Lo primero que le ofrecemos en el resumen de esta semana es un análisis detallado de los últimos datos sobre el ransomware 2022, recopilados por la empresa de análisis de blockchain Chainalysis. A continuación, CTI analiza en profundidad una nueva puerta trasera que toma prestadas características del proyecto «Hive» de la Agencia Central de Inteligencia (CIA). Por último, concluimos con un análisis de la reciente oleada de ataques perpetrados por el actor malicioso chino BackdoorDiplomacy, así como con un informe de Unit42, en el que se afirma haber observado que sistemas pertenecientes a dominios del Gobierno iraní intentaban conectarse a una infraestructura de malware identificada previamente como asociada a dicho actor malicioso.
1. Los beneficios del ransomware caen un 40 % en 2022 , ya que las víctimas se niegan a pagar
El informe de fin de año «», elaborado por la empresa de análisis de cadenas de bloques Chainalysis, revela que las bandas de ransomware lograron extorsionar aproximadamente 456.8 millones de dólares a sus víctimas en 2022 casos, lo que supone una caída de alrededor del 40 % en comparación con la cifra récord de 756 millones de dólares sustraídos a las víctimas de ransomware en los dos años anteriores.
Antes de descorchar el champán, Chainalysis nos recuerda que es probable que las cifras reales sean mucho más elevadas, ya que siempre habrá direcciones de criptomonedas controladas por bandas de ransomware que aún no se han identificado ni incorporado a los datos de la empresa.
Según Chainalysis, la tendencia a la baja en los beneficios no se debe a una disminución de la frecuencia de los ataques de ransomware, sino más bien a un aumento del número de víctimas que se niegan a ceder a las exigencias de sus extorsionadores.
General ransomware trends in 2022
El ransomware sigue siendo muy activo
A pesar de la caída de los beneficios generados por el ransomware, al parecer el año 2022 fue uno de los más activos en cuanto a la actividad general del ransomware. Thousands of different file-encrypting malware strains targeted organizations of all sizes across nearly all verticals, and 2022 saw several top-tier extortion syndicates retire, splinter into new operations, or simply rebrand, making way for the emergence of a wide range of new ransomware operations.
Aumento exponencial de variantes únicas de ransomware
2022 saw a huge increase in the number of unique ransomware variants in operation. La empresa de ciberseguridad Fortinet informa de que más de 10,000 unique variantes estuvieron activas solo durante el primer semestre de 2022 . Chainalysis confirma esta valoración y señala que el número de cepas activas ha aumentado de forma espectacular en los últimos años.
Sin embargo, parece que la mayor parte de los ingresos generados por el ransomware la acapara sistemáticamente un pequeño grupo de operaciones de ransomware muy eficaces. Sin embargo, esto no quiere decir que este grupo de «líderes del sector» siga estando compuesto por las mismas empresas año tras año; según se ha informado, Chainalysis observó una rotación significativa a lo largo del año entre las variedades con mayor volumen de ventas.
Se observan pocos cambios en las tácticas de blanqueo de capitales
Los datos de Chainalysis indican que la mayoría de los autores de ataques de ransomware siguen enviando sus ganancias ilícitas a plataformas de intercambio convencionales y centralizadas, una tendencia que, salvo algunas excepciones, parece haber cambiado poco desde, al menos, 2018. En lo que respecta a los métodos de blanqueo de capitales preferidos por los autores de ataques de ransomware en 2022, las bandas de extorsionadores recurrieron a los siguientes recursos y tácticas:
- Exchanges de menor riesgo: Los beneficios del ransomware enviados a exchanges de alto riesgo descendieron del 10.9 % al 6.7 % en 2022.
- Menos servicios ilícitos: . Los beneficios blanqueados a través de servicios ilícitos, como los mercados de la darknet, también disminuyeron en unos pocos puntos porcentuales en 2022.
- Plataformas de intercambio más conocidas: Según el informe « 2022 », se observó que las bandas de ransomware recurrían cada vez más a las plataformas de intercambio más conocidas con fines de blanqueo de capitales, pasando del 39.3 % en 2021 al 48.3 % el año pasado.
