En el resumen de esta semana, CTI destaca el reciente aumento de los casos de apropiación indebida de cuentas en la nube de altos ejecutivos. A continuación, le ofrecemos una descripción general del ransomware Rhysida, que actualmente supone una amenaza para el sector sanitario. Asimismo, se incluye un análisis de las nuevas instancias de LOLKEK que se han detectado en el entorno real, así como algunos de los últimos cambios introducidos en esta familia de ransomware.
1. La campaña de secuestro de servicios en la nube tiene como objetivo a altos directivos mediante EvilProxy
Un nuevo estudio de Proofpoint advierte de un reciente aumento de los incidentes de apropiación de cuentas en la nube mediante el método « » (se abre en una nueva pestaña) que afectan principalmente a altos ejecutivos. Los ciberdelincuentes están utilizando actualmente la herramienta de phishing EvilProxy para sustraer credenciales protegidas mediante autenticación multifactorial (MFA) de , y cookies de sesión.
¿Qué es EvilProxy?
EvilProxy es una plataforma de «phishing como servicio» basada en un proxy inverso (se abre en una nueva pestaña) que surgió en 2022. Afirma ser capaz de robar tokens de autenticación para eludir la autenticación multifactorial (MFA), lo que permite incluso a los atacantes con pocos conocimientos robar cuentas en línea.
La creciente implantación de la autenticación multifactorial (MFA) ha dado lugar a un aumento de los kits y herramientas de phishing diseñados específicamente para eludir esta capa de seguridad. Los actores maliciosos recurren cada vez más a kits de phishing del tipo «adversario en el medio» (AitM), como EvilProxy, para sustraer credenciales y cookies de sesión en tiempo real.
Principales conclusiones del informe de Proofpoint
Desde principios de marzo, Proofpoint lleva vigilando una campaña híbrida en curso que utiliza EvilProxy para atacar a los usuarios de Microsoft 365 . La rapidez de la campaña es impresionante, ya que entre marzo y June 2023 se enviaron unos 120,000 correos electrónicos de phishing a cientos de organizaciones seleccionadas de todo el mundo.
Los autores del ataque utilizaron varias técnicas dignas de mención, entre las que se incluyen:
- Suplantación de marcas: . Las direcciones de correo electrónico de los remitentes de esta campaña se hacían pasar por servicios de confianza como Concur Solutions, DocuSign y Adobe.
- Bloqueo de análisis: Los autores de la amenaza utilizaron medidas de protección contra los bots de análisis de ciberseguridad, lo que dificultó el análisis de los sitios maliciosos.
- Cadena de infección en varias etapas: Los autores del ataque redirigieron el tráfico a través de redireccionadores legítimos y abiertos, entre ellos YouTube. A esto le siguieron varios pasos adicionales, como cookies maliciosas y redireccionamientos 404 .
Fase 1: EvilProxy en acción
Los autores de la amenaza se hicieron pasar inicialmente por servicios conocidos y de confianza, utilizando correos electrónicos falsificados para enviar mensajes de phishing que contenían enlaces a sitios web maliciosos de phishing de Microsoft 365 .
Los correos electrónicos que fingían proceder de DocuSign, Adobe Sign y Concur contenían direcciones URL maliciosas que iniciaban una cadena de infección de varios pasos en la que se producían varias redirecciones, cookies maliciosas y 404 redirecciones que conducían al usuario a un marco de phishing de EvilProxy. La página de destino funciona como un proxy inverso.
Al analizar algunas de las páginas de redirección de esta campaña, Proofpoint identificó un detalle pequeño pero significativo que la distinguía en los primeros días del ataque. La pista fue un pequeño error tipográfico en la cadena de redireccionamiento. En lugar de redirigir al usuario a una página https, el autor de la amenaza indicó por error una dirección «hhttps», lo que provocó que el proceso de redirección fallara.
El autor de la amenaza utilizó una codificación especial para ocultar la dirección de correo electrónico del usuario frente a las herramientas de análisis automático. Además, se valió de sitios web legítimos que habían sido objeto de ataques informáticos anteriormente para subir su código PHP y descifrar la dirección de correo electrónico del usuario. Una vez descodificada la dirección de correo electrónico, se redirige al usuario a la página web final, que es una página de phishing diseñada específicamente para la organización objetivo.
Proofpoint también observó una aparente alteración en el flujo del ataque al acceder a varias páginas de phishing desde determinadas zonas geográficas. El tráfico de usuarios procedente de direcciones IP turcas se redirigió a la página web legítima. De ser intencionado, esto podría indicar que los autores de la amenaza que están detrás de la campaña tienen su sede en Turquía o que están evitando atacar a usuarios turcos.
