En el resumen de esta semana, analizamos un aviso conjunto sobre ciberseguridad en el que se destaca el uso de la ingeniería social y la suplantación de identidad por parte de actores de amenazas cibernéticas patrocinados por el Estado y vinculados al Gobierno de Corea del Norte. A continuación, CTI ofrece una visión general de un informe sobre la doble identidad de un actor malicioso conocido como «Asylum Ambuscade», que se sitúa en la frontera entre la ciberdelincuencia y el ciberespionaje. Por último, CTI analiza en profundidad un informe sobre los actores maliciosos asociados al ransomware Cyclops y su nueva herramienta para el robo de información.
1. Washington y Seúl desenmascaran a los ciberespías norcoreanos de Kimsuky
Un aviso conjunto sobre ciberseguridad de « June 1 » destaca el uso de la ingeniería social y la suplantación de identidad por parte de Kimsuky (también conocido como TA406 y Thallium) —un grupo de amenazas persistentes avanzadas patrocinado por un Estado y vinculado a la República Popular Democrática de Corea—. El informe ha sido elaborado por la Oficina Federal de Investigación (FBI), el Departamento de Estado de los Estados Unidos y la Agencia de Seguridad Nacional (NSA), en colaboración con el Servicio Nacional de Inteligencia (NIS), la Agencia Nacional de Policía (NPA) y el Ministerio de Asuntos Exteriores (MOFA) de la República de Corea (ROK).
Según se ha informado, esta actividad maliciosa forma parte de la explotación de redes informáticas (CNE) y tiene como objetivo a personas que trabajan en centros de investigación, grupos de expertos, instituciones académicas y medios de comunicación de todo el mundo.
El objetivo principal del aviso conjunto es poner de relieve la metodología de los ciberataques de Kimsuky, concretamente el uso que hace de la ingeniería social y la suplantación de identidad. Las agencias consideran que dar a conocer las tácticas, técnicas y procedimientos (TTP) de una de las APT más activas y eficaces de la RPDC aumentará la concienciación sobre sus campañas y ayudará a los posibles objetivos a aplicar prácticas básicas de ciberseguridad.
Lo que hay que saber sobre Kimsuky
En activo desde el año 2012, Kimsuky se dirige principalmente a diplomáticos, organizaciones no gubernamentales, centros de estudios y expertos en cuestiones relacionadas con la península de Corea.
De The Record: (se abre en una nueva pestaña)
Las agencias de inteligencia y los investigadores en ciberseguridad afirman que el grupo está controlado por la organización de inteligencia militar de Corea del Norte, la Oficina General de Reconocimiento (RGB), que ha sido sancionada por el Consejo de Seguridad de las Naciones Unidas.
Tal y como explica el nuevo comunicado conjunto, Kimsuky desempeña un papel fundamental en el programa cibernético de la RPDC, que proporciona al régimen una parte importante de su amplia recopilación de información y hace posible una parte significativa de las capacidades de espionaje de la RPDC.
Las agencias aliadas de ciberseguridad encargadas de redactar conjuntamente el aviso —así como los gobiernos a los que prestan servicio— estiman que «los objetivos principales del programa cibernético del régimen de la RPDC incluyen mantener un acceso constante a información de inteligencia actualizada sobre Estados Unidos, Corea del Sur y otros países de interés, con el fin de impedir cualquier amenaza política, militar o económica para la seguridad y la estabilidad del régimen».
Según el comunicado conjunto, Kimsuky depende administrativamente de una unidad perteneciente al RGB de Corea del Norte, y entre sus funciones dentro de dicha estructura se incluyen la realización de amplias campañas cibernéticas en apoyo de diversos objetivos del RGB , así como la recopilación de datos para satisfacer las necesidades de inteligencia (IR) del RGB, al menos desde el año 2012. Todas las actividades se llevan a cabo al servicio de la misión principal y fundamental de Kimsuky: proporcionar datos sustraídos y valiosa información geopolítica al régimen norcoreano.
Cómo utiliza Kimsuky la ingeniería social y el spear phishing
Los ataques de phishing de tipo « » y « » constituyen los principales medios que utiliza el autor para facilitar la entrada inicial en una red objetivo y obtener acceso a los recursos y dispositivos de la víctima.
