Esta semana, analizamos si la disminución del número de ataques de ransomware durante el primer semestre de 2022 , de la que se ha informado ampliamente, es real o si se debe simplemente a la combinación de diversos factores que contribuyen a generar un conjunto de datos sesgado —y engañoso—.
A continuación, ofrecemos un resumen del último informe de Symantec sobre las actividades del grupo APT Shuckworm, un grupo de ciberamenazas que se cree que está vinculado al famoso Servicio Federal de Seguridad de Rusia (FSB). Asimismo, analizamos la actividad de un actor malicioso presuntamente vinculado a Irán, que hasta la fecha ha centrado sus esfuerzos en atacar a entidades israelíes de los sectores del transporte marítimo, la sanidad y la administración pública.
1. ¿Es una ilusión el descenso en el número de casos de ransomware del que tanto se ha hablado?
Tim Starks, del *Washington Post*, planteó recientemente una pregunta interesante: ¿Es el supuesto descenso en el número de ataques de ransomware (se abre en una nueva pestaña) observado hasta ahora en el primer semestre de 2022 un reflejo de la realidad? ¿O acaso el descenso de las cifras es consecuencia de una «tormenta perfecta» de factores que contribuyen a ello y de lagunas de información?
La respuesta más breve parece ser que la cuestión no radica tanto en si el número de ataques de ransomware ha disminuido (los análisis diarios de CTI parecen indicar lo contrario), sino más bien en si las fuentes que facilitan esas cifras disponen de menos información que nunca. La respuesta más detallada parece ser una combinación de ambas.
Entonces, ¿qué factores están contribuyendo a la disminución del número de ataques que se notifican a las personas encargadas de llevar un seguimiento de este tipo de incidentes? En primer lugar, analicemos las cifras que aportan fuentes fiables para asegurarnos de que no se trata únicamente de conjeturas.
Según el artículo del *Washington Post*: «Uno de los primeros datos que apuntaban a un descenso procedía del Grupo de Trabajo sobre Ransomware, formado por expertos del sector público, la industria, el mundo académico y organizaciones sin ánimo de lucro, y se publicó el mes pasado». It documented (opens in a new tab)64 attacks on local government, hospitals and schools in 2022 to that point, compared with 150 incidents from the same period last year.”
El artículo también menciona cómo, en julio,, SonicWall (se abre en una nueva pestaña),, , , NCC Group (se abre en una nueva pestaña),, y , así como GuidePoint Security (se abre en una nueva pestaña),y , señalaron todos ellos descensos generalizados. No obstante, las empresas abarcaban distintos períodos de tiempo.
Por supuesto, no todos los investigadores han llegado a las mismas conclusiones, algo que es habitual en nuestro sector. Al fin y al cabo, las empresas tienen acceso a diferentes datos de telemetría y fuentes. Además, los investigadores se basan en diferentes definiciones de lo que constituye un verdadero incidente de ransomware.
Por ejemplo, Avast afirmó (se abre en una nueva pestaña) la semana pasada que los incidentes de ransomware habían aumentado de Q1 a Q2 de 2022 , aunque Avast tuvo que admitir que sus investigadores observaron una disminución en el número de ataques desde finales de 2021 hasta principios de 2022. SecureWorks llegó a una conclusión similar.
Por lo tanto, si el ransomware sigue realmente en pleno apogeo, ¿cuáles son algunos de los factores que han contribuido a que este conjunto de datos pueda estar sesgado?
Starks señala los siguientes acontecimientos como posibles circunstancias que podrían estar distorsionando las cifras:
- Cambio en las tácticas, técnicas y procedimientos (TTP) de los actores maliciosos: Muchas bandas de ransomware han comenzado a emplear tácticas similares a las del ransomware, pero sin el software malicioso (extorsión sin cifrado), y ahora se centran en el robo de datos y en amenazar con divulgarlos sin necesidad de bloquear los sistemas de las empresas.
