En el resumen de esta semana, CTI ofrece información actualizada sobre el gusano Raspberry Robin, que sigue evolucionando y aprovechando vulnerabilidades. A continuación, CTI investiga a un actor malintencionado con motivaciones económicas, identificado con el número UNC4990 , al que se ha observado utilizando dispositivos USB para obtener acceso inicial en diversas campañas. Por último, CTI analiza el último informe retrospectivo de Palo Alto sobre el ransomware para el 2023.
1. El malware «Raspberry Robin» aprovecha vulnerabilidades
Check Point Research ha detectado que el gusano «Raspberry Robin» de (se abre en una nueva pestaña) aprovecha dos nuevos exploits de escalada de privilegios locales de «día 1» antes de que se hicieran públicos.
Además de aprovechar las vulnerabilidades, Raspberry Robin también ha modificado muchas de sus TTP para evitar ser detectado por las firmas de comportamiento basadas en su versión anterior.
¿Qué es Raspberry Robin?
- Raspberry Robin (se abre en una nueva pestaña) es un gusano que suele propagarse a través de memorias USB. El malware utiliza el archivo msiexec.exe para conectarse a su infraestructura y descargar un archivo DLL malicioso.
- El «Raspberry Robin» se descubrió por primera vez en el año 2021 y, desde entonces, sus TTP han ido evolucionando. Actúa como IAB (intermediario de acceso inicial) para otras familias de malware en todo el ecosistema. Por este motivo, se ha relacionado a Raspberry Robin con numerosos grupos de ciberdelincuentes.
- Check Point Research lleva observando, desde octubre, grandes oleadas de ataques de Raspberry Robin dirigidos contra sus clientes. La observación más relevante es el uso continuado por parte del malware de diversos exploits para explotar vulnerabilidades, ya sea antes o poco después de que se den a conocer públicamente.
- En ataques anteriores de Raspberry Robin, el malware utilizó varios vectores de acceso iniciales distintos, siendo el más habitual un archivo LNK camuflado como una unidad USB o un recurso compartido de red.
Cómo aprovecha Raspberry Robin las vulnerabilidades
Raspberry Robin dispone de múltiples formas de elevar privilegios, una de las cuales es el uso de vulnerabilidades del núcleo que permiten la elevación de privilegios a nivel local. Estas vulnerabilidades se cifran y se almacenan, y solo se aprovechan si el dispositivo es vulnerable a ellas. En muestras más recientes, el malware inyecta los exploits del núcleo en el archivo «cleanmgr.exe» e inserta un cargador único que reside en memoria y carga un archivo PE externo que, en realidad, es el exploit.
Recientemente, el malware ha aprovechado la vulnerabilidad CVE-2023-36802 , que se encuentra en el proxy del servicio de streaming de Microsoft y permite la escalada de privilegios hasta el nivel de SYSTEM. Se observó que el código de explotación de esta vulnerabilidad se vendía en foros de la Dark Web en February 2023 , pero no se hizo público ni se corrigió hasta September 2023. Apenas unas semanas después, Raspberry Robin comenzó a utilizar la vulnerabilidad en sus ataques.
Últimas actualizaciones de Raspberry Robin
El flujo general de Raspberry Robin se ha mantenido prácticamente sin cambios. Las distintas fases del malware se almacenan en la memoria en un formato personalizado y el código está muy ofuscado en todas las fases, incluida la propia carga útil. El malware ha incorporado algunos nuevos métodos anti-análisis que se utilizan para determinar si debe pasar a la fase principal o no en diversas etapas.
El malware también ha incorporado algunas nuevas capacidades de evasión:
- La primera técnica consiste en una estrategia para eludir el apagado del sistema, que garantiza que el malware no se detenga cuando se produce el apagado del sistema.
- A continuación se presenta una comprobación de escritorio remoto que simplemente verificará si la víctima se encuentra en un escritorio remoto o no.
- Por último, está la capacidad de detener la ejecución en caso de que se utilice un controlador de filtro UWF.
El malware modificó ligeramente su lógica de movimiento lateral, pasando a utilizar PAExec.exe en lugar de PsExec.exe.
Por último, el método de comunicación de Raspberry Robin ha cambiado. Ahora comenzará a ponerse en contacto con dominios Tor legítimos y comprobará si obtiene respuesta o no. Si no obtiene respuesta, no intentará comunicarse con los servidores C2 reales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Hablamos por primera vez de Raspberry Robin en January 2023. Desde entonces, ha seguido siendo una amenaza importante durante el último año aproximadamente, en parte debido a su capacidad para evolucionar y modificar rápidamente sus tácticas, técnicas y procedimientos (TTP).
