En el resumen de esta semana, CTI analiza a Octo Tempest, un actor malintencionado con motivaciones económicas que utiliza la ingeniería social para comprometer a organizaciones de todo el mundo. A continuación, CTI analiza un informe que indica que la actividad del ransomware en septiembre alcanzó su nivel más alto en 2023. Asimismo, se incluye una descripción general de cómo la herramienta RAT de código abierto Quasar aprovecha la carga lateral de archivos DLL para sustraer datos de equipos Windows comprometidos.
1. Octo Tempest supone una amenaza para las organizaciones internacionales
Microsoft está realizando un seguimiento de la actividad relacionada con el actor malicioso con motivaciones económicas Octo Tempest (se abre en una nueva pestaña), conocido por lanzar ataques en los que utiliza técnicas de «adversario en el medio» (AiTM), ingeniería social y capacidades de suplantación de tarjetas SIM.
Según Microsoft, el grupo está evolucionando rápidamente y aprovechando una amplia variedad de amenazas, tácticas y procedimientos (TTP) para desenvolverse en entornos híbridos complejos. Octo Tempest también presenta cierto solapamiento con otros grupos de amenaza, entre los que se incluyen 0ktapus, Scattered Spider y UNC3944.
Cronología de Octo Tempest
2022: Se observó inicialmente que este grupo se centraba en organizaciones de telecomunicaciones móviles y de externalización de procesos empresariales para llevar a cabo suplantaciones de tarjetas SIM. Comenzó a obtener beneficios económicos de los ataques vendiendo cambios de tarjeta SIM a otros ciberdelincuentes y apropiándose de cuentas para robar criptomonedas.
A finales de 2022 y principios de 2023: Octo Tempest comenzó a ampliar su ámbito de actuación para centrarse en empresas de telecomunicaciones por cable, correo electrónico y tecnología. El grupo comenzó a obtener beneficios económicos de las intrusiones extorsionando a sus víctimas con los datos robados y, en algunos casos, recurriendo a amenazas físicas.
A mediados de 2023: Octo Tempest pasó a formar parte del grupo BlackCat RaaS de . Esto resulta destacable, ya que Octo Tempest es un grupo de habla inglesa con el que muchos grupos de ransomware se niegan a hacer negocios.
Junio de 2023: Octo Tempest comenzó a desplegar cargas útiles del ransomware BlackCat, centrándose en los servidores ESXi. El grupo volvió a ampliar su ámbito de actuación a los sectores de los recursos naturales, los juegos de azar, la hostelería, los productos de consumo, el comercio minorista, los proveedores de servicios gestionados (MSP), la industria manufacturera, el ámbito jurídico, la tecnología y los servicios financieros.
Acceso inicial
Octo Tempest suele recurrir a ataques de ingeniería social para dirigirse a administradores técnicos con amplios permisos. El autor de la amenaza lleva a cabo investigaciones para identificar a las personas y se hace pasar por ellas para realizar llamadas telefónicas y recabar la información necesaria con el fin de engañar a las víctimas para que restablezcan sus contraseñas y utilicen métodos de autenticación multifactorial.
Este grupo suele utilizar uno de los siguientes métodos para obtener el acceso inicial:
- Llamar a un empleado y engañarle para que instale herramientas de gestión remota (RMM) o acceda a un sitio web utilizando un kit de herramientas AiTM.
- Llamar al servicio de asistencia técnica de una organización para restablecer una contraseña.
- La adquisición de las credenciales de un empleado en la dark web.
- Realización de SMS y phishing.
- Iniciar un cambio de tarjeta SIM.
En un caso concreto, Octo Tempest recurrió a amenazas físicas para obligar a las víctimas a facilitar sus credenciales de acceso a la red corporativa.
Reconocimiento y descubrimiento
Octo Tempest lleva a cabo acciones de enumeración y recopilación de información para obtener acceso avanzado. El actor llevará a cabo una exportación masiva inicial de usuarios, grupos e información sobre dispositivos antes de enumerar los datos y recursos disponibles para ese perfil de usuario.
El actor realiza con frecuencia búsquedas para identificar documentos relacionados con la arquitectura de red, la incorporación de nuevos usuarios, los métodos de acceso remoto, las políticas de contraseñas y los almacenes de credenciales. A continuación, analizarán los entornos multinube, la enumeración de bases de datos y los contenedores de almacenamiento.
Ampliación de privilegios y acceso a credenciales
Octo Tempest ampliará los privilegios mediante la realización de un cambio de tarjeta SIM o la configuración del desvío de llamadas en el número de teléfono de un empleado, de modo que este pueda iniciar un restablecimiento de contraseña de autoservicio en su cuenta. También se ha observado que llaman directamente al servicio de asistencia técnica de una organización y utilizan técnicas de ingeniería social para conseguir que dicho servicio restablezca una contraseña de administrador o modifique o añada un token de autenticación multifactorial (MFA).
