En primer lugar, en el resumen de esta semana, CTI analiza el grupo de ransomware 8Base y su reciente aumento de actividad. A continuación, CTI investiga a Volt Typhoon, un grupo de amenazas persistentes avanzadas (APT) vinculado a China que emplea técnicas novedosas para acceder a las redes de sus objetivos. Por último, CTI investiga un nuevo informe que revela cómo Andariel, un actor malicioso respaldado por Corea del Norte, utilizó el año pasado un malware hasta entonces desconocido en ciberataques que aprovechaban la vulnerabilidad Log4j Log4Shell .
El ransomware 8Base registra un repunte en su actividad y amenaza a empresas estadounidenses y brasileñas
La Unidad de Análisis de Amenazas de VMware ha publicado su análisis (se abre en una nueva pestaña) sobre el grupo de ransomware 8Base , al que atribuye un enorme repunte de actividad en mayo y junio de este año.
A continuación se presentan algunas conclusiones clave del informe:
- Parece que « 8Base » es la continuación de un grupo de ransomware más consolidado, más que una nueva operación. Esto se debe a las similitudes observadas en las tácticas empleadas en los últimos ataques del ransomware 8Base .
- El grupo de ransomware 8Base , que se autodefine como «simples evaluadores de seguridad», lleva en activo desde March 2022 , pero no fue hasta cuando lanzó su sitio web de filtración de datos (se abre en una nueva pestaña) en mayo de 2023. El grupo incrementó rápidamente el número de sus ataques en mayo, registrando unas 30 víctimas en su página web dedicada a la divulgación de información durante ese mes, frente a menos de cinco el mes anterior.
- La banda de ransomware recientemente descubierta fue responsable de aproximadamente el 15 % de todos los ataques de ransomware en May 2023. Para poner esta cifra en perspectiva, el famoso grupo LockBit fue responsable del 18 % de los ataques de ransomware de ese mismo mes.
- Según , Malwarebytes y , el grupo NCC (se abre en una nueva pestaña), el 8Base se ha relacionado con un total de 67 ataques a fecha de May 2023. De estos ataques, aproximadamente el 50 % de las víctimas pertenecían a los sectores de los servicios empresariales, la industria manufacturera y el sector financiero.
- Parece que «8Base » se dirige principalmente a las pequeñas y medianas empresas (pymes), y la mayoría de las víctimas se encuentran en Estados Unidos y Brasil.
8Base y RansomHouse: ¿Cuál es la relación?
VMware ha detectado similitudes significativas entre esta operación y la operación de ciberdelincuencia denominada «RansomHouse». No obstante, es importante tener en cuenta que RansomHouse utiliza varios tipos distintos de ransomware, todos ellos disponibles en la dark web. El grupo no cuenta con un ransomware propio.
Los investigadores han identificado una coincidencia del 99 % en los aspectos lingüísticos de las notas de rescate difundidas por estos grupos. Asimismo, llevaron a cabo una comparación detallada de los puntos de fuga de cada grupo y, una vez más, constataron que el texto era prácticamente idéntico. Además, las páginas de bienvenida, las condiciones de uso y las páginas de preguntas frecuentes de ambos sitios web dedicados a filtraciones se copiaron palabra por palabra.
Los investigadores solo encontraron dos diferencias importantes al comparar ambos grupos de amenazas. La primera diferencia fundamental es que RansomHouse hace publicidad de sus colaboraciones y busca activamente nuevas colaboraciones, mientras que 8Base no lo hace. La segunda diferencia fundamental tiene que ver con la estructura y el diseño de las propias páginas de filtraciones.
8Base y el ransomware Phobos
Mientras los investigadores buscaban una muestra de ransomware del grupo « 8Base Ransom», se encontraron con una muestra del ransomware Phobos que utiliza la extensión de archivo .8base para sus archivos cifrados.