Los operadores de Kimsuky llevan más de una década perfeccionando el arte de crear comunicaciones fraudulentas, en las que cada mensaje se adapta específicamente para atraer —y engañar— a su destinatario y inducirle a que, sin darse cuenta, provoque un incidente de seguridad.
Según el comunicado conjunto:
Una campaña de spear-phishing de Kimsuky comienza con una exhaustiva investigación y preparación. Los ciberdelincuentes de la RPDC suelen utilizar información de fuentes abiertas para identificar posibles objetivos de interés y, a continuación, adaptan sus identidades en línea para que resulten más realistas y atractivas a los ojos de sus víctimas.
Los operadores de Kimsuky no escatimarán esfuerzos para dotar de autenticidad a un ataque de spear-phishing. Por ejemplo, los autores de Kimsuky crean direcciones de correo electrónico diseñadas para parecerse mucho a las de las personas reales a las que pretenden suplantar; además, registran dominios que parecen auténticos y cuyo único propósito es alojar el contenido malicioso de un mensaje de spear-phishing. Los agentes de la RPDC suelen utilizar dominios que, a simple vista, se asemejan mucho a los de servicios habituales de Internet y a los de sitios web de medios de comunicación, con el fin de engañar con mayor eficacia a sus víctimas.
Otras tácticas destacadas de spear-phishing
Los autores de Kimsuky suelen suplantar la identidad de medios de comunicación y periodistas de renombre, utilizando dominios con errores ortográficos para enviar correos electrónicos de spear-phishing desde direcciones que se asemejan mucho a las de fuentes legítimas.
Los ciberdelincuentes de la RPDC suelen suplantar la identidad de personas reales para ganarse la confianza y establecer una buena relación en sus comunicaciones digitales. A menudo se hacen con el control de cuentas de correo electrónico de personas reales y llevan a cabo un análisis de las comunicaciones legítimas que se encuentran en la bandeja de entrada comprometida, con el fin de parecer más convincentes en caso de que el autor decida introducirse en un hilo de comunicación ya existente. El análisis minucioso de la bandeja de entrada de la víctima de suplantación de identidad también permite al autor buscar nuevos objetivos, al tiempo que recopila información valiosa, como listas de contactos, clubes sociales, etc. El actor de la RPDC también puede aprovechar la firma del correo electrónico de la víctima para elaborar mensajes de spear-phishing más convincentes.
Según el comunicado conjunto:
«Se sabe, además, que los ciberdelincuentes de la RPDC se hacen con el control de cuentas de correo electrónico pertenecientes a expertos en política exterior y, posteriormente, crean una cuenta de correo secundaria, utilizando la cuenta y la identidad del experto para comunicarse con otros objetivos importantes.
Los actores de Kimsuky también utilizan múltiples identidades para interactuar con un mismo objetivo, recurriendo a menudo a identidades secundarias para corroborar la validez de la suplantación principal. El reenvío de mensajes procedentes de fuentes fiables es una táctica similar que se ha observado en las acciones de agentes de la RPDC.
Aunque algunos correos electrónicos iniciales de spear-phishing pueden contener un enlace o un documento malicioso (normalmente protegido con contraseña para eludir las medidas de seguridad del correo electrónico), lo más habitual es que el correo electrónico inicial no contenga ningún contenido malicioso, ya que su objetivo es establecer una relación —y, lo que es más importante, generar confianza—.
Una vez que han establecido contacto con éxito con un objetivo, los agentes de la RPDC proceden a comprometer la cuenta, el dispositivo o la red del objetivo mediante el envío de contenido malicioso —a menudo en forma de una macro maliciosa incrustada en un documento de texto—. Según el aviso conjunto, este documento se adjunta directamente al correo electrónico o se almacena en un servicio de alojamiento de archivos como Google Drive o Microsoft OneDrive. Estas macros maliciosas, una vez activadas, establecen de forma silenciosa conexiones con la infraestructura de mando y control de Kimsuky (C2), con el objetivo de obtener acceso al dispositivo de la víctima.
En algunos casos, los autores de Kimsuky crean versiones fraudulentas —aunque muy convincentes— de sitios web, portales o aplicaciones reales con el fin de recopilar credenciales.
