Su nueva variante de ransomware se denomina Sphynx.
Otro aspecto que distingue a la nueva variante de sus predecesoras es la incorporación del cargador BlackCat Sphynx.
De The Hacker News:
Sphynx también incorpora un cargador para descifrar la carga útil del ransomware que, una vez ejecutado, lleva a cabo actividades de exploración de la red para buscar sistemas adicionales, elimina las copias de seguridad de volumen, cifra los archivos y, por último, deja la nota de rescate.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Es evidente que BlackCat debe su longevidad y rentabilidad a su capacidad para reinventarse continuamente, mejorando en cada ocasión las características y funcionalidades que permiten al malware eludir la detección y sortear los mecanismos de seguridad».
«Como profesionales de la seguridad, debemos mantener la misma capacidad de adaptación. «El CTI seguirá vigilando esta amenaza para detectar cualquier novedad significativa y facilitará información actualizada cuando sea necesario».
2. Microsoft ha detectado un fallo en macOS que permite a los piratas informáticos eludir las restricciones de root del SIP
Un equipo de investigadores de seguridad de Microsoft ha descubierto una vulnerabilidad que permite a los atacantes con privilegios de root eludir la Protección de Integridad del Sistema (SIP) (se abre en una nueva pestaña) e instalar malware «imposible de eliminar». Los atacantes también podrían acceder a los datos privados de las víctimas eludiendo las medidas de seguridad de Apple denominadas «Transparencia, Consentimiento y Control» (TCC).
Lo que debe saber sobre el CVE-2023-32369
La vulnerabilidad de seguridad —denominada «Migraine» por Microsoft y registrada con los números de seguimiento CVE-2023-32369 (se abre en una nueva pestaña) — se centra en la tecnología SIP de macOS.
De Microsoft:
SIP es una tecnología de seguridad de « » () de macOS (se abre en una nueva pestaña) que impide que un usuario con privilegios de root realice operaciones que puedan comprometer la integridad del sistema. Eludir el protocolo SIP podría acarrear graves consecuencias, como aumentar la posibilidad de que los atacantes y los creadores de malware instalen con éxito rootkits, creen malware persistente y amplíen la superficie de ataque para técnicas y vulnerabilidades adicionales.
El SIP —o «rootless»— impide que el software potencialmente malicioso altere determinadas carpetas y archivos, al imponer restricciones a la cuenta de usuario «root» y limitar sus capacidades dentro de ciertas áreas protegidas del sistema operativo. Funciona bajo el principio rector de que solo los procesos firmados por Apple —o aquellos que cuenten con permisos especiales— deben poder acceder a los componentes protegidos de macOS o modificarlos.
Descubrimiento y explotación
Los investigadores de Microsoft descubrieron la vulnerabilidad y la técnica que utilizaron para eludir las restricciones habituales del protocolo SIP durante una operación rutinaria de detección de malware. Los investigadores de Microsoft centraron su atención en los procesos del sistema firmados por Apple y que cuentan con el permiso «com.apple.rootless.install.heritable» (se abre en una nueva pestaña).
Mediante esta metodología, los investigadores descubrieron dos procesos secundarios que podían manipularse hasta tal punto que lograron ejecutar código arbitrario, al tiempo que eludían los controles del SIP.
SIP y derechos
Tal y como explica Microsoft, SIP protege el sistema desde la raíz mediante el uso del entorno aislado de Apple. Esto contribuye a proteger la plataforma, de forma similar a como SELinux protege los sistemas Linux.
«Una de las características más destacadas de SIP es la capacidad de restringir el acceso al sistema de archivos, lo que protege archivos y directorios completos para que no puedan ser sobrescritos», explica Microsoft. «Los archivos y directorios que el SIP protege de forma predeterminada suelen ser aquellos relacionados con la integridad del sistema».
Además, no hay forma de desactivar el SIP en un sistema en funcionamiento que no sea a través del sistema operativo de recuperación, un método que requiere acceso físico al dispositivo. Por lo tanto, una elusión del protocolo SIP es una vulnerabilidad que permite a un usuario remoto eludir sus restricciones. Microsoft plantea dos ejemplos en los que se ha logrado dicha elusión, ya sea sorteando las restricciones de SIP para escribir en directorios protegidos por SIP o creando un archivo protegido por SIP.
A continuación, pasamos a los «entitlements» de macOS, que la documentación de Apple describe (se abre en una nueva pestaña) como «un derecho o privilegio que otorga a un ejecutable determinadas capacidades».
No hay forma de falsificar estos permisos, ya que Apple los utiliza ampliamente para garantizar la seguridad en macOS y se conceden a procesos muy concretos.
Lo que es importante comprender sobre estos derechos es que, cuando se conceden a un proceso, dicho proceso está autorizado, por diseño, a eludir los controles de seguridad del SIP.
De Microsoft:
Un permiso especialmente interesante es el permiso «com.apple.rootless.install.heritable», que permite que el proceso y todo el árbol de procesos que se derivan de él eludan las restricciones de seguridad de la Protección de la Integridad del Sistema basadas en el sistema de archivos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Tal y como explica Microsoft, la elusión arbitraria del protocolo SIP conlleva graves consecuencias, relacionadas principalmente con la gran posibilidad de que los autores de malware creen código que, en la práctica, resulte imposible de eliminar».
«Microsoft desglosa las implicaciones en una práctica lista. Entre ellas se incluyen la creación de malware imposible de eliminar, la ampliación de la superficie de ataque y otras medidas. Écheles un vistazo aquí: (se abre en una nueva pestaña)."
