En primer lugar en el resumen de esta semana, CTI explora el grupo de ransomware 8Base y su reciente pico en la actividad. Luego, CTI investiga Volt Typhoon, un grupo de amenazas persistentes avanzadas (APT) vinculado a China que emplea una nueva técnica para acceder a las redes objetivo. Finalmente, CTI investiga un nuevo informe que revela cómo Andariel, un actor de amenazas respaldado por Corea del Norte, implementó un malware previamente desconocido el año pasado en ciberataques que explotan la vulnerabilidad Log4j Log4Shell .
8Base picos de ransomware en la actividad amenazan a las empresas estadounidenses y brasileñas
La Unidad de Análisis de Amenazas de VMware ha lanzado su análisis (se abre en una nueva pestaña) del grupo de ransomware 8Base , lo que atribuye un aumento masivo de la actividad en mayo y junio de este año a la pandilla.
Estas son algunas conclusiones clave del informe:
- Parece que 8Base es la continuación de un grupo de ransomware más maduro, en lugar de una nueva operación. Esto se debe a las similitudes observadas en las tácticas utilizadas en los últimos 8Base ataques de ransomware.
- El grupo de ransomware 8Base , que se describe a sí mismo como “probadores de bolígrafo simples”, ha estado activo desde que, March 2022 pero solo lanzó su sitio de fuga de datos (se abre en una nueva pestaña) en mayo de 2023. El grupo aumentó rápidamente su número de ataques en mayo, enumerando alrededor de 30 víctimas en su sitio de fugas durante el mes, en comparación con menos de cinco el mes anterior.
- La pandilla de ransomware recientemente descubierta fue responsable de aproximadamente el 15 % de todos los ataques de ransomware en May 2023. Para poner este número en perspectiva, el notorio grupo LockBit fue responsable del 18 % de los ataques de ransomware ese mismo mes.
- Según Malwarebytes y el grupo NCC (se abre en una nueva pestaña), 8Base se han vinculado a un total de 67 ataques desde May 2023. De estos ataques, aproximadamente el 50 % de las víctimas estaban en los sectores de servicios comerciales, fabricación y finanzas.
- 8Base parece dirigirse predominantemente a pequeñas y medianas empresas (PYMES), y la mayoría de las víctimas están en los EE. UU. y Brasil.
8Base y RansomHouse: ¿Cuál es la conexión?
VMware notó similitudes significativas entre esta operación y la operación de delitos cibernéticos RansomHouse. Sin embargo, es importante tener en cuenta que RansomHouse utiliza varios tipos diferentes de ransomware, todos los cuales están disponibles en la web oscura. El grupo no tiene su propio ransomware de firma.
Los investigadores identificaron una coincidencia del 99 % en la lingüística contenida en las notas de rescate distribuidas por estos grupos. También realizaron una comparación lado a lado del sitio de fugas de cada grupo y nuevamente encontraron que el lenguaje era casi idéntico. Además, las páginas de bienvenida, los términos de servicio y las páginas de preguntas frecuentes para ambos sitios de fugas se copiaron palabra por palabra.
Los investigadores encontraron solo dos diferencias importantes al comparar los dos grupos de amenazas. La primera diferencia clave es que RansomHouse anuncia sus asociaciones y recluta activamente para asociaciones, y 8Base no lo hace. La segunda diferencia clave tiene que ver con el diseño de las páginas de fugas en sí.
ransomware 8Base y Phobos
Mientras los investigadores buscaban una muestra de ransomware del grupo de rescate 8Base , encontraron una muestra de ransomware de Phobos que utiliza la extensión de archivo .8base para sus archivos cifrados.
Un análisis más profundo reveló que 8Base estaba utilizando Phobos versión 2.9.1 cargada con SmokeLoader. Dado que Phobos opera como ransomware como servicio (RaaS), no es sorprendente que esto haya ocurrido. Los actores de amenazas pueden personalizar partes del ransomware según sus propias necesidades, como es probable que sea el caso aquí.
Aunque 8Base agregó personalización con la extensión de archivo .8base , el formato de toda la parte adjunta era el mismo que Phobos. Incluyó una sección de ID, una dirección de correo electrónico y una extensión de archivo.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Aunque LockBit y Cl0p parecen estar dominando el espacio del ransomware últimamente, 8Base parece estar a la altura del desafío. De hecho, el grupo rompió a los dos principales grupos de rescate en los últimos 30 días”.
“Lamentablemente, no hay mucha información pública disponible sobre las metodologías, tácticas o motivaciones subyacentes del grupo”.
VMware resume sus pensamientos en torno al grupo:
Solo podemos especular en este momento que están utilizando varios tipos diferentes de ransomware, ya sea como variantes anteriores o como parte de sus procedimientos operativos normales. Lo que sí sabemos es que este grupo es altamente activo y se dirige a empresas más pequeñas.
