Cuando el año pasado se filtró el preciado malware de la prolífica banda de ransomware LockBit , LockBit 3.0 , los rivales y aspirantes a competidores se apresuraron a aprovechar la oportunidad.
Un análisis realizado por investigadores de Kaspersky muestra que varios otros grupos de amenazas aprovecharon la filtración del constructor LockBit 3.0 para crear su propia versión personalizada del ransomware e implementarla en campañas de extorsión.
En una publicación del 25 de agosto, Eduardo Ovalle y Francesco Figurelli del Equipo de Respuesta a Emergencias Globales (GERT) de Kaspersky dijeron que no pasó mucho tiempo después de la filtración de septiembre de 2022 para que aparecieran nuevas variaciones del malware.
"Inmediatamente después de la filtración del constructor, durante una respuesta a un incidente por parte de nuestro equipo GERT, logramos encontrar una intrusión que aprovechaba el cifrado de sistemas críticos con una variante del ransomware Lockbit 3", dijeron los investigadores.
"Aunque se confirmó que esta variante era Lockbit, el procedimiento de demanda de rescate era bastante diferente del que se sabe que implementó este actor de amenazas".
En la nota de rescate examinada por el GERT, los extorsionadores se hacían llamar Agencia Nacional de Riesgos, un grupo hasta entonces desconocido.
La nota también se destacó porque incluía una demanda de rescate específica ($3 millones) por las claves para descifrar los archivos de la víctima y proporcionaba detalles de contacto de correo electrónico y chat. Por el contrario, el grupo LockBit utiliza su propia plataforma de comunicación y negociación para interactuar con sus víctimas.
Otros grupos de amenazas identificados mediante LockBit 3.0 incluyeron la operación de ransomware Buhti de Blacktail, la banda de ransomware Bl00dy y GetLucky
Cómo se modificó el malware filtrado
Para tener una idea de cómo se estaba implementando LockBit 3.0 y quién lo implementó, los investigadores de Kaspersky analizaron 396 muestras distintas del malware.
"El objetivo de este análisis es comprender los parámetros aplicados por diferentes actores para construir el malware tal como está configurado en muestras detectadas en la naturaleza", dijeron Ovalle y Figurelli.
Descubrieron que 77 de las 396 muestras no incluían ninguna referencia a "LockBit" en su nota de rescate. Tal omisión del nombre sería "bastante inesperada" en términos de las tácticas, técnicas y procedimientos habituales de la pandilla, dijeron los investigadores.
"La nota de rescate modificada sin referencia a Lockbit o con una dirección de contacto diferente (correo/URL) revela un probable uso indebido del constructor por parte de actores distintos del Lockbit 'original'", dijeron.
Aparte de las notas de rescate modificadas, las muestras mostraron pocos cambios en el malware filtrado.
?Muchos de los parámetros detectados corresponden a la configuración predeterminada del constructor, sólo algunos contienen cambios menores. Esto indica que las muestras probablemente fueron desarrolladas para necesidades urgentes o posiblemente por actores perezosos?.
Si bien LockBit 3.0 incluye una funcionalidad para configurar una operación de comando y control (C2) para que los datos puedan extraerse de las redes de las víctimas, los investigadores encontraron que "muy pocas" de las muestras que analizaron tenían habilitada la función de comunicación C2.
"No se identificaron dominios sospechosos o maliciosos en las muestras analizadas, lo que demuestra que no hay interés en establecer comunicaciones C2 utilizando las cargas útiles filtradas", dijeron Ovalle y Figurelli.
Según Jon DiMaggio, estratega jefe de seguridad de Analyst1, la pandilla LockBit actualmente está luchando con múltiples problemas que han hecho que los afiliados abandonen la organización en favor de sus competidores.
?LockBit no cumplió con su fecha de lanzamiento más reciente para producir una variante de ransomware actualizada para respaldar a sus socios afiliados. En cambio, se basa en ransomware obsoleto y disponible públicamente, filtrado de sus competidores?, dijo DiMaggio, quien pasó meses investigando encubiertamente la operación LockBit.
Fuente: scmagazine.com