Microsoft ha advertido de una nueva oleada de ataques de ransomware CACTUS que aprovechan señuelos de publicidad maliciosa para desplegar DanaBot como vector de acceso inicial.
Las infecciones de DanaBot condujeron a "la actividad práctica en el teclado por parte del operador de ransomware Storm-0216 (Twisted Spider, UNC2198), que culminó con el despliegue del ransomware CACTUS", dijo el equipo de Inteligencia de Amenazas de Microsoft en una serie de mensajes en X (antes Twitter).
DanaBot, rastreado por el gigante de la tecnología como Storm-1044, es una herramienta multifuncional en la línea de Emotet, TrickBot, QakBot, y IcedID que es capaz de actuar como un ladrón y un punto de entrada para las cargas útiles de la siguiente etapa.
UNC2198, por su parte, ya había infectado puntos finales con IcedID para desplegar familias de ransomware como Maze y Egregor, según detalló Mandiant, propiedad de Google, en febrero de 2021.
Según Microsoft, la amenaza también ha aprovechado el acceso inicial proporcionado por las infecciones de QakBot. El cambio a DanaBot, por lo tanto, es probablemente el resultado de una operación policial coordinada en agosto de 2023 que acabó con la infraestructura de QakBot.
"La campaña actual de Danabot, observada por primera vez en noviembre, parece estar utilizando una versión privada del malware de robo de información en lugar de la oferta de malware como servicio", señala Redmond.
Las credenciales recogidas por el malware se transmiten a un servidor controlado por el actor, que es seguido por el movimiento lateral a través de intentos de inicio de sesión RDP y, finalmente, la entrega de acceso a Storm-0216.
La revelación se produce días después de que Arctic Wolf revelara otro conjunto de ataques de ransomware CACTUS que están explotando activamente vulnerabilidades críticas en una plataforma de análisis de datos llamada Qlik Sense para obtener acceso a redes corporativas.
También sigue al descubrimiento de una nueva cepa de ransomware para macOS apodada Turtle que está escrita en el lenguaje de programación Go y está firmada con una firma adhoc, lo que impide que se ejecute al iniciarse debido a las protecciones Gatekeeper.
Fuente: thehackernews.com