- Mayor diversificación: El año pasado también se registró un aumento en el número de prendas enviadas a diversos servicios de limpieza. Esto, junto con el hecho de que cada vez se transfieren más beneficios a plataformas de intercambio fiables y convencionales, parece indicar que las operaciones de ransomware están madurando y gestionando sus finanzas de una manera que recuerda a la de las entidades corporativas legítimas. Son pocos los que lo apuestan todo a una sola carta, y aún menos los que recurren a servicios ilícitos (que se caracterizan por su volatilidad, están gestionados por delincuentes y pueden ser objeto de medidas policiales en cualquier momento).
Las víctimas no están pagando
Puede que hayan sido necesarias muchas lecciones duras, pérdidas por valor de miles de millones de dólares e innumerables advertencias por parte de las fuerzas del orden y los organismos de ciberseguridad de todo el mundo para que las buenas prácticas en materia de ransomware empiecen a calar, pero parece que en 2023 podríamos estar dando un giro en lo que respecta a la forma en que las organizaciones previenen, se preparan y responden ante los ataques de ransomware y extorsión.
Tácticas de aficionados
Si bien las tácticas, técnicas y procedimientos (TTP) empleados por los principales autores de ataques de ransomware nunca han sido tan avanzados como lo son en la actualidad, un número cada vez mayor de víctimas rebeldes se niega a ceder a sus exigencias. La empresa de inteligencia sobre amenazas cibernéticas Coveware afirma que esta tendencia comenzó a observarse claramente en sus datos estadísticos en 2019 y que, desde entonces, los índices de víctimas que han pagado han ido disminuyendo de forma constante.
En el caso de Coveware, la empresa atribuye en gran medida la disminución del número de pagos al uso de lo que Coveware califica como tácticas «de aficionados» por parte de los autores de los ataques de ransomware. Entre estas tácticas se encuentra una de nuestras favoritas: los ataques repetidos contra una víctima durante varios días o semanas por parte del mismo autor, muchos de los cuales suelen recurrir a diferentes variantes de malware en un intento infructuoso de ocultar su metodología.
Las escasas barreras de entrada provocan una proliferación de bandas de ransomware formadas por aficionados
Coveware afirma que las víctimas de ransomware que han optado por pagar un rescate han observado, cada vez con mayor frecuencia, un «descenso en la calidad y la fiabilidad» a la hora de restaurar rápidamente los sistemas afectados siguiendo las instrucciones de los atacantes y utilizando sus descifradores.
Esto está indudablemente relacionado con un aumento en el número de grupos de ransomware; surgen como la mala hierba, con poca o ninguna experiencia y recurriendo a tácticas descuidadas y amateur —una situación que resulta de la combinación de diversos factores, tales como la filtración de código fuente de las principales operaciones de «ransomware como servicio» (RaaS), el abandono masivo de empleados contratados por operaciones de RaaS más profesionales para lanzarse por su cuenta en busca de mayores beneficios y, por último, pero no por ello menos importante, la proliferación de ofertas de ransomware extremadamente baratas que suelen ir acompañadas de descifradores que no funcionan y que no proporcionan a los afiliados ningún tipo de asistencia técnica digna de mención. Oye, se obtiene lo que se paga, ¿no?
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Tal y como ha señalado anteriormente CTI, el 2023 parece ser un punto de inflexión para el ecosistema del ransomware por diversas razones. En primer lugar, el año 2022 fue el primero en el que el número de víctimas de ransomware que decidieron no pagar fue superior al de aquellas que optaron por ceder a las exigencias de sus extorsionadores. Según ha señalado BleepingComputer, este cambio de comportamiento «pone de manifiesto un cambio en la percepción y el enfoque a la hora de gestionar los ataques de ransomware».
«Este cambio parece deberse en parte a las mismas prácticas recomendadas sobre el ransomware que el CTI y otros profesionales de la seguridad siempre han venido esgrimiendo al abordar cuestiones relacionadas con el ransomware. Las víctimas han empezado por fin a darse cuenta de que pagar un rescate no garantiza en absoluto la recuperación de sus datos, ni significa que los atacantes vayan a borrar los archivos robados. En algunos casos, podría incluso acarrear consecuencias legales, sobre todo en el caso de que se realizara un pago a un grupo que, casualmente, haya sido objeto de sanciones por parte del Gobierno federal de los Estados Unidos».