Un análisis más detallado reveló que el sistema 8Base utilizaba la versión 2.9.1 de Phobos, equipada con SmokeLoader. Dado que Phobos opera como un servicio de ransomware (RaaS) de tipo « », no es de extrañar que esto haya ocurrido. Los autores de las amenazas pueden adaptar determinados elementos del ransomware a sus propias necesidades, como probablemente ocurre en este caso.
Si bien la versión 8Base incorporó opciones de personalización con la extensión de archivo .8base , el formato de toda la parte añadida era el mismo que el de Phobos. Incluía una sección de identificación, una dirección de correo electrónico y una extensión de archivo.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque LockBit y Cl0p parecen estar dominando el ámbito del ransomware últimamente, 8Base parece estar a la altura del desafío». De hecho, el grupo se ha situado entre los dos principales grupos de rescate en los últimos 30 días.
«Lamentablemente, no hay mucha información pública disponible sobre las metodologías, las tácticas o las motivaciones subyacentes de dicho grupo».
VMware resume sus reflexiones sobre el grupo:
Por el momento, solo podemos especular sobre la posibilidad de que estén utilizando varios tipos diferentes de ransomware, ya sea en forma de variantes anteriores o como parte de sus procedimientos operativos habituales. Lo que sí sabemos es que este grupo es muy activo y tiene como objetivo a las pequeñas empresas.
«Aunque hasta ahora se sabe muy poco sobre este grupo, 8Base sigue siendo una de las principales operaciones de ransomware activas de este verano».
2. El grupo APT «Volt Typhoon», vinculado a China, utiliza técnicas novedosas para acceder a las redes de sus objetivos
Investigadores de CrowdStrike afirman haber observado que el grupo de amenazas persistentes avanzadas (APT) vinculado a China, conocido como « » o «Volt Typhoon» (se abre en una nueva pestaña) , utiliza técnicas novedosas para obtener acceso inicial a las redes de sus objetivos.
El equipo de detección y respuesta gestionadas (MDR) Falcon Complete de CrowdStrike menciona un incidente reciente relacionado con Volt Typhoon al que el equipo respondió, tras una detección activada por unos comandos de reconocimiento sospechosos.
¿Qué es Volt Typhoon?
Volt Typhoon es un actor malicioso respaldado por el Estado con sede en China. Este grupo avanzado de amenazas persistentes (APT) suele dedicarse al ciberespionaje y a la recopilación de información para satisfacer necesidades de inteligencia (IR) que se ajustan a los intereses del Estado chino.
Los primeros informes disponibles públicamente sobre este actor destacan que Volt Typhoon recurre de forma prácticamente exclusiva a técnicas de «living-off-the-land» (LotL) y utiliza con frecuencia la actividad «hands-on-keyboard» con el fin de eludir la detección siempre que sea posible.
Según se ha informado, Volt Typhoon lleva en activo desde mediados de 2021. Se dirige a entidades de una amplia gama de sectores críticos, entre los que se incluyen el sector público, el sector marítimo, las comunicaciones, la industria manufacturera, las tecnologías de la información, los servicios públicos, el transporte, la construcción y la educación.
Un informe de Microsoft, elaborado en colaboración con diversas agencias multinacionales de ciberseguridad, afirma que las recientes campañas de ciberespionaje de « » y «Volt Typhoon» (se abre en una nueva pestaña) consisten en ataques sigilosos y selectivos, que, según Microsoft, «se centran en el acceso a credenciales tras la intrusión y en la detección de sistemas de red, dirigidos a organizaciones de infraestructuras críticas de Estados Unidos».
Las últimas operaciones de Volt Typhoon
Recientemente se ha observado que Volt Typhoon utiliza los exploits ManageEngine Self-service Plus (se abre en una nueva pestaña) para obtener acceso inicial; a continuación, los atacantes recurren a webshells personalizadas para facilitar el acceso persistente y a técnicas LotL para permitir el movimiento lateral.