- Cambio en los objetivos: Para evitar despertar la ira de los responsables políticos y las fuerzas del orden, las bandas de ransomware también han comenzado a centrar sus ataques en organizaciones más pequeñas. Esto se produce tras una oleada de ataques de ransomware de gran repercusión contra víctimas de primer orden, como JBS, Kaseya y Colonial Pipeline, el año pasado.
- Objetivos más pequeños = recursos más limitados: Las víctimas más pequeñas son menos propensas a notificar sus incidentes de ransomware a cualquiera de las entidades encargadas de llevar un registro de los mismos.
Tal y como ha señalado Don Smith, vicepresidente de inteligencia de la Unidad de Contramedidas contra Amenazas (Counter Threat Unit) de SecureWorks: «Ese [cambio en los objetivos] da lugar a una situación en la que, si se trata de una empresa de tamaño medio o grande, es posible que no mantenga una relación con un CERT nacional», es decir, con un equipo gubernamental de respuesta a emergencias informáticas. «Es posible que no esté dispuesto a pagar a empresas de respuesta ante incidentes de primer nivel para que le ayuden a resolver su problema.» «Y, por lo tanto, al realizar ese tipo de observación desde una perspectiva general, es posible que muchas personas tengan un sesgo en sus informes, lo que podría explicar esta disparidad».
Pero, ¿y si los ataques hubieran disminuido?
Por supuesto, en esta fase inicial, muchos de los factores descritos anteriormente siguen considerándose hipótesis. Sigue existiendo la posibilidad —a pesar de las ligeras discrepancias ocasionales en las cifras entre las organizaciones que elaboran los informes— de que los ataques de ransomware hayan disminuido realmente en los últimos tiempos.
Si este es el caso, los siguientes podrían ser algunos de los factores que contribuyen a ello:
- Sanciones a Rusia: Rusia, considerada desde hace tiempo un refugio seguro para las numerosas bandas de ransomware que operan dentro de sus fronteras, podría haber supuesto un obstáculo para los operadores de ransomware. (se abre en una nueva pestaña)
- Se han disuelto o desarticulado importantes operaciones de ransomware: Tras un periodo especialmente productivo, el prolífico grupo de ransomware Conti aparentemente se disolvió en mayo, (se abre en una nueva pestaña) a raíz de filtraciones internas que revelaron el funcionamiento interno de la banda y su mensaje público (y muy impopular) de alianza con Rusia en el conflicto entre Rusia y Ucrania.
Sea cual sea el motivo de este aparente descenso en los incidentes relacionados con el ransomware, el CTI seguirá vigilando la situación. Seguiremos considerando el ransomware como una de las principales amenazas y, a medida que avance el año, tendremos una visión más clara de los factores que influyen en el número de ataques notificados.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Tim Starks ha sabido explicar muy bien cómo las estadísticas facilitadas por diversas fuentes de inteligencia y organismos gubernamentales pueden variar en ocasiones y, a veces, hacerlo de forma considerable». A menudo resulta demasiado fácil caer en la trampa de confiar ciegamente en los datos que se nos presentan, sobre todo cuando dichos datos proceden de una entidad que, a lo largo del tiempo, ha demostrado ser una fuente fiable de información.
«CTI seguirá supervisando diversas fuentes de estadísticas sobre el ransomware, atenta a cualquier novedad significativa que pudiera afectar al nivel de riesgo que las bandas de extorsión suponen para Tanium y sus proveedores, socios y clientes».
2. «Infostealer» es la carga útil preferida por el grupo APT ruso «Shuckworm» en sus actividades dirigidas contra Ucrania
Una entrada reciente del blog « » de Symantec (se abre en una nueva pestaña) detalla la nueva actividad de Shuckworm observada por la empresa de seguridad, que hasta ahora se ha dirigido contra Ucrania y parece estar introduciendo malware destinado a robar información en las redes afectadas.