Fase 2: Compromiso de la cuenta
La lista de usuarios incluía a numerosos objetivos de gran importancia, como altos directivos y vicepresidentes de empresas líderes.
Una vez que un usuario afectado introduce sus credenciales a través de la página de phishing, los autores del ataque acceden a su cuenta de Microsoft 365 en cuestión de segundos, lo que indica que se trata de un proceso automatizado.
No todos los usuarios que cayeron en la trampa del phishing fueron objeto de acceso por parte de los autores de la amenaza. En esta campaña, los atacantes se centraron exclusivamente en objetivos VIP e ignoraron aquellos de menor importancia.
De los cientos de usuarios afectados por la campaña, aproximadamente el 39 % eran directivos de alto nivel. De ellos, el 17 % eran directores financieros, y el 9 % eran presidentes y directores generales. Los autores de las amenazas también mostraron interés por los mandos intermedios.
Fase 3: explotación tras la intrusión
Tras acceder a las cuentas, los autores de la amenaza lograron mantener su presencia en el entorno en la nube. En múltiples ocasiones, los autores de las amenazas utilizaron una aplicación nativa de Microsoft 365 para manipular la autenticación de dos factores (MFA).
Mediante la función «Mis inicios de sesión», los autores de las amenazas podrían añadir su propio método de autenticación multifactorial (MFA) para garantizar la persistencia. El método de autenticación preferido por estos actores maliciosos era una aplicación de autenticación con notificaciones y códigos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña está dirigida específicamente a directivos, ejecutivos y otros puestos de tipo «VIP». «Los autores de las amenazas parecen hacer todo lo posible por evitar e ignorar cualquier dato de acceso recopilado que no pertenezca a estos altos ejecutivos».
«Por supuesto, es posible que los autores de estas amenazas estén vendiendo estas otras credenciales o llevando a cabo actividades ilícitas. Sin embargo, en lo que respecta a esta campaña, parecen no mostrar ningún interés. «Este enfoque difiere del de muchas de las campañas de phishing oportunistas, que pretenden dirigirse a cualquier persona de una organización y a cualquiera que esté dispuesto a introducir sus credenciales en una página de phishing».
2. Resumen del nuevo ransomware Rhysida dirigido al sector sanitario
El último informe de Trend Micro se centra en Rhysida (se abre en una nueva pestaña), un tipo de ransomware que ataca activamente al sector sanitario. La noticia se produce tan solo unos días después de que el Centro de Coordinación de Ciberseguridad del Sector Sanitario del Departamento de Salud y Servicios Humanos (HHS) (HC3) publicara una alerta de seguridad (se abre en una nueva pestaña) sobre la nueva variante de ransomware.
Rhysida se hace pasar por un equipo de ciberseguridad y se ofrece a ayudar a las víctimas a identificar los puntos débiles de la red. Anteriormente se sabía que se centraba en los sectores de la educación, la administración pública, la industria manufacturera y la tecnología, pero desde entonces ha atacado a organizaciones del ámbito sanitario y de la salud pública.
Este cambio se produce en consonancia con el creciente número de ataques de ransomware que ha sufrido el sector sanitario en los últimos años. La operación tiene como objetivo organizaciones de todo el mundo, entre ellas las de Indonesia, Alemania y Estados Unidos.
La cadena de ataque de Rhysida
El ransomware Rhysida suele llegar al ordenador de la víctima a través de mensajes de phishing antes de utilizar Cobalt Strike para desplazarse lateralmente.
Trend Micro observó que los autores de la amenaza ejecutaban PsExec para implementar scripts de PowerShell y la carga útil del ransomware Rhysida. Un script de PowerShell cierra todos los procesos y servicios relacionados con el antivirus, elimina las copias de seguridad, modifica las configuraciones de RDP y cambia la contraseña de Active Directory.
El ransomware utiliza una clave RSA de 4096 bits y el algoritmo AES-CTR para cifrar los archivos. Una vez completado con éxito el cifrado, añade la extensión .rhysida a los archivos y deja una nota de rescate titulada CriticalBreachDetected.pdf.
La nota de rescate resulta bastante inusual, ya que se presenta como una alerta del equipo de ciberseguridad de Rhysida y notifica a las víctimas de la filtración.
La rutina de cifrado de Rhysida
El ransomware Rhysida utiliza la biblioteca de código abierto LibTomCrypt para implementar su rutina de cifrado. El generador de números pseudoaleatorios (PRNG) de LibTomCrypt se utiliza para la generación de claves y vectores de inicialización.