Según el comunicado conjunto:
La violación de una cuenta objetivo puede dar lugar a un acceso persistente a las comunicaciones de la víctima, a menudo a través de un malware utilizado por los autores de Kimsuky denominado BabyShark. También se sabe que los autores de Kimsuky configuran la cuenta de correo electrónico de la víctima para que reenvíe automáticamente y de forma discreta todos los mensajes a otra dirección controlada por ellos.
Los autores de amenazas suelen suplantar la identidad de periodistas, académicos e investigadores de centros de estudios y dirigirse a ellos mediante tácticas de ingeniería social. Las comunicaciones procedentes de tales suplantaciones de identidad suelen utilizarse para solicitar respuestas a consultas relacionadas con la política exterior, realizar encuestas, solicitar entrevistas, revisar documentos, solicitar currículos y ofrecer pagos a cambio de la redacción de trabajos de investigación.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La información que los actores patrocinados por el Estado de la RPDC, como Kimsuky, pretenden sustraer y explotar varía considerablemente de una campaña a otra». Por ejemplo, según una declaración del ministerio surcoreano, Kimsuky ha participado, directa o indirectamente, en el desarrollo de satélites de Corea del Norte «mediante el robo de tecnologías punteras en materia de desarrollo de armas, satélites y tecnología espacial».
«Como es habitual, Corea del Norte ha desestimado las críticas de Washington y de otros países con respecto al lanzamiento, reivindicando su derecho soberano a la exploración espacial».
«Como se ha señalado anteriormente, y tal y como reitera el artículo de The Record sobre este tema, las campañas de suplantación de identidad llevadas a cabo por grupos como Kimsuky son peligrosas porque algunas víctimas pueden subestimar la amenaza que suponen estos ataques, “ya sea porque no consideran que sus investigaciones y comunicaciones sean de carácter sensible, o porque desconocen cómo estas acciones alimentan las iniciativas más amplias de ciberespionaje del régimen”».
2. «Asylum Ambuscade»: ¿software malicioso o ciberespionaje?
Un nuevo informe publicado en el blog «We Live Security» de ESET analiza la identidad algo ambigua de un actor malicioso identificado como « » (Asylum Ambuscade) (se abre en una nueva pestaña), que se sitúa en la frontera entre la ciberdelincuencia —dedicado a la proliferación de software malicioso— y el ciberespionaje.
¿Qué es «Asylum Ambuscade»?
Asylum Ambuscade es, ante todo, un grupo dedicado a la ciberdelincuencia, aunque también lleva a cabo «de forma paralela» una amplia gama de operaciones de ciberespionaje. El grupo lleva en funcionamiento desde el año 2020.
La existencia y las actividades de este grupo se dieron a conocer por primera vez en March 2022, gracias a los investigadores de Proofpoint (se abre en una nueva pestaña) , quienes describieron «una campaña de phishing (se abre en una nueva pestaña) , probablemente patrocinada por un Estado-nación, que utilizaba la cuenta de correo electrónico de un miembro de las Fuerzas Armadas de Ucrania —posiblemente comprometida— para atacar a personal gubernamental europeo implicado en la gestión de la logística de los refugiados que huían de Ucrania».
A los investigadores de Proofpoint no se les pasó por alto el hecho de que esta actividad pareciera surgir de la nada, por lo que incluyeron la palabra «ambuscade» —o «emboscada»— en su nombre.
Sin embargo, en los años y meses previos al estallido del conflicto entre Rusia y Ucrania surgieron numerosos grupos y facciones maliciosas en todo el panorama de las amenazas. Entonces, ¿qué es lo que distingue a este grupo?
Asylum Ambuscade es un grupo de «crimeware» que tiene como objetivo a clientes bancarios y operadores de criptomonedas en diversas regiones, entre ellas América del Norte y Europa. El grupo también lleva a cabo actividades de espionaje contra entidades gubernamentales en Europa y Asia Central. Además, la mayoría de sus implantes utilizan lenguajes de script como AutoHotkey, JavaScript, Lua, Python y VBS.
Así pues —dejando de lado por un momento que estamos hablando de un actor de amenazas cibernéticas cuyas habilidades parecen más propias de un colectivo de ciberdelincuentes con motivaciones económicas—, analicemos a qué se dedica Asylum Ambuscade en su tiempo libre: al espionaje.