“Incluso con poca información sobre el grupo, hasta el momento, 8Base siguen siendo una de las principales operaciones activas de ransomware del verano”.
2. El tifón Volt de APT vinculado a China utiliza una nueva técnica comercial para acceder a las redes objetivo
Los investigadores de CrowdStrike afirman haber observado al grupo de amenazas persistentes avanzadas (APT) vinculado a China rastreado como Volt Typhoon (se abre en una nueva pestaña) utilizando una nueva técnica para obtener acceso inicial a las redes objetivo.
El equipo de detección y respuesta gestionadas (Managed Detection and Response, MDR) de Falcon Complete de CrowdStrike cita un incidente reciente de tifón de Volt al que el equipo respondió, después de una detección activada por comandos de reconocimiento sospechosos.
¿Qué es Volt Typhoon?
Volt Typhoon es un actor de amenazas patrocinado por el estado con sede en China. Este grupo avanzado de APT generalmente participa en ciberespionaje y recopilación de información en apoyo de los requisitos de inteligencia (IR) que se alinean con los intereses del estado chino.
Los informes iniciales disponibles al público sobre el actor resaltan el uso virtualmente exclusivo de técnicas de vida fuera de la tierra (LotL) de Volt Typhoon y el uso frecuente de la actividad práctica del teclado en una oferta para evadir la detección siempre que sea posible.
Se informa que Volt Typhoon ha estado activo desde mediados de 2021. Se dirige a entidades en una amplia gama de sectores críticos, incluidos gobierno, marítimo, comunicaciones, fabricación, tecnología de la información, servicios públicos, transporte, construcción y educación.
Un informe de Microsoft, en coordinación con varias agencias multinacionales de ciberseguridad, dice que las recientes campañas de ciberespionaje de Volt Typhoon (se abre en una nueva pestaña) consisten en ataques sigilosos y dirigidos, que Microsoft dice que están “enfocados en el acceso a credenciales posteriores a la vulneración y el descubrimiento de sistemas de red destinados a organizaciones de infraestructura crítica en los Estados Unidos”.
Las últimas operaciones de Volt Typhoon
Volt Typhoon se observó recientemente utilizando exploits de autoservicio de ManageEngine Plus (se abre en una nueva pestaña) para obtener acceso inicial, después de lo cual los atacantes confiarían en webshells personalizados para ayudar a facilitar el acceso persistente y técnicas de LotL para permitir el movimiento lateral.
El equipo de Falcon Complete de CrowdStrike, en combinación con el equipo de búsqueda de amenazas de Falcon OverWatch de la firma, respondió a una detección activada por comandos de reconocimiento sospechosos ejecutados con un servidor web de Apache Tomcat que ejecutaba ManageEngine ADSelfService Plus.
Desde CrowdStrike:
La actividad maliciosa detallada en la detección incluyó enumerar procesos, pruebas de conectividad de red, recopilar información de usuarios y grupos, aumentar recursos compartidos, enumerar la confianza de dominio sobre WMI y enumerar zonas DNS sobre WMI. Las acciones de VANGUARD PANDA [denominadas en el presente Volt Typhoon – Tanium CTI] indicaron una familiaridad con el entorno objetivo, debido a la rápida sucesión de sus comandos, así como tener nombres de host internos específicos e IP para ping, acciones remotas para montar y credenciales de texto sin formato para usar para WMI.
Durante la investigación que tuvo lugar después de la notificación de CrowdStrike de la actividad de reconocimiento, el equipo de respuesta a incidentes rápidamente contenía el host comprometido, lo que lo aisló eficazmente y evitó que el adversario tuviera más interacción con el host comprometido.
Se observó una técnica adicional
Aunque se observaron todas las tácticas, técnicas y procedimientos (TTP) asociados con la explotación de CVE-2021-40593 (se abre en una nueva pestaña) durante este incidente, los artefactos de registro esperados que confirmarían definitivamente la explotación de los atacantes de este CVE en particular estaban ausentes.
Esto puede ser evidencia de los esfuerzos de Volt Typhoon para evitar la detección y evitar cualquier análisis post mortem de su actividad.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“CTI mantiene un interés activo en Volt Typhoon y siempre está atento a informes confiables que detallen evoluciones y mejoras en la metodología y los TTP del actor”.
“La observación de CrowdStrike de los TTP nunca antes documentados de Volt Typhoon es inteligencia valiosa y procesable que puede utilizarse para defender a las organizaciones contra esta amenaza y aquellas que aprovechan tácticas similares”.
3. El grupo de hackers de Corea del Norte Andariel ataca con el nuevo malware de EarlyRat
Un nuevo informe publicado en el blog SecureList de Kaspersky revela que el actor de amenazas respaldado por Corea del Norte rastreado mientras Andariel implementaba un malware previamente desconocido, denominado EarlyRat, el año pasado en ciberataques que explotaban la vulnerabilidad Log4j Log4Shell .