Raspberry Robin se ha adaptado rápidamente y ha cambiado de estrategia para centrarse en diferentes vulnerabilidades, especialmente aquellas que aún no se han hecho públicas o que se han dado a conocer recientemente.
Aún es objeto de debate cómo consiguen hacerse con estos exploits de forma continuada. Podría ser que hayan desarrollado ellos mismos los exploits o que, sencillamente, tengan contactos con quienes los desarrollan. En cualquier caso, Raspberry Robin ha demostrado una y otra vez su capacidad de adaptación.
2. Los piratas informáticos utilizan sitios web de noticias y de alojamiento multimedia para difundir cargas maliciosas en dispositivos USB
Se ha detectado a un actor malicioso con motivaciones económicas, identificado como UNC4990 (se abre en una nueva pestaña) , en campañas que utilizan dispositivos USB para obtener acceso inicial.
El autor de la amenaza se aprovecha de plataformas legítimas como GitHub, Vimeo y Ars Technica para alojar cargas útiles codificadas integradas en contenidos inofensivos. El autor de la amenaza también oculta las cargas maliciosas a plena vista, colocándolas en los perfiles de los usuarios de foros de sitios web de noticias tecnológicas o en las descripciones de los vídeos de plataformas de alojamiento multimedia.
¿Qué es el UNC4990?
UNC4990 (se abre en una nueva pestaña) ha sido identificado por Mandiant como un actor que utiliza principalmente dispositivos USB para obtener acceso inicial.
El autor de la amenaza ha llevado a cabo recientemente una campaña que, según se cree, lleva en marcha al menos desde el año 2020. Además de recurrir a dispositivos USB para obtener el acceso inicial, el actor está evolucionando continuamente sus TTP, y ahora tiende a alojar cargas útiles en plataformas populares y legítimas.
Acceso inicial
Como se ha señalado, este actor malicioso utiliza dispositivos USB para obtener acceso inicial. Mandiant observó que la infección se iniciaba cuando una víctima hacía doble clic en un archivo de acceso directo LNK malicioso almacenado en un dispositivo USB extraíble.
El nombre de este archivo LNK solía ser el nombre del fabricante del dispositivo, seguido de la capacidad de almacenamiento entre paréntesis. Este nombre se combinó con el icono predeterminado de Microsoft Windows para que pareciera más legítimo. Al hacer clic en el archivo, se abre el script de PowerShell «explorer.ps1».
Acerca del script de PowerShell
Los investigadores han identificado varias versiones de este script de PowerShell. Este script se encarga de descargar y descodificar una carga útil adicional, que solía ser el descargador EMPTYSPACE.
En algunas variantes, el script se actualizó mediante una etapa intermedia alojada en GitHub. Las variantes recientes del script de PowerShell se cargaban en memoria como una cadena codificada en «reverse Base64 ».
Una vez descargado el programa de descarga EMPTYSPACE, el script de PowerShell comprobará en un bucle si existe el archivo python.exe y ejecutará el malware recién descargado cada segundo si dicho archivo no se encuentra.
UNC4990 cambios de rumbo hacia plataformas legítimas
El actor malicioso pasó de utilizar GitHub a Vimeo para alojar su carga útil en algún momento del año 2023. En Vimeo, la carga útil codificada se incluye en la descripción de un vídeo de Pink Floyd que se subió a Vimeo en marzo de 2023. El script recupera el blob JSON de Vimeo que contiene la carga útil entre determinados caracteres delimitadores. A continuación, esta carga útil se descifra antes de ejecutarse.
En « November 2023», el actor malicioso volvió a cambiar de estrategia en relación con su C2. Una vez que se retiró oficialmente el vídeo de Vimeo, el autor de la amenaza comenzó a utilizar el sitio web de noticias tecnológicas conocido como Ars Technica.
El script «explorer.ps1» se ha actualizado para incluir una URL fijada de forma permanente que remite a un sitio web de Ars Technica. En el caso de Ars Technica se utilizó la misma técnica que en el de Vimeo, con la diferencia principal de que el fragmento codificado se añadió a la URL de la imagen dentro de la sección «Acerca de» del perfil de un usuario concreto.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña constituye otro ejemplo de cómo los autores de amenazas buscan nuevos métodos para eludir la detección y actuar sin llamar la atención.