«Desde entonces, Apple ha corregido la vulnerabilidad en las actualizaciones de seguridad para macOS Ventura 13.4 (se abre en una nueva pestaña), macOS Monterey 12.6.6 (se abre en una nueva pestaña), y macOS Big Sur 11.7.7 (se abre en una nueva pestaña), publicadas hace dos semanas en May 18».
3. Los hackers de «Dark Pink» siguen atacando a organizaciones gubernamentales y militares
Un informe reciente de Group-IB (se abre en una nueva pestaña) detalla la actividad más reciente atribuida al actor malicioso conocido como «Dark Pink», un grupo de hackers considerado una amenaza persistente avanzada (APT) que, según se ha observado recientemente, ha dirigido sus ataques contra organizaciones gubernamentales, militares y educativas de Indonesia, Brunei y Vietnam, lo que añade cinco nuevas organizaciones de tres países a la lista de víctimas del grupo. Según se ha informado, el grupo de hackers « Dark Pink» (se abre en una nueva pestaña) lleva activo, al menos, desde mediados de 2021, y se dedica principalmente a lanzar ataques contra diversas entidades de la región de Asia-Pacífico (APAC).
El informe describe a un nuevo actor malicioso avanzado, capaz de utilizar malware personalizado para llevar a cabo sus actividades destinadas a sustraer información confidencial de organismos gubernamentales y entidades militares de varios países de la región de Asia-Pacífico.
Además de contar con un conjunto de herramientas que incluye malware creado a medida, se ha observado que Dark Pink también propaga malware a través de memorias USB y aprovecha métodos de carga lateral de archivos DLL y de ejecución activada por eventos para ejecutar sus cargas útiles en los sistemas comprometidos.
Ahora, en lo que puede considerarse una continuación de su anterior informe « January 2023 », Group-IB ha documentado la actividad más reciente del grupo de hackers en una entrada de blog titulada «Dark Pink vuelve por todo lo alto: 5 nuevas organizaciones de 3 países se suman a la lista de víctimas».
Volvemos por todo lo alto
Según las últimas investigaciones, los analistas de Group-IB afirman haber descubierto cinco nuevas víctimas de Dark Pink.
Además, el alcance geográfico de las operaciones del grupo parece ser considerablemente más amplio de lo que se había evaluado anteriormente, una conclusión que queda patente por el hecho de que entidades ubicadas en Brunei, Tailandia y Bélgica fueron objeto de ciberataques atribuidos a Dark Pink.
De Group-IB:
Un análisis más detallado ha revelado que este grupo sigue activo, ya que «Dark Pink» atacó un ministerio del Gobierno de Brunei el pasado mes de enero y, más recientemente, en April 2023, una agencia gubernamental de Indonesia. Además, los investigadores de Group-IB pudieron atribuir otros tres ataques del 2022 a este grupo APT en concreto.
Conclusiones clave
- El phishing de tipo «Spear-» sigue siendo la vía de acceso inicial preferida por el grupo.
- Dark Pink sigue utilizando el arsenal del grupo (que, tal y como se describía en el informe anterior de Group-IB, estaba compuesto casi en su totalidad por herramientas personalizadas diseñadas para sustraer archivos y datos de mensajería). Muchas de las herramientas han sido objeto de importantes mejoras.
- Muchas de estas mejoras ayudan a los operadores de Dark Pink a pasar desapercibidos y a eludir diversas medidas automatizadas de ciberseguridad defensiva.
- Una investigación llevada a cabo por la unidad de Inteligencia sobre Amenazas de Group-IB ha permitido descubrir una nueva cuenta de Dark Pink en GitHub. Un análisis más detallado reveló que la cuenta se creó casi inmediatamente después de que se hiciera pública la información sobre el grupo de hackers en enero. Esta cuenta de GitHub permite a los operadores de Dark Pink enviar órdenes a los sistemas comprometidos.
- Los recientes ataques de Dark Pink han consistido en la exfiltración de datos sustraídos a través del protocolo HTTP utilizando el servicio Webhook, al tiempo que se han aprovechado las funcionalidades de un complemento de MS Excel para facilitar el establecimiento de la persistencia de TelePowerBot (una versión más sencilla de KamiKakaBot, , escrito en PowerShell).
- Dark Pink también utiliza comandos de PowerShell para buscar software legítimo y herramientas de desarrollo en los dispositivos comprometidos, con el fin de descubrir recursos que los atacantes puedan aprovechar para continuar con sus operaciones.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La investigación de Group-IB sugiere que el grupo APT Dark Pink es un actor malicioso muy activo, dedicado al desarrollo continuo de su arsenal personalizado y centrado en ampliar sus operaciones, tanto en lo que respecta a la ubicación como al sector».
«Tal y como señala Group-IB, “los grupos APT son conocidos por su capacidad de reacción y por su habilidad para adaptar sus herramientas personalizadas con el fin de eludir continuamente la detección, y Dark Pink no es una excepción”».
«La reciente ampliación del patrón de objetivos del grupo y su empeño por mejorar sus capacidades de evasión del análisis y la detección deberían ser motivo de preocupación para los profesionales de la seguridad y, aunque todavía no se le haya vinculado a ningún gobierno ni Estado-nación concreto, Dark Pink debería considerarse una amenaza significativa».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , , el foro de debate de Tanium (se abre en una nueva pestaña),, y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes sobre inteligencia de amenazas cibernéticas de « » en .