Los investigadores de SecureList tropezaron con la campaña durante una investigación reciente y, después de un análisis adicional, descubrieron tanto la familia de malware indocumentado mencionada anteriormente como las adiciones al conjunto de tácticas, técnicas y procedimientos (TTP) de Andariel.
Una mirada más detallada de Andariel
Se cree que Andariel, que también es rastreado como Silent Chollima y Stonefly, es un subgrupo del conocido actor de APT de Lazarus Group de Corea del Norte.
Además de participar en operaciones de ciberespionaje dirigidas a gobiernos extranjeros y entidades militares de interés estratégico para Corea del Norte, Andariel realiza campañas de ciberdelitos (se abre en una nueva pestaña) para generar ingresos y apoyar las operaciones económicas y militares que a menudo están en dificultades de la nación sancionada.
Como describe un artículo sobre el tema publicado por The Hacker News, algunas de las armas clave en el arsenal de Andariel incluyen una cepa de ransomware denominada Maui (se abre en una nueva pestaña) y numerosos troyanos y puertas traseras de acceso remoto como Dtrack (Valefor y Preft), NukeSped (se abre en una nueva pestaña)(Manuscrypt), MagicRAT (se abre en una nueva pestaña) y YamaBot. (se abre en una nueva pestaña)
La armación de la vulnerabilidad Log4Shell por parte del actor de amenazas fue documentada previamente por el Centro de Respuesta a Emergencias de Seguridad (ASEC (se abre en una nueva pestaña)) de AhnLab y Cisco Talos (se abre en una nueva pestaña) en respuesta a sus ataques en servidores VMWare Horizon sin parches en 2022.
Actividad recientemente documentada
Según el informe de SecureList, se observó que Andariel infectó máquinas una vez más ejecutando un exploit Log4j , que también dio como resultado la descarga de malware adicional desde el servidor de comando y control (C2).
Aunque los investigadores de Kaspersky no pudieron observar la primera parte de malware descargada por el actor, pudieron observar que la explotación de la vulnerabilidad fue seguida de cerca por la descarga de la puerta trasera de DTrack del grupo.
Los investigadores de Kaspersky pudieron reproducir los comandos ejecutados por los atacantes, un hecho que inmediatamente dejó en claro que los comandos eran ejecutados por un operador humano, como lo evidencian los numerosos errores y errores tipográficos que observaron.
Uso de herramientas listas para usar
Los investigadores de Kaspersky también pudieron identificar la gama de herramientas listas para usar instaladas e implementadas por los operadores de Andariel durante la fase de ejecución del comando; estas herramientas también se utilizaron posteriormente para una mayor explotación del objetivo.
Los siguientes son algunos ejemplos:
- Escritorio remoto Supremo
- 3Proxy
- Línea eléctrica
- Masilla
- Volcado
- NTDSDumpEx
- Volcado de horquilla
EarlyRat: una introducción
Como se indicó en el informe de SecureList, los investigadores de Kaspersky observaron por primera vez una versión de EarlyRat durante la investigación de uno de los Log4j incidentes atribuidos a Andariel.
En ese momento, se suponía que el malware se descargaba a través de Log4j. Sin embargo, una búsqueda de muestras adicionales dio como resultado el descubrimiento de documentos de phishing, cuyo propósito final era colocar a EarlyRat en dispositivos comprometidos.
Lo interesante es que los correos electrónicos de phishing en la campaña no son muy avanzados. Además, los documentos de phishing también solicitan que los objetivos habiliten macros, lo que es notable porque muchos ciberdelincuentes han cambiado a otras opciones como archivos XLL, imágenes ISO y archivos MSI después de que Microsoft bloqueara macros de manera predeterminada para varias aplicaciones de Office el año pasado.
Funcionalidad
Con respecto a la funcionalidad de EarlyRat, el malware es bastante simple. Puede ejecutar comandos, y eso aparentemente es tan emocionante como lo hacen las cosas con este.
Al igual que muchos troyanos de acceso remoto (Remote Access Trojans, RAT), EarlyRat está diseñado para comenzar a recopilar información del sistema al iniciar.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Si bien es posible que EarlyRat no sea el malware más sofisticado, Lazarus Group y sus subcomponentes son de gran interés para CTI y garantizan un monitoreo minucioso. La capacidad de los grupos para participar en operaciones de ciberespionaje y, al mismo tiempo, realizar campañas de ciberdelitos con motivación financiera las convierte en una amenaza más complicada y matizada”.
“CTI se da cuenta cada vez que nos enteramos de nuevos TTP o malware que utilizan Lazarus y sus pares, ya que este es un actor de amenazas que utiliza una amplia variedad de herramientas (muchas de ellas personalizadas), actualiza continuamente el malware existente y a menudo desarrolla nuevo malware y métodos para entregarlo”.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