Estas tácticas de escalada de privilegios se basan en ganarse la confianza. En algunos casos, el autor del ataque utilizará la cuenta de un responsable a la que haya accedido indebidamente para aprobar las solicitudes de restablecimiento de contraseña. Utilizan herramientas de código abierto para automatizar la identificación de claves, secretos y credenciales en texto sin cifrar en los repositorios de código, con vistas a su uso futuro.
Evasión de la defensa
El autor del ataque comprometerá las cuentas del personal de seguridad para desactivar los productos y funciones de seguridad, con el fin de eludir la detección. A continuación, estas cuentas comprometidas aprovechan la tecnología de EDR y de gestión de dispositivos para permitir el uso de herramientas maliciosas, instalar software de RMM, realizar cambios en los productos de seguridad, robar archivos confidenciales e instalar cargas maliciosas. Yendo un paso más allá, Octo Tempest modificará las reglas de los buzones de correo del personal de seguridad afectado para eliminar automáticamente los correos electrónicos de proveedores que puedan levantar sospechas.
Perseverancia
Los ataques de Octo Tempest utilizan herramientas de acceso público para establecer la persistencia. Por ejemplo, en ocasiones utilizan herramientas como AADInternals para federar dominios existentes o suplantan dominios legítimos y añaden o federan el nuevo dominio. El actor instalará varias herramientas de gestión remota (RMM) y realizará modificaciones en la red para permitir el acceso. En numerosas intrusiones de Octo Tempest se ha observado el uso de «reverse shell» tanto en terminales Windows como en Linux.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
Octo Tempest es un actor sofisticado que ha acumulado un arsenal bastante amplio de TTP en un breve espacio de tiempo. Su enfoque, que abarca numerosos sectores, parece bastante oportunista, aunque, no obstante, decidido. El actor malicioso está utilizando una amplia gama de sofisticadas tácticas de ingeniería social para obtener acceso inicial, lo que lo convierte, tal y como señala Microsoft, en «uno de los grupos delictivos financieros más peligrosos». Sus complejas tácticas de ingeniería social, unidas a su condición de grupo afiliado a BlackCat, convierten a Octo Tempest en un actor malicioso al que hay que seguir muy de cerca.
El exhaustivo informe de Microsoft aborda muchas otras tácticas, técnicas y procedimientos (TTP) de Octo Tempest, por lo que merece la pena leerlo.
2. La actividad del ransomware alcanza su punto álgido en septiembre
NCC Group ha publicado su informe de inteligencia titulado « September 2023», en el que se detallan algunos de los últimos avances en el panorama de amenazas de « » (se abre en una nueva pestaña) — especialmente en el ámbito del ransomware. Sus datos indican que la actividad del ransomware en septiembre alcanzó su nivel más alto en 2023 , tras un relativo parón en agosto.
NCC Group ha estado realizando un seguimiento de los grupos de ransomware que recurren a la táctica de la doble extorsión, supervisando los sitios web de filtraciones que utiliza cada grupo y recopilando los datos de las víctimas a medida que se van añadiendo. Según los datos recopilados, se registraron 514 ataques en September 2023 , lo que supone un aumento del 32 % con respecto al mes anterior.
Aunque en August 2023 se registró un descenso del 22 % en los ataques de ransomware, la actividad de este tipo de software en septiembre ha vuelto a alcanzar los niveles de julio. Según NCC Group y los datos que ha recopilado, esto supone el mayor número de ataques de doble extorsión registrado hasta la fecha. Asimismo, se registró un aumento del 153 % en el tráfico procedente de September 2022 hacia September 2023, lo que pone de manifiesto un notable incremento interanual.
Principales sectores afectados por el ransomware
Los sectores a los que se dirigía « September 2023 » no se apartaban de lo habitual. NCC Group constató que el sector industrial fue el más afectado, con 169 ataques, lo que supone el 33 % del total. No obstante, esto supone únicamente un aumento del 2 % con respecto al mes anterior. El sector tecnológico sufrió aproximadamente el 10 % de los ataques de ransomware el mes pasado, lo que supone un ligero aumento con respecto al mes anterior.
Nuevos autores de amenazas de ransomware
Durante el mes de septiembre, los 10 principales autores de amenazas fueron responsables, en conjunto, del 70 % de todos los ataques de ransomware registrados ese mes. Al igual que todos los meses, septiembre también trajo consigo la aparición de varios nuevos grupos dedicados al ransomware.
El nuevo grupo LostTrust fue responsable del 10 % de los ataques, mientras que RansomedVC representó el 9 %. NCC Group también observó un cierto aumento de la actividad por parte de otros dos grupos relativamente nuevos: Cactus y Trigona. Cactus ha registrado hasta 51 casos en septiembre, frente a los 13 de julio.
Las principales regiones afectadas por el ransomware
Las principales regiones objetivo se mantuvieron sin cambios en septiembre, siendo América del Norte, Europa y Asia las que generaron mayor actividad. Norteamérica encabezó la lista con un 50 % de los ataques, lo que supone un aumento del 3 % con respecto al mes anterior.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
Resulta interesante observar que Cl0p prácticamente no ha registrado actividad alguna en septiembre, y que, en general, tampoco ha habido mucha actividad desde los ataques de MOVEit. Se trata de una operación de ransomware bastante discreta.
