Investigadores de ciberseguridad han desentrañado el funcionamiento interno de una nueva variante de ransomware llamada Cicada3301 que comparte similitudes con la ya desaparecida operación BlackCat (también conocida como ALPHV).
«Parece que el ransomware Cicada3301 se dirige principalmente a pequeñas y medianas empresas (PYMES), probablemente a través de ataques oportunistas que aprovechan vulnerabilidades como vector de acceso inicial», afirma la empresa de ciberseguridad Morphisec en un informe técnico.
Escrito en Rust y capaz de atacar tanto hosts Windows como Linux/ESXi, Cicada3301 apareció por primera vez en junio de 2024, invitando a potenciales afiliados a unirse a su plataforma de ransomware como servicio (RaaS) a través de un anuncio en el foro clandestino RAMP.
Un aspecto notable del ransomware es que el ejecutable incrusta las credenciales del usuario comprometido, que luego se utilizan para ejecutar PsExec, una herramienta legítima que permite ejecutar programas de forma remota.
Las similitudes de Cicada3301 con BlackCat también se extienden a su uso de ChaCha20 para el cifrado, fsutil para evaluar enlaces simbólicos y cifrar archivos redirigidos, así como IISReset.exe para detener los servicios IIS y cifrar archivos que, de otro modo, podrían estar bloqueados para su modificación o eliminación.
Otras coincidencias con BlackCat incluyen los pasos realizados para eliminar las instantáneas, desactivar la recuperación del sistema mediante la manipulación de la utilidad bcdedit, aumentar el valor MaxMpxCt para soportar mayores volúmenes de tráfico (por ejemplo, SMB PsExec peticiones), y borrar todos los registros de eventos mediante la utilización de la utilidad wevtutil.
También se ha observado que Cicada3301 detiene las máquinas virtuales (VM) desplegadas localmente, un comportamiento adoptado anteriormente por el ransomware Megazord y el ransomware Yanluowang, y termina varios servicios de copia de seguridad y recuperación y una lista codificada de docenas de procesos.
Además de mantener una lista integrada de archivos y directorios excluidos durante el proceso de cifrado, el ransomware se dirige a un total de 35 extensiones de archivo: sql, doc, rtf, xls, jpg, jpeg, psd, docm, xlsm, ods, ppsx, png, raw, dotx, xltx, pptx, ppsm, gif, bmp, dotm, xltm, pptm, odp, webp, pdf, odt, xlsb, ptox, mdf, tiff, docx, xlsx, xlam, potm y txt.
Morphisec afirma que su investigación también ha descubierto otras herramientas, como EDRSyBlast, que utilizan como arma un controlador firmado vulnerable para eludir las detecciones de EDR, una técnica también adoptada por el grupo de ransomware BlackByte en el pasado.
Los hallazgos siguen al análisis de Truesec de la versión ESXi de Cicada3301, al tiempo que descubren indicios de que el grupo podría haberse asociado con los operadores de la botnet Brutus para obtener el acceso inicial a las redes empresariales.
«Independientemente de si Cicada3301 es una nueva marca de ALPHV, tienen un ransomware escrito por el mismo desarrollador que ALPHV, o simplemente han copiado partes de ALPHV para hacer su propio ransomware, la línea de tiempo sugiere que la desaparición de BlackCat y la aparición primero de la botnet Brutus y luego de la operación de ransomware Cicada3301 posiblemente estén todos conectados», señaló la compañía.
Los ataques contra sistemas VMware ESXi también implican el uso de cifrado intermitente para cifrar archivos mayores de un umbral establecido (100 MB) y un parámetro llamado «no_vm_ss» para cifrar archivos sin apagar las máquinas virtuales que se están ejecutando en el host.
La aparición de Cicada3301 también ha provocado que un «movimiento apolítico» epónimo, que se ha adentrado en «misteriosos» rompecabezas criptográficos, emita una declaración en la que afirma que no tiene ninguna relación con el plan de ransomware.
Fuente: thehackernews