El equipo Falcon Complete de CrowdStrike, en colaboración con el equipo de detección de amenazas Falcon OverWatch de la empresa, respondió a una alerta activada por unos comandos de reconocimiento sospechosos ejecutados en un servidor web Apache Tomcat en el que se ejecutaba ManageEngine ADSelfService Plus.
De CrowdStrike:
La actividad maliciosa descrita en la detección incluía la obtención de una lista de procesos, la realización de pruebas de conectividad de red, la recopilación de información sobre usuarios y grupos, el montaje de recursos compartidos, la enumeración de relaciones de confianza de dominio a través de WMI y la obtención de una lista de zonas DNS a través de WMI. Las acciones de VANGUARD PANDA [denominado en el presente documento «Volt Typhoon – Tanium CTI»] indicaban un conocimiento del entorno objetivo, debido a la rápida sucesión de sus comandos, así como al hecho de que disponían de nombres de host internos específicos e direcciones IP a las que realizar pruebas de ping, recursos compartidos remotos que montar y credenciales en texto plano que utilizar para WMI.
Durante la investigación llevada a cabo tras la notificación de CrowdStrike sobre la actividad de reconocimiento, el equipo de respuesta a incidentes contuvo rápidamente el equipo afectado, aislándolo de forma eficaz e impidiendo que el adversario pudiera seguir interactuando con él.
Se han observado técnicas de espionaje adicionales
Si bien durante este incidente se observaron todas las tácticas, técnicas y procedimientos (TTP) asociados a la explotación de CVE-2021-40593 (se abre en una nueva pestaña), no se detectaron los indicios esperados en los registros que confirmaran de forma definitiva que los atacantes habían explotado este CVE concreto.
Esto podría ser una prueba de los esfuerzos de Volt Typhoon por evitar ser detectado e impedir cualquier análisis posterior de su actividad.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«CTI mantiene un interés activo en Volt Typhoon y está siempre atenta a informes fiables que detallen la evolución y las mejoras en la metodología y las TTP de este actor».
«La observación realizada por CrowdStrike de las tácticas, técnicas y procedimientos (TTP) de Volt Typhoon, nunca antes documentadas, constituye información valiosa y útil que puede emplearse para defender a las organizaciones frente a esta amenaza y frente a aquellas que utilizan tácticas similares».
3. El grupo de hackers norcoreano Andariel ataca con el nuevo malware EarlyRat
Un nuevo informe publicado en el blog SecureList de Kaspersky revela que el actor malicioso respaldado por Corea del Norte, identificado como « » y «Andariel» , desplegó el año pasado un malware hasta entonces desconocido —denominado EarlyRat— en ciberataques que aprovechaban la vulnerabilidad Log4j Log4Shell .
Los investigadores de SecureList se toparon con la campaña durante una investigación reciente y, tras un análisis más detallado, descubrieron tanto la familia de malware no documentada antes mencionada como nuevas incorporaciones al conjunto de tácticas, técnicas y procedimientos (TTP) de Andariel.
Un análisis más detallado de Andariel
Se cree que Andariel, también conocido como Silent Chollima y Stonefly, es un subgrupo del famoso grupo APT «» Lazarus de Corea del Norte, un actor de .
Además de llevar a cabo operaciones de ciberespionaje dirigidas contra entidades gubernamentales y militares extranjeras de interés estratégico para Corea del Norte, Andariel lleva a cabo campañas de ciberdelincuencia (se abre en una nueva pestaña) con el fin de generar ingresos y respaldar la economía en dificultades y las operaciones militares de este país, objeto de frecuentes sanciones.