Campañas de ciberespionaje
Según se ha informado, Asylum Ambuscade lleva llevando a cabo campañas de ciberespionaje desde, al menos, el año 2020. En la entrada del blog de We Live Security se mencionan los ataques previos contra funcionarios públicos y empleados de empresas nacionalizadas en Asia Central y Armenia como prueba de este hecho.
Según el informe de Proofpoint, queda claro que se observó que el grupo tenía como objetivo a personal oficial vinculado a los gobiernos de varios países europeos fronterizos con Ucrania en 2022. El objetivo de estas campañas era el robo de información y de credenciales de correo electrónico de los portales oficiales de correo electrónico utilizados por los funcionarios públicos a los que se dirigían.
Los ataques que formaban parte de estas campañas solían comenzar con correos electrónicos de spear phishing acompañados de archivos adjuntos de Excel maliciosos que contenían código VBA malicioso. Este código se encargaba de descargar paquetes MSI desde un servidor remoto controlado por los atacantes y de instalar SunSeed, un programa de descarga escrito en Lua.
Esto no quiere decir que los accesorios carecieran de variedad. En junio, 2022 Asylum Ambuscade aprovechó la vulnerabilidad « » de Follina , ampliamente difundida (CVE-2022-30190 (se abre en una nueva pestaña)). Esto supuso un cambio significativo con respecto al uso habitual de código VBA malicioso.
En estas variantes de ataque, si los atacantes consideraban que merecía la pena dedicar más esfuerzos al dispositivo objetivo, pasaban a la siguiente fase: la instalación de «AHKBOT». AHKBOT, un programa de descarga escrito en AutoHotkey cuya funcionalidad puede ampliarse con la ayuda de diversos complementos, facilita la recopilación de información de la máquina comprometida. Esto no es más que una pequeña muestra del conjunto de herramientas del grupo.
Campañas de ciberdelincuencia
Según se ha informado, Asylum Ambuscade lleva llevando a cabo campañas de ciberdelincuencia con fines económicos desde principios de 2020. Y desde January 2022 , sus actividades delictivas en Internet han dejado un total de 4,500 víctimas en todo el mundo. Las víctimas de este grupo se encuentran repartidas principalmente por América del Norte, aunque también se han registrado víctimas en Asia, África, Europa y América del Sur.
En lo que respecta a los patrones de selección de objetivos de Asylum Ambuscade, el perfil de las víctimas del grupo es bastante variado e incluye a particulares, operadores de criptomonedas y una amplia gama de pequeñas y medianas empresas (pymes) pertenecientes a diversos sectores.
Si bien el propósito que subyace a gran parte de la actividad y los objetivos de este actor malicioso resulta bastante obvio (por ejemplo, el grupo se centra en los operadores de criptomonedas con el objetivo de robarles criptomonedas), algunos de sus objetivos no resultan tan evidentes a primera vista. Por ejemplo, los autores de la entrada del blog reconocen que se sabe muy poco sobre las formas en que Asylum Ambuscade obtiene ingresos por el acceso a las pymes. No obstante, los investigadores plantean la hipótesis de que el autor podría limitarse a vender el acceso a otras organizaciones de ciberdelincuentes, que a su vez aprovecharían dicho acceso para desplegar ransomware o llevar a cabo otros tipos de extorsión o robo de datos. Los autores señalan asimismo que esto no se ha puesto de manifiesto en ningún dato de telemetría observado.
En lo que respecta a la cadena de ataque que utiliza Asylum Ambuscade para respaldar sus actividades de «crimeware», existe un solapamiento significativo con el ciclo de compromiso empleado para facilitar la consecución de los objetivos de ciberespionaje del grupo. La diferencia más evidente es el vector de acceso inicial.
Según el informe, un vector de compromiso secundario utilizado por el grupo durante sus campañas de ciberdelincuencia recurre a anuncios maliciosos de Google Ads, que redirigen a las víctimas a sitios web que distribuyen archivos JavaScript maliciosos , (se abre en una nueva pestaña),y .
De We Live Security:
Redirecciones HTTP múltiples en un sistema de gestión del tráfico (TDS). El TDS que utiliza el grupo es denominado « 404 TDS» por Proofpoint. No es exclusivo de «Asylum Ambuscade» y hemos observado que, por ejemplo, otro actor malicioso lo utilizó para distribuir Qbot.
El grupo también ha estado desarrollando equivalentes de SunSeed utilizando otros lenguajes de scripting, como Tcl y VBS, así como una versión similar a AHKBOT en Node.js, a la que los autores del informe denominan NODEBOT.
