Sophos ha publicado hoy un informe en el que afirma que las cargas útiles de ransomware detectadas se crearon utilizando el creador de ransomware LockBit filtrado en Internet por un desarrollador de malware descontento a finales de septiembre de 2022.
Las muestras vistas por Sophos en los ataques de esta semana fueron una variante de buhtiRansom LockBit lanzada en 30 redes de clientes diferentes y una segunda carga útil creada utilizando el constructor de Lockbit filtrado (y lanzado por un actor de amenaza diferente).
"El 22 de febrero de 2024, Sophos X-Ops informó a través de nuestras redes sociales que, a pesar de la reciente actividad policial contra el grupo LockBit, habíamos observado varios ataques en las 24 horas anteriores que parecían haberse llevado a cabo con el ransomware LockBit, creado utilizando una herramienta de creación de malware filtrada", explicó Sophos.
"Parece que nuestra detección basada en firmas identificó correctamente las cargas útiles como ransomware generado por el constructor de LockBit filtrado, pero las notas de rescate lanzadas por esas cargas útiles identificaron una como "buhtiRansom", y la otra no tenía un nombre en su nota de rescate."
Los atacantes están aprovechando una vulnerabilidad de máxima gravedad para eludir la autenticación y vulnerar servidores ScreenConnect no parcheados y desplegar cargas útiles de ransomware LockBit en redes comprometidas.
El fallo de máxima gravedad CVE-2024-1709 auth bypass se explota activamente desde el martes, un día después de que ConnectWise publicara actualizaciones de seguridad y varias empresas de ciberseguridad publicaran pruebas de concepto.
ConnectWise también ha parcheado la vulnerabilidad CVE-2024-1708 de alta gravedad, que sólo puede ser aprovechada por personas con privilegios elevados.
Ambos fallos de seguridad afectan a todas las versiones de ScreenConnect, lo que llevó a la empresa el miércoles a eliminar todas las restricciones de licencia para que los clientes con licencias caducadas puedan actualizar a la última versión del software y proteger sus servidores de los ataques.
CISA ha añadido hoy CVE-2024-1709 a su Catálogo de Vulnerabilidades Conocidas y Explotadas, ordenando a las agencias federales de EE.UU. que aseguren sus servidores en el plazo de una semana, antes del 29 de febrero.
Según la plataforma de vigilancia de amenazas a la seguridad Shadowserver, la vulnerabilidad CVE-2024-1709 está siendo ampliamente explotada, con 643 IPs dirigidas actualmente a servidores vulnerables.
Shodan rastrea actualmente más de 8.659 servidores ScreenConnect, con sólo 980 ejecutando la versión parcheada ScreenConnect 23.9.8.
Servidores ScreenConnect expuestos a Internet (Shodan)
Explotadas en ataques de ransomware LockBit
Hoy, Sophos X-Ops reveló que los actores de amenazas han estado desplegando ransomware LockBit en los sistemas de las víctimas después de obtener acceso utilizando exploits dirigidos a estas dos vulnerabilidades ScreenConnect.
"En las últimas 24 horas, hemos observado varios ataques LockBit, aparentemente después de la explotación de las recientes vulnerabilidades ConnectWise ScreenConnect (CVE-2024-1708 / CVE-2024-1709)", dijo el grupo de trabajo de respuesta a amenazas de Sophos.
"Dos cosas de interés aquí: en primer lugar, como se ha señalado por otros, las vulnerabilidades ScreenConnect están siendo explotadas activamente en la naturaleza. En segundo lugar, a pesar de la operación policial contra LockBit, parece que algunos afiliados siguen funcionando."
La compañía de ciberseguridad Huntress confirmó sus hallazgos y dijo a BleepingComputer que "un gobierno local, incluyendo sistemas probablemente vinculados a sus sistemas 911" y una "clínica de salud" también han sido atacados por atacantes de ransomware LockBit que utilizaron exploits CVE-2024-1709 para violar sus redes.
"Podemos confirmar que el malware que se está desplegando está asociado con Lockbit", dijo Huntress en un correo electrónico.
"No podemos atribuir esto directamente al grupo LockBit más grande, pero está claro que Lockbit tiene un gran alcance que abarca herramientas, varios grupos afiliados y vástagos que no se han borrado por completo incluso con el gran desmantelamiento por parte de las fuerzas de seguridad."
LockBit desmantelado en la Operación Cronos
La infraestructura del ransomware LockBit fue incautada esta semana después de que sus sitios de filtración en la red oscura fueran desmantelados el lunes en una operación policial mundial cuyo nombre en clave es Operación Cronos, dirigida por la Agencia Nacional contra el Crimen (NCA) del Reino Unido.
Como parte de esta operación conjunta, la Agencia Nacional de Policía de Japón desarrolló un descifrador gratuito del ransomware LockBit 3.0 Black utilizando más de 1.000 claves de descifrado recuperadas de los servidores incautados de LockBit y publicadas en el portal "No More Ransom".
Durante la operación Cronos, se detuvo a varios afiliados de LockBit en Polonia y Ucrania, mientras que las autoridades francesas y estadounidenses emitieron tres órdenes de detención internacionales y cinco autos de procesamiento contra otros actores de la amenaza LockBit. El Departamento de Justicia de Estados Unidos presentó dos de estas acusaciones contra los sospechosos rusos Artur Sungatov e Ivan Gennadievich Kondratiev (alias Bassterlord).
Las fuerzas de seguridad también publicaron información adicional en el sitio de filtraciones de la web oscura incautado del grupo, revelando que LockBit tenía al menos 188 afiliados desde que surgió en septiembre de 2019.
LockBit ha reivindicado ataques contra muchas organizaciones gubernamentales y de gran escala en todo el mundo en los últimos cuatro años, incluidos Boeing, el gigante automotriz Continental, el Royal Mail del Reino Unido y el Servicio de Impuestos Internos de Italia.
El Departamento de Estado de EE.UU. ofrece ahora recompensas de hasta 15 millones de dólares por proporcionar información sobre los miembros de la banda de ransomware LockBit y sus asociados.
Como ha informado hoy BleepingComputer, los desarrolladores de LockBit estaban trabajando en secreto en una nueva versión de malware apodada LockBit-NG-Dev (que probablemente se habría convertido en LockBit 4.0).
Fuente: bleepingcomputer