Esta campaña recurre específicamente a plataformas legítimas como GitHub, Vimeo y sitios web de noticias tecnológicas, que normalmente no levantarían sospechas si un usuario las visitara. La técnica de incrustar cargas maliciosas en sitios web y contenidos legítimos puede permitir a un actor malintencionado pasar desapercibido entre el tráfico legítimo y dificultar su detección.
Dado que Mandiant ha observado cómo esta campaña ha ido evolucionando a lo largo de varios meses, no sería de extrañar que este actor malicioso siguiera perfeccionando sus TTP en un futuro próximo.
3. Palo Alto registra un aumento del 49 % en el número de víctimas de ransomware
Palo Alto ha publicado su análisis retrospectivo sobre el ransomware « » (se abre en una nueva pestaña) para la versión 2023. La conclusión principal es que el año pasado se produjo un aumento del 49 % en el número de víctimas de ransomware, según informan los sitios web dedicados a la divulgación de información sobre ransomware.
Vulnerabilidades críticas
Palo Alto identificó 3,998 publicaciones en sitios web de filtración de datos con fines de rescate, frente a las apenas 2,679 registradas en 2022 (lo que supone un aumento del 49 %).
Atribuyen este notable aumento a las numerosas vulnerabilidades de «día cero» que se descubrieron a lo largo del año. Entre los principales casos de seguridad destacan la vulnerabilidad de GoAnywhere y la de MOVEit.
Los recién llegados al mundo del ransomware
Palo Alto ha identificado 25 nuevos puntos de fuga en 2023 , entre los que se incluyen:
- 8Base
- Abismo
- Akira
- BlackSuit
- Cactus
- CiphBit
- Capa
- CrossLock
- CryptNet
- Cíclope
- DarkRace
- Hunters International
- INC
- Caballero
- LostTrust
- NoEscape
- Miau
- Mensaje sobre el dinero
- Grupo RA
- Rancoz
- Rasomed.Vc
- Rhysida
- Tres de la madrugada
- Trigona
- Bomba U
De estos 25 recién llegados, al menos cinco de ellos no parecían haber publicado nada en la segunda mitad de 2023 y aproximadamente 12 de ellos no aparecieron en absoluto hasta la segunda mitad del año. Estos nuevos tipos de ransomware representaron aproximadamente el 25 % del total de publicaciones sobre ransomware, de un total de 2023.
Actividad interrumpida
Al parecer, varias operaciones de ransomware cesaron su actividad en algún momento del año 2023. El motivo del cese de la actividad se debió, en ocasiones, a operaciones de las fuerzas del orden, a la incautación de infraestructuras y a la detención de personas clave.
Entre los grupos que parecen haber dejado de operar en algún momento del año 2023 se encuentran Hive, Ragnar Locker, Ransomed.Vc y Trigona.
Estadísticas
- Se ha constatado que LockBit fue el grupo más activo en 2023, ya que representó aproximadamente el 23 % del total de publicaciones en los sitios web de filtraciones.
- A LockBit le siguieron BlackCat, con un 9.7 %, y CL0P , con un 9.1 %.
- De media, se publicaron unas 77 entradas por semana a lo largo del año, siendo julio el mes con mayor número de publicaciones debido a la vulnerabilidad de MOVEit.
- El sector manufacturero fue el más afectado en 2023 , con un 14 % del total de puestos de trabajo. A continuación le siguieron los sectores profesional y jurídico, y después el sector tecnológico.
- Estados Unidos fue la región geográfica más afectada, con aproximadamente el 47 % de las publicaciones.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Hay mucho que analizar en el estudio de Palo Alto. La idea general es que el ransomware sigue en aumento, a pesar de que los grupos dedicados a esta actividad van y vienen.
Un aspecto importante de su investigación es en qué medida el panorama del ransomware se vio afectado por los exploits de día cero y por los ataques dirigidos a vulnerabilidades críticas. Este dato resulta interesante porque el impacto de una vulnerabilidad va mucho más allá de los simples ataques de ransomware, pero ahora podemos comprender cuál es exactamente su repercusión en un aspecto concreto del panorama de las amenazas cibernéticas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le invitamos a consultar nuestros últimos resúmenes de inteligencia sobre ciberamenazas de «».