Atribución
Dadas las sorprendentes similitudes en casi todos los aspectos de las cadenas de compromiso, resulta evidente que tanto las campañas de ciberespionaje como las de ciberdelincuencia son obra de un único grupo. Esta afirmación se ve reforzada además por el hecho de que tanto SunSeed como AHKBOT se han utilizado ampliamente en ataques que persiguen ambos objetivos. Los autores del material de referencia de este resumen tienen dudas de que SunSeed y AHKBOT se estén vendiendo actualmente en el mercado negro.
De We Live Security:
No creemos que SunSeed y AHKBOT se vendan en el mercado negro. Estas herramientas no son muy sofisticadas en comparación con otras herramientas de «crimeware» que se comercializan; el número de víctimas es bastante reducido, si se tratara de un conjunto de herramientas compartido entre varios grupos; y la infraestructura de red es la misma en todas las campañas... Por lo tanto, creemos que Asylum Ambuscade es un grupo dedicado a la ciberdelincuencia que, además, lleva a cabo actividades de ciberespionaje.
A partir de aquí, la entrada del blog entra en detalles muy técnicos sobre el conjunto de herramientas de Asylum Ambuscade; ofrece análisis y información sobre todo tipo de aspectos, desde los archivos JavaScript maliciosos utilizados durante la mayor parte de las campañas de «crimeware» del grupo, hasta los descargadores personalizados de primera y segunda fase del grupo, así como la gran variedad de complementos que dan soporte a SunSeed y AHKBOT.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Asylum Ambuscade es, ante todo, un actor malicioso dedicado a la ciberdelincuencia, ya que la motivación principal del grupo parece ser de carácter económico».
«Teniendo esto en cuenta, y dado que resulta muy inusual que un ciberdelincuente se dedique, además de su actividad habitual, a llevar a cabo operaciones específicas de ciberespionaje, cabe afirmar que las actividades de espionaje atribuidas a este actor podrían muy bien tratarse de un trabajo por encargo, realizado a instancias del gobierno de un Estado-nación aún no identificado o a petición de un grupo de hackers respaldado por un gobierno que busca desmarcarse».
«No es raro que los actores maliciosos respaldados por Estados «subcontraten» determinados aspectos de su labor a cibermercenarios». Por ejemplo, me vienen inmediatamente a la mente las APT de Irán. Sin embargo, parece que hay más de lo que parece a simple vista. «CTI seguirá de cerca la evolución de esta noticia».
3. La combinación del ransomware Cyclops y el programa de robo de datos: una doble amenaza
Un informe reciente de Uptycs analiza en profundidad a los autores de amenazas asociados con el ransomware Cyclops (se abre en una nueva pestaña) y su nueva herramienta de robo de información.
El ransomware Cyclops ataca a todos los principales sistemas operativos, incluidos Windows, Linux y macOS. La operación difunde ahora un nuevo archivo binario diseñado para sustraer datos tanto de dispositivos Windows como de Linux.
Cómo descubrieron los investigadores a Cyclops
Durante una sesión rutinaria de supervisión de la dark web, Uptycs descubrió por casualidad un nuevo proveedor de «ransomware como servicio» (RaaS) de que ofrecía servicios de ransomware junto con un archivo binario independiente destinado al robo de datos. El actor malicioso responsable del RaaS promociona estas ofertas en diversos foros y solicita una parte de los beneficios obtenidos por quienes utilizan sus servicios. Además, cuenta con un panel independiente que distribuye el ransomware a través de tres sistemas operativos distintos.
Análisis binario de ransomware
Como se ha señalado anteriormente, el ransomware Cyclops cuenta con variantes para Windows, Linux y macOS.
Windows
Uptycs descargó el archivo comprimido de Windows desde el panel de administración de Cyclops y descubrió la existencia del binario del generador, junto con un archivo «readme.txt».
El autor de la amenaza compartió de forma privada un identificador de compilador para crear una carga útil de rescate denominada «locker.exe». Esta carga útil está diseñada para infectar tanto equipos locales como conectados a la red, y el archivo de texto que la acompaña contiene las instrucciones para su ejecución.
La carga útil analizará e identificará los procesos que se estén ejecutando en el equipo objetivo y cerrará cualquier proceso que pudiera interrumpir su proceso de cifrado.