Según Symantec, esta actividad seguía en curso tan recientemente como en August 8, 2022, y gran parte de la actividad observada en esta campaña coincide con la que fue destacada por CERT-UA (se abre en una nueva pestaña) en July 26, 2022.
Shuckworm: un grupo vinculado a Rusia mantiene #Ucrania Enfoque - #Gamaredon, #Armageddon La actividad maliciosa continúa, #infostealer es la carga útil en la actividad más reciente. Consulte el blog para conocer los últimos indicadores de compromiso (IoC): symantec-enterprise-blogs.security.com/blogs/threat-i… #Rusia #ciberataques #Shuckworm
¿Qué es el gusano de la cáscara?
Shuckworm (también conocido como Gamaredon o Armageddon) es un grupo vinculado a Rusia que ha centrado sus operaciones casi exclusivamente en Ucrania desde que apareció por primera vez en 2014. En general, se considera que se trata de una operación de espionaje patrocinada por el Estado (se abre en una nueva pestaña), que el Servicio Secreto de Ucrania (SSU) ha relacionado con el FSB.
Los servicios de inteligencia ucranianos han atribuido a este grupo una serie de operaciones cibernéticas dirigidas contra miles de entidades públicas, privadas y gubernamentales del país, con el objetivo de recabar información, perturbar las operaciones y tomar el control de infraestructuras críticas.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Hay dos temas destacados que merece la pena abordar en este relato. En primer lugar, cabe destacar el uso cada vez mayor de malware destinado al robo de información (conocido comúnmente como «info-stealers») entre los autores de amenazas de todo tipo. Intel 471 afirma que, desde principios de 2022, la empresa especializada en inteligencia sobre amenazas cibernéticas ha observado un aumento del 150 % en el número de programas de robo de información disponibles en la dark web (se abre en una nueva pestaña), en comparación con el mismo periodo de 2021. Esto constituye un claro indicio de la fuerte demanda que existe entre los autores de amenazas cibernéticas de este tipo de productos, así como una señal del alto grado de éxito que este tipo de software puede contribuir a que tengan los ataques.
El segundo aspecto destacable es el hecho de que, según el informe de Symantec, Shuckworm se ha centrado hasta ahora exclusivamente en atacar a entidades ucranianas. A pesar de los diversos informes disponibles públicamente sobre las actividades del grupo, Shuckworm no parece verse afectado por la publicidad, y sus operaciones continúan sin cesar. Puede que Shuckworm no sea el activo más sofisticado dentro de la jerarquía de actores maliciosos respaldados por el Estado ruso, pero —tal y como señala Symantec— compensa con creces sus deficiencias técnicas con su tenacidad, persistencia y la implacabilidad con la que se enfrenta a sus víctimas.
Al igual que ocurre con la mayor parte del malware y las TTP empleadas por los participantes en el conflicto entre Rusia y Ucrania, el riesgo principal es el «efecto de contagio» hacia organizaciones, redes e infraestructuras críticas occidentales —una amenaza que ha sido detallada continuamente por la CISA y su iniciativa «Shields Up». (se abre en una nueva pestaña)»
3. UNC3890 Se sospecha que la actividad de los piratas informáticos iraníes tiene como objetivo los sectores del transporte marítimo, la sanidad, la administración pública y la energía de Israel
Un informe reciente de Mandiant detalla el seguimiento realizado por la empresa a UNC3890 (se abre en una nueva pestaña), un conjunto de actividades dirigidas contra organizaciones israelíes de los sectores del transporte marítimo, la administración pública, la energía y la sanidad mediante señuelos de ingeniería social y un posible «watering hole». Mandiant considera que dicho actor está vinculado a Irán y que, probablemente, lleva a cabo actividades de espionaje en defensa de los intereses iraníes.
¿Qué es el UNC3890?