Tras inicializar el PRNG, Rhysida importa la clave RSA integrada y declara el algoritmo que utilizará para el cifrado de archivos. A continuación, procederá a registrar y declarar el algoritmo AES para sus funciones de construcción de hash de cifrado.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«En la actualidad, se dispone de información limitada sobre quién está detrás del ransomware Rhysida.» Curiosamente, este grupo malintencionado se hace pasar por un equipo de ciberseguridad y se ofrece a ayudar a las víctimas a detectar vulnerabilidades de seguridad. «En su primera aparición, el grupo contaba con un portal de chat de apoyo para las víctimas, lo que reforzaba la impresión de que les estaban haciendo un favor».
3. Ransomware LOLKEK: nuevas muestras y tácticas en constante evolución
SentinelOne ha descubierto recientemente nuevos casos de LOLKEK —también conocido como GlobeImposter— en el entorno real y ha observado cambios en esta familia de ransomware. SentinelOne ha compartido su investigación sobre las nuevas cargas útiles de LOLKEK, « » (se abre en una nueva pestaña), en la que se detallan las nuevas características y los cambios en la estrategia.
LOLKEK hizo su primera aparición allá por el año 2016. El nombre «GlobeImposter» en aquel momento era una forma ingeniosa de describir cómo este ransomware imitaba los métodos del ransomware Globe.
Se puede considerar que LOLKEK es, en cierta medida, un ransomware «listo para usar». Se modifica con frecuencia y lo utilizan personas con habilidades y recursos limitados. En incidentes recientes, los rescates solicitados fueron inferiores a 2,000 dólares, una cifra bastante baja en comparación con los que suelen exigir grupos como Cl0P y LockBit.
LOLKEK se dirige principalmente a las pequeñas y medianas empresas (pymes) y a los usuarios particulares. No obstante, se han dado casos en los que este ransomware ha formado parte de ataques financieros más complejos y planificados.
Detalles técnicos
- Los investigadores de SentinelOne han identificado dos nuevas muestras de LOLKEK en circulación. Estas muestras se identificaban como « W3CRYPTO LOCKER» y redirigían a las víctimas a un nuevo portal de víctimas de Tor.
- Ambas nuevas muestras se han compilado en May 2023, pero solo una parece funcionar correctamente. Cuando se ejecutan las nuevas cargas útiles de LOLKEK, detectan y cifran de forma secuencial cualquier unidad disponible localmente, incluidas las unidades compartidas de red montadas.
- Las cargas útiles también contienen exclusiones de variantes anteriores de este ransomware. Entre ellas se encuentran las carpetas «Windows», «System Volume Information» y «ProgramData». Al parecer, las cargas útiles pueden detectar y eliminar las copias de seguridad de volumen. Sin embargo, este comportamiento no se observó al analizar dinámicamente una de las muestras. En el código de ejemplo se incluyen llamadas con formato WMIC para eliminar VSS. A los archivos cifrados se les añade la extensión .MMM.
- Al analizar más a fondo estos archivos cifrados, los investigadores identificaron otro indicador que los vincula con variantes anteriores de LOLKEK/GlobeImposter. Los archivos cifrados contenían la misma cadena «CRYPTO LOCKER» que se observaba en versiones anteriores.
Portal para víctimas y notas
Las notas de rescate de LOLKEK se denominan «ReadMe.txt» y se guardan en todas las ubicaciones que contienen archivos y datos cifrados. Las notas de rescate son prácticamente idénticas a las de variantes anteriores. Las URI .onion proporcionadas contienen una cadena al final, única para cada ejecución del ransomware.
Se indica a las víctimas que accedan al portal para víctimas de Tor, donde deben crear una cuenta para mantener una conversación privada con el autor de la amenaza. El nuevo portal es funcionalmente idéntico a los portales para víctimas anteriores alojados por esta operación de ransomware.
El autor de la amenaza señala que los archivos pequeños pueden descifrarse de forma gratuita como prueba de que el proceso de descifrado funciona. Cuando la víctima crea un ticket en el portal, los detalles del rescate se facilitan directamente a través del chat de la víctima.
Un desliz de LOLKEK en materia de seguridad operativa
Los responsables de esta campaña han seguido pasos, procesos y plantillas muy similares a los de sus campañas anteriores en lo que respecta a la configuración incorrecta de Apache. La página de estado del servidor se puede consultar en la página de víctimas de Tor. Los investigadores determinaron que el servidor entró en funcionamiento en May 23, 2023 , tan solo unos días después de que se compilaran las muestras relacionadas.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El ransomware LOLKEK resulta bastante fascinante, ya que ha logrado sobrevivir desde el año 2016 en este panorama de amenazas en constante evolución». «Sus responsables siguen trabajando con ahínco para explorar nuevas estrategias y han demostrado su capacidad para seguir siendo relevantes».
«LOLKEK nos sirve de buen recordatorio de que, aunque LockBit, Cl0p y otros grupos de ransomware de renombre dominen el panorama, no debemos pasar por alto las operaciones pequeñas pero persistentes».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