NCC Group considera que esto es característico del modelo Cl0p. Por este motivo, NCC Group prevé que sea inminente una campaña más específica. Solo el tiempo dirá si Cl0p decide volver al mundo del ransomware o no, pero, dado su éxito demostrado y su trayectoria, no sería de extrañar.
3. Quasar RAT elude la detección mediante la carga paralela de archivos DLL
Recientemente se ha observado que el RAT de código abierto « » (Quasar) (se abre en una nueva pestaña) utiliza la carga lateral de DLL para sustraer datos de equipos Windows comprometidos. Utiliza dos archivos de Microsoft que suelen inspirar confianza —ctfmon.exe y calc.exe— para llevar a cabo la carga lateral de dos DLL e introducir, desplegar y ejecutar de forma encubierta cargas maliciosas.
Ejecución de la carga lateral de Quasar RAT
Uptycs ofrece un desglose paso a paso de la técnica de «sideloading» de la DLL del RAT Quasar de . (se abre en una nueva pestaña)
- El ataque comienza cuando el autor de la amenaza utiliza el archivo ctfmon.exe —un archivo auténtico de Microsoft— para cargar una DLL maliciosa. A continuación, el autor del ataque ejecuta el archivo binario «ctfmon.exe» y obtiene una carga útil de la fase 1, encargada de introducir en el sistema el archivo legítimo «calc.exe» y una DLL maliciosa.
- En la segunda fase del ataque, el autor de la amenaza ejecuta el archivo «calc.exe», lo que activa el archivo DLL malicioso. En este momento, el Quasar RAT se encuentra en la memoria del ordenador. La carga útil utiliza la técnica de «hollowing» de procesos para integrarse en un proceso legítimo del sistema, lo que dificulta su detección.
Análisis técnico
Uptycs obtuvo varios de los archivos del flujo de ejecución del RAT Quasar para su análisis.
Cuando se ejecuta el archivo binario «ebill-997358806.exe», este inicia la carga de un archivo denominado «MsCtfMonitor.dll», que oculta código malicioso. En este archivo hay una sección de recursos que contiene datos cifrados a los que se accede mediante una secuencia de API. Tras realizar el proceso de descifrado, estos datos quedan descifrados y dan lugar a un archivo PE que constituye la primera fase: FileDownloader.exe. A continuación, el archivo PE se inyecta en Regasm.exe mediante una secuencia de API.
- Etapa 1 – FileDownloader.exe: Esta carga útil de la etapa 1 es un archivo binario MSIL de 64 bits e incluye una sección de recursos que contiene tres archivos binarios dentro de un archivo comprimido. Esta carga útil puede descomprimir este archivo y guardar los archivos en la carpeta «Imágenes públicas». En esta carpeta se colocan tres archivos: Calc.exe (un archivo legítimo de Windows), Secure32.dll (una DLL maliciosa) y Winsecu32.dll (otro archivo legítimo de Windows).
- Etapa 2 – calc.exe: A continuación, se ejecuta calc.exe y carga un archivo DLL malicioso denominado Secure32.dll. Este archivo DLL contiene una sección de recursos cifrada. Se vuelve a acceder a los datos de los recursos a través de una secuencia de API y, a continuación, se descifran, lo que da como resultado un archivo PE. Este archivo PE se inyecta en el espacio de memoria de Regasm.exe mediante la técnica de «process hollowing».
- Carga útil final: . El archivo PE es un ejecutable MSIL ofuscado mediante Smart Assembly. Al parecer, se inspira en el RAT de código abierto Quasar, ya que lleva la siguiente indicación de derechos de autor: «Copyright © MaxXor 2020». El proceso de desofuscación reveló que en los nombres de las funciones se ejecutaban comandos relacionados, entre otros, con el registro de pulsaciones de teclas, la transferencia de archivos y la ejecución de comandos en el shell. Además, creará un script .bat para generar el archivo por lotes de reinicio. El RAT establece una conexión de socket con su puerto C2 , al que enviará la información de la víctima.
El RAT consulta las clases WMI «AntiVirusProduct» y «Firewall», y además busca información sobre la infraestructura de la BIOS, los detalles de la GPU, el nombre de host y otros datos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
Parece que Quasar RAT se está sumando a la tendencia de la carga lateral de DLL, cuya popularidad ha ido en aumento en los últimos meses.
Por el momento se desconoce quién es el autor de esta actividad y es probable que siga sin saberse, dado que Quasar RAT es de código abierto, lo que permite a actores menos sofisticados llevar a cabo ataques.
Los investigadores no pudieron confirmar el vector de acceso inicial de este ataque. Sin embargo, dado que el flujo de ejecución comienza con un archivo ISO, es muy probable que su origen se remonte a un correo electrónico de phishing.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