- «UNC» es la abreviatura de «sin clasificar» y hace referencia a un conjunto de actividades. La operación utiliza varias herramientas de acceso público, como Metasploit, Unicorn y NorthStar C2, además de al menos dos herramientas exclusivas: una puerta trasera denominada SUGARUSH y un programa para robar credenciales del navegador llamado SUGARDUMP.
- Mandiant comenzó a rastrear a « UNC3890 » a finales de 2021, momento en el que se observó que tenía como objetivo entidades israelíes y mostraba interés en sectores como el gubernamental, el marítimo, el energético, el de la aviación y el sanitario. Aunque la mayor parte de los ataques parece centrarse en Israel, algunas de las entidades del sector del transporte marítimo contra las que actuó el grupo eran empresas internacionales, lo que podría tener repercusiones que trasciendan las fronteras de Israel.
- Mandiant logró, principalmente, descubrir los implantes de post-explotación utilizados por el grupo UNC3890 , pero también pudo identificar algunos hallazgos que podrían arrojar luz sobre las metodologías de acceso inicial de dicho grupo.
- Se ha identificado un posible « » (se abre en una nueva pestaña) alojado en la página de inicio de sesión de una empresa de transporte israelí legítima, que, según los investigadores, probablemente fue comprometida por UNC3890. Al acceder a la página de inicio de sesión legítima, el usuario enviaría una solicitud POST, con datos preliminares sobre el usuario que ha iniciado sesión, a un atacante. Se cree que el «watering hole» se utilizó para atacar a clientes y usuarios de la empresa naviera. Mandiant ha detectado un nuevo intento de ataque dirigido contra otra importante empresa naviera israelí por parte del grupo, que presenta características propias de la técnica del «watering hole».
- Varios dominios que apuntaban a los servidores UNC3890’s y C2 se hacían pasar por servicios y entidades legítimas, entre ellas LinkedIn, Pfizer, Facebook y Office 365. Es probable que los dominios se utilizaran para obtener credenciales del servicio legítimo, para enviar mensajes de phishing de tipo « » () y «», o bien como un intento de pasar desapercibidos entre el tráfico habitual de la red. Mandiant también identificó un servidor UNC3890 que alojaba varios archivos ZIP con contenidos extraídos de cuentas de Facebook e Instagram de personas reales.
- Se ha observado que la operación utiliza un archivo XLS diseñado para atraer a la víctima con una oferta de trabajo falsa. El archivo instala SUGARDUMP, una herramienta de recopilación de credenciales. La oferta de empleo falsa corresponde a un puesto de desarrollador de software en LexisNexis.
- Tras obtener el acceso inicial, el grupo utiliza un amplio conjunto de herramientas para acceder al entorno y controlarlo.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Últimamente, la táctica de las ofertas de empleo falsas parece estar ganando popularidad entre los autores de amenazas (por no mencionar que se trata de una técnica que, históricamente, ha gozado de gran popularidad entre los autores de amenazas vinculados a Irán, en concreto), y UNC3890 es simplemente el último grupo en sumarse a esta tendencia.
Lo que diferencia ligeramente a UNC3890 es que se dirige a las empresas de transporte marítimo. Dado que no está claro a qué datos concretos tuvo acceso el autor de la amenaza cuando, según se informa, puso en marcha un ataque de tipo «watering hole» contra una empresa naviera israelí, tampoco está claro cuál era exactamente su objetivo final. No obstante, el uso por parte de los autores de estas operaciones de herramientas personalizadas para la obtención de credenciales y de puertas traseras pone de manifiesto un mayor grado de sofisticación por parte de los atacantes.
Visite nuestra biblioteca de contenidos sobre ciberseguridad
¿Desea obtener más información sobre las últimas novedades en materia de ciberseguridad? Ofrecemos una amplia variedad de artículos, entradas de blog y vídeos sobre ciberseguridad. Eche un vistazo a nuestras historias destacadas.