«Además, parece que la opinión pública ha cambiado su forma de ver los ataques de ransomware. Es probable que este cambio de mentalidad se deba a que las víctimas de ransomware se muestran cada vez más abiertas y sinceras en su comunicación con el público tras sufrir un incidente de este tipo. Por lo tanto, parece que los clientes, los socios y el sector en su conjunto han madurado en su forma de reaccionar ante las noticias. «Hay menos críticas, menos ataques, y todo ello ha dado lugar a una reducción notable de los efectos negativos sobre la reputación de la marca y la pérdida de confianza de los consumidores, que solían ser la consecuencia inevitable de los ataques de ransomware de gran repercusión».
«También ayuda el hecho de que las organizaciones de todos los sectores hayan implantado mejores estrategias de copias de seguridad (en parte debido a los requisitos más estrictos establecidos por las aseguradoras especializadas en ciberdelitos y ransomware), lo que hace que la recuperación independiente de la infraestructura sea una opción verdaderamente viable ante un ataque».
«Por supuesto, aunque las estadísticas y la evolución cultural mencionadas anteriormente son sin duda alentadoras, los ataques de ransomware siguen siendo una amenaza global para todos los sectores y para las organizaciones que los integran, independientemente de su tamaño. Las pequeñas y medianas empresas siguen corriendo un mayor riesgo, al igual que las organizaciones que poseen datos que pueden facilitar nuevos ataques y aquellas que fabrican productos que constituyen componentes populares de la cadena de suministro de software « »».
2. Se ha descubierto en el entorno real una nueva puerta trasera creada a partir del malware «Hive» de la CIA que se filtró
En November 2017, se publicaron y se pusieron a disposición del público el código fuente y los registros de desarrollo pertenecientes a Hive —una herramienta fundamental utilizada por la CIA para controlar su malware— . Hive proporciona «una plataforma de comunicaciones encubierta para toda una gama de programas maliciosos de la CIA, con el fin de enviar la información sustraída a los servidores de la CIA y recibir nuevas instrucciones de los operadores de la CIA». Hive puede realizar varias operaciones simultáneamente, obteniendo información de —y enviándola a— varios implantes instalados en los ordenadores de destino.
En el último y preocupante episodio de esta saga, los investigadores de la empresa de seguridad 360Netlab han descubierto una nueva puerta trasera que toma prestadas características del proyecto «Hive» de la CIA.
Acerca de la puerta trasera «Hive»
En 360Netlab se descubrió un archivo ELF sospechoso hacia finales de 2022. El archivo se propagó a través de una vulnerabilidad F5 y se comunicaba mediante SSL con certificados falsificados de Kaspersky.
Un análisis más detallado de la muestra confirmó que esta se ha adaptado a partir del código fuente del servidor del proyecto «Hive» de la CIA que se filtró. Los investigadores han denominado a esta puerta trasera —o variante— « “xdr33».
El objetivo principal de esta puerta trasera es recabar información y proporcionar un punto de acceso para futuras explotaciones. Sus dos funciones principales son la señalización y el disparo.
- Beacon envía periódicamente información sobre el dispositivo al sistema de mando y control de balizas preconfigurado (C2) y ejecuta los comandos que recibe de él.
- El disparador supervisa el tráfico del disparador C2, establece la comunicación con el disparador C2 y espera a que se ejecuten los comandos emitidos por este.
- 360Netlab investigadores consideran que el virus XDR33 may ya ha sido objeto de varias rondas de actualizaciones iterativas.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Para quienes estén interesados, el informe 360Netlab’s contiene detalles técnicos exhaustivos sobre el xdr33. Aunque las características del xdr33 no son necesariamente novedosas, en el 360Netlabs se afirma que es la primera vez que han detectado una variante del kit de ataque «Hive» de la CIA en un entorno real.
3. Las entidades gubernamentales iraníes se ven afectadas por una nueva oleada de ataques de BackdoorDiplomacy
Un informe reciente, titulado «», elaborado por la Unidad 42 de Palo Alto, detalla una nueva oleada de ataques atribuidos al actor malicioso chino conocido como BackdoorDiplomacy.