La carga útil utiliza la API GetLogicalDriveStrings para obtener información sobre las unidades lógicas del sistema. Una vez obtenidas las letras de las unidades, enumerará las carpetas y colocará en el disco una nota de rescate titulada «How To Restore Your Files.txt». Comprobará la extensión de los archivos antes de cifrarlos para ver si coincide con una lista predefinida. Si no coincide, cifrará el archivo y le añadirá la extensión .cyclops.
Un atacante que utilice este archivo binario de ransomware puede obtener información sobre las copias de seguridad de un sistema de la víctima con solo ejecutar una consulta SELECT*FROM Wind32_ShadowCopy. Entre los datos que muestra se incluyen el ID de cada copia de seguridad, la hora de creación, el volumen, el nombre y otros datos. A continuación, la carga útil iniciará la eliminación de una copia de sombra específica, identificada por su ID. La eliminación se lleva a cabo mediante la ejecución de la utilidad de línea de comandos Windows Management Instrumentation (WMIC).
Linux
La variante para Linux es un archivo compilado en Go en el que se han eliminado los nombres de las funciones para dificultar la ingeniería inversa.
Tras ejecutar el ejemplo, Uptycs comprobó que ofrecía opciones para cifrar archivos en una ruta concreta, máquinas virtuales o activar la salida detallada.
Esta variante colocará una nota de rescate en cada carpeta que cifre y, a continuación, generará un informe sobre los archivos encontrados, los archivos cifrados, los archivos cifrados con errores, la hora y otros datos.
macOS
El hash de esta variante corresponde a un archivo compilado en Go y tiene el formato de un binario Mach-O.
Al ejecutarse, ofrece opciones para cifrar archivos en una ruta concreta, máquinas virtuales o activar la salida detallada.
La opción elegida para la ejecución del rescate coloca los archivos cifrados en una carpeta específica, junto con la nota de rescate.
Análisis binario de Stealer
Uptycs sigue analizando en profundidad los detalles técnicos de las variantes del programa malicioso «Cyclops», pero ha facilitado la información de la que dispone actualmente.
Programa de robo de credenciales de Windows: Uptycs descargó el programa de robo de credenciales de Windows desde el panel de administración de Cyclops. Tras descomprimir el archivo comprimido descargado, los investigadores obtuvieron dos archivos: «stealer.exe» y «config.json».
El programa malicioso es un archivo binario ejecutable para sistemas x64 y extrae diversa información del sistema de los equipos afectados. A continuación, el programa malicioso lee su archivo config.json, que contiene una lista de nombres de archivos con sus respectivas extensiones y tamaños.
A continuación, el autor del ataque enumerará los directorios y comprobará si existen los archivos que busca y si tienen extensiones específicas. Si se encuentra una coincidencia, se creará un nuevo archivo ZIP protegido con contraseña que incluirá una copia exacta del archivo, junto con su estructura de carpetas. A continuación, estos datos se transfieren al servidor del actor malicioso.
Stealer para Linux: Al igual que en la variante para Linux, se descubrieron dos archivos en el archivo comprimido: «stealer.linux» y «config.json».
Este programa malicioso comienza leyendo el archivo «config.json», que, a su vez, contiene una lista de nombres de archivos con sus respectivas extensiones y tamaños. Al igual que la versión para Windows, enumerará los directorios, comprobará la presencia de los archivos y las extensiones de archivo buscados y creará un archivo ZIP protegido con contraseña con los resultados encontrados.
A continuación, los archivos ZIP se suben a api[.]bayfiles[.]com/upload y a api[.]anonfiles[.]com/upload.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Cyclops es una operación de RaaS relativamente nueva sobre la que se ha informado recientemente por primera vez». Además de dirigir su ransomware contra Windows, Linux y macOS, la operación se ha ampliado para incluir un malware diseñado para el robo de información.
«Estas técnicas, junto con su complejo sistema de cifrado, indican claramente que el autor de la amenaza que se esconde tras la operación es muy sofisticado». Si tenemos en cuenta que Cyclops ofrece todo esto a pesar de llevar muy poco tiempo en activo, podemos empezar a comprender con qué rapidez una operación de ransomware desconocida puede convertirse en una amenaza destacada».
¿Tiene alguna reflexión sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