Tal y como se describe en un artículo sobre el tema publicado por The Hacker News, algunas de las armas clave del arsenal de Andariel incluyen una variante de ransomware conocida como Maui (se abre en una nueva pestaña) y numerosos troyanos de acceso remoto y puertas traseras, tales como Dtrack (Valefor y Preft), NukeSped (se abre en una nueva pestaña) (Manuscrypt), MagicRAT (se abre en una nueva pestaña) y YamaBot. (se abre en una nueva pestaña)
El uso malicioso de la vulnerabilidad Log4Shell por parte del actor malicioso ya había sido documentado anteriormente por el Centro de Respuesta a Emergencias de Seguridad de AhnLab (ASEC (se abre en una nueva pestaña)) y Cisco Talos (se abre en una nueva pestaña), en respuesta a sus ataques contra servidores VMware Horizon sin parches en 2022.
Actividad recientemente documentada
Según el informe de SecureList, se ha observado que Andariel volvía a infectar equipos mediante la ejecución de un exploit ( Log4j ), lo que también provocaba la descarga de más malware desde el servidor de mando y control (C2).
Aunque los investigadores de Kaspersky no pudieron detectar el primer programa malicioso descargado por el autor del ataque, sí pudieron observar que, tras la explotación de la vulnerabilidad, se produjo inmediatamente después la descarga de la puerta trasera DTrack del grupo.
Los investigadores de Kaspersky lograron reproducir los comandos ejecutados por los atacantes, lo que dejó claro de inmediato que dichos comandos los estaba ejecutando un operador humano, tal y como ponían de manifiesto los numerosos errores y faltas ortográficas que observaron.
Uso de herramientas ya disponibles
Los investigadores de Kaspersky también pudieron identificar la gama de herramientas disponibles en el mercado que los operadores de Andariel instalaron y utilizaron durante la fase de ejecución de comandos; estas herramientas se emplearon posteriormente para seguir atacando al objetivo.
A continuación se exponen algunos ejemplos:
- Escritorio remoto Supremo
- 3Proxy
- Red eléctrica
- Masilla
- Dumpert
- NTDSDumpEx
- ForkDump
EarlyRat: Una introducción
Tal y como se indica en el informe de SecureList, los investigadores de Kaspersky detectaron por primera vez una versión de EarlyRat durante la investigación de uno de los Log4j incidentes atribuidos a Andariel.
En aquel momento, se supuso que el malware se había descargado a través de Log4j. Sin embargo, la búsqueda de muestras adicionales condujo al descubrimiento de documentos de phishing, cuyo objetivo final era instalar EarlyRat en los dispositivos comprometidos.
Lo interesante es que los correos electrónicos de phishing de que forman parte de la campaña no son muy sofisticados. Es más, los documentos de phishing también solicitan a los destinatarios que habiliten las macros, lo cual es destacable porque muchos ciberdelincuentes han optado por otras alternativas, como archivos XLL, imágenes ISO y archivos MSI, después de que Microsoft bloqueara las macros de forma predeterminada en varias aplicaciones de Office el año pasado.
Funcionalidad
En lo que respecta a la funcionalidad de EarlyRat, este malware es bastante sencillo. Puede ejecutar comandos, y al parecer eso es lo más interesante que ofrece este dispositivo.
Al igual que muchos troyanos de acceso remoto (RAT), EarlyRat está diseñado para comenzar a recopilar información del sistema nada más iniciarse.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque es posible que EarlyRat no sea el programa malicioso más sofisticado, el Grupo Lazarus y sus componentes secundarios revisten un gran interés para la CTI y merecen un seguimiento minucioso. «La capacidad de estos grupos para llevar a cabo operaciones de ciberespionaje al tiempo que realizan campañas de ciberdelincuencia con fines económicos los convierte en una amenaza más compleja y matizada».
«CTI presta atención cada vez que tenemos conocimiento de nuevas tácticas, técnicas y procedimientos (TTP) o de malware utilizado por Lazarus y sus homólogos, ya que se trata de un actor malicioso que emplea una amplia variedad de herramientas (muchas de ellas personalizadas), actualiza continuamente el malware existente y, a menudo, desarrolla nuevo malware y nuevos métodos para su distribución».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