Unit 42 afirma haber detectado que dominios del Gobierno iraní intentaban conectarse a una infraestructura de malware anteriormente relacionada con dicho actor malicioso.
Acerca de BackdoorDiplomacy
BackdoorDiplomacy (también conocido como APT15, Vixen Panda, KeChang, NICKEL y Playful Taurus) es un grupo chino de amenazas persistentes avanzadas (APT) respaldado por el Estado, conocido por llevar a cabo campañas de ciberespionaje. Se cree que este grupo lleva en activo al menos desde el año 2010 y que, a lo largo de su historia, ha tenido como objetivo entidades gubernamentales y diplomáticas de interés para Pekín en América del Norte y del Sur, África y Oriente Medio.
A mediados de 2021, ESET analizó en profundidad BackdoorDiplomacy y el conjunto de herramientas actualizado de este grupo APT, que en aquel momento incluía una nueva puerta trasera denominada Turian. Turian parece seguir en fase de desarrollo activo y la Unidad 42 considera que lo utilizan exclusivamente los autores de la amenaza BackdoorDiplomacy. Desde entonces se han detectado nuevas variantes de la puerta trasera, además de una nueva infraestructura de comando y control (C2).
Infraestructura de BackdoorDiplomacy
El dominio vpnkerio[.]com, , ya había sido identificado anteriormente como parte de una campaña denominada «BackdoorDiplomacy» dirigida contra entidades diplomáticas y empresas de telecomunicaciones de África y Oriente Medio. Desde entonces, este dominio y sus subdominios asociados han cambiado de proveedor de alojamiento, adoptando varias direcciones IP nuevas, y muchos de los subdominios apuntan ahora a una única dirección IP.
El análisis de una dirección IP reveló un certificado X.509 caducado asociado al Ministerio de Asuntos Exteriores de Senegal. Aunque el certificado caducó en April 2021, sigue estando asociado a una infraestructura reciente relacionada.
La Unidad 42 ha analizado minuciosamente todas las direcciones IP asociadas al certificado y considera que este estaba vinculado inicialmente a una infraestructura legítima del Gobierno de Senegal. Tras su caducidad, el certificado se ha asociado a nueve direcciones IP diferentes (que, sin duda, no pertenecen al Gobierno de Senegal), ocho de las cuales han alojado dominios de BackdoorDiplomacy en distintos momentos.
La Unidad 42 supervisó las conexiones a esta infraestructura maliciosa y observó que cuatro organizaciones iraníes intentaron conectarse a una de las direcciones IP maliciosas entre julio y diciembre de 2022.
Dentro del recinto vallado
La investigación de la Unidad 42’s también reveló una dirección IP alojada que parece corresponder a un dominio legítimo que perteneció al Ministerio de Asuntos Exteriores de Irán entre mayo y noviembre de 2019. Este dominio también se encuentra en un bloque de direcciones IP que aloja otros dominios vinculados al Gobierno iraní, lo que sugiere que, efectivamente, pertenece al Gobierno iraní.
Lo curioso es que, desde el September 2021, esta dirección IP también ha alojado el dominio sospechoso mfaantivirus[.]xyz. Dado el carácter legítimo de los demás sitios web gubernamentales alojados en este espacio de direcciones concreto, «xyz» parece un dominio de nivel superior (TLD) extraño.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Es evidente que BackdoorDiplomacy sigue perfeccionando sus tácticas y herramientas, como demuestran la versión mejorada de la puerta trasera Turian y la nueva infraestructura C2 ».
«Tal y como ha señalado la Unidad 42, la mejora de las herramientas y la infraestructura podría indicar que BackdoorDiplomacy sigue obteniendo resultados positivos en sus campañas de ciberespionaje.» La Unidad 42 también advirtió que, aunque esta campaña parece estar dirigida contra entidades del Gobierno iraní, BackdoorDiplomacy ha utilizado históricamente las mismas tácticas, técnicas y procedimientos (TTP) contra entidades de América del Norte y del Sur, África y Oriente Medio».
Manténgase al día de las últimas noticias sobre inteligencia en materia de amenazas cibernéticas de consultando nuestra biblioteca de informes de resumen.
