El grupo de hackers llamado GhostSec ha sido vinculado a una variante Golang de una familia de ransomware llamada GhostLocker.
"Los grupos de ransomware GhostSec y Stormous están llevando a cabo conjuntamente ataques de ransomware de doble extorsión en varias verticales de negocios en múltiples países", dijo el investigador de Cisco Talos Chetan Raghuprasad en un informe compartido con The Hacker News.
"GhostLocker y Stormous ransomware han iniciado un nuevo programa de ransomware-as-a-service (RaaS) STMX_GhostLocker, proporcionando varias opciones para sus afiliados".
Los ataques del grupo se han dirigido a víctimas de Cuba, Argentina, Polonia, China, Líbano, Israel, Uzbekistán, India, Sudáfrica, Brasil, Marruecos, Qatar, Turquía, Egipto, Vietnam, Tailandia e Indonesia.
Algunos de los sectores más afectados son la tecnología, la educación, la industria manufacturera, la administración pública, el transporte, la energía, el sector médico-legal, el sector inmobiliario y las telecomunicaciones.
GhostSec -que no debe confundirse con Ghost Security Group (que también se llama GhostSec)- forma parte de una coalición llamada The Five Families, que también incluye a ThreatSec, Stormous, Blackforums y SiegedSec.
Se formó en agosto de 2023 para "establecer una mejor unidad y conexiones para todos en el mundo clandestino de Internet, para expandir y hacer crecer nuestro trabajo y operaciones."
A finales del año pasado, el grupo de hackers se aventuró en el ransomware como servicio (RaaS) con GhostLocker, ofreciéndolo a otros actores por 269,99 dólares al mes. Poco después, el grupo Stormous anunció que utilizaría ransomware basado en Python en sus ataques.
Los últimos hallazgos de Talos muestran que los dos grupos se han unido no solo para atacar una amplia gama de sectores, sino también para desatar una versión actualizada de GhostLocker en noviembre de 2023, así como para iniciar un nuevo programa RaaS en 2024 llamado STMX_GhostLocker.
"El nuevo programa se compone de tres categorías de servicios para los afiliados: de pago, gratuitos, y otra para los particulares sin programa que sólo quieren vender o publicar datos en su blog (servicio PYV)", explicó Raghuprasad.
STMX_GhostLocker, que cuenta con su propio sitio de filtraciones en la dark web, enumera nada menos que seis víctimas de India, Uzbekistán, Indonesia, Polonia, Tailandia y Argentina.
GhostLocker 2.0 (también conocido como GhostLocker V2) está escrito en Go y se anuncia como totalmente eficaz y con rápidas capacidades de cifrado y descifrado. También viene con una nota de rescate renovada que insta a las víctimas a ponerse en contacto con ellos en un plazo de siete días o se arriesgan a que se filtren sus datos robados.
El esquema RaaS también permite a los afiliados hacer un seguimiento de sus operaciones, controlar el estado del cifrado y los pagos a través de un panel web. También se les proporciona un constructor que permite configurar la carga útil del casillero según sus preferencias, incluidos los directorios a cifrar y los procesos y servicios que deben cerrarse antes de iniciar el proceso de cifrado.
Una vez desplegado, el ransomware establece conexión con un panel de mando y control (C2) y procede con la rutina de cifrado, no sin antes matar los procesos o servicios definidos y exfiltrar los archivos que coincidan con una lista específica de extensiones.
Talos dijo que descubrió dos nuevas herramientas probablemente utilizadas por GhostSec para comprometer sitios legítimos. Una de ellas es el 'GhostSec Deep Scan toolset' para escanear sitios web legítimos de forma recursiva, y la otra es una herramienta de hacking para realizar ataques cross-site scripting (XSS) llamada "GhostPresser", dijo Raghuprasad.
GhostPresser está diseñado principalmente para penetrar en sitios de WordPress, lo que permite a los autores de la amenaza alterar la configuración del sitio, añadir nuevos plugins y usuarios, e incluso instalar nuevos temas, lo que demuestra el compromiso de GhostSec con la evolución de su arsenal.
"El propio grupo ha afirmado que lo ha utilizado en ataques a víctimas, pero no tenemos forma de validar ninguna de esas afirmaciones. Esta herramienta probablemente sería utilizada por los operadores de ransomware por una variedad de razones", dijo Talos a The Hacker News.
"La herramienta de escaneo profundo podría aprovecharse para buscar formas de entrar en las redes de las víctimas y la herramienta GhostPresser, además de comprometer los sitios web de las víctimas, podría utilizarse para preparar cargas útiles para su distribución, si no quisieran utilizar la infraestructura de los actores."
Fuente: thehackernews