Los autores del ataque de ransomware Qilin han robado credenciales almacenadas en los navegadores Google Chrome de un pequeño grupo de terminales comprometidos.
El uso de la recolección de credenciales en relación con una infección de ransomware marca un giro inusual, y uno que podría tener consecuencias en cascada, dijo la firma de ciberseguridad Sophos en un informe del jueves.
El ataque, detectado en julio de 2024, consistió en infiltrarse en la red objetivo a través de credenciales comprometidas para un portal VPN que carecía de autenticación multifactor (MFA), y los actores de la amenaza llevaron a cabo acciones posteriores a la explotación 18 días después de que se produjera el acceso inicial.
"Una vez que el atacante llegó al controlador de dominio en cuestión, editó la política de dominio predeterminada para introducir un objeto de directiva de grupo (GPO) basado en el inicio de sesión que contenía dos elementos", explicaron los investigadores Lee Kirkpatrick, Paul Jacobs, Harshal Gosalia y Robert Weiland.
El primero de ellos es un script de PowerShell llamado "IPScanner.ps1" que está diseñado para recopilar datos de credenciales almacenados en el navegador Chrome. El segundo elemento es un script por lotes ("logon.bat") que contacta con comandos para ejecutar el primer script.
"El atacante dejó este GPO activo en la red durante más de tres días", añadieron los investigadores.
"Esto proporcionó una amplia oportunidad para que los usuarios iniciaran sesión en sus dispositivos y, sin que ellos lo supieran, activaran el script de recolección de credenciales en sus sistemas. Una vez más, como todo esto se hizo utilizando un GPO de inicio de sesión, cada usuario experimentaría este robo de credenciales cada vez que iniciara sesión."
A continuación, los atacantes exfiltraron las credenciales robadas y tomaron medidas para borrar las pruebas de la actividad antes de cifrar los archivos y dejar caer la nota de rescate en todos los directorios del sistema.
El robo de las credenciales almacenadas en el navegador Chrome obliga a los usuarios afectados a cambiar sus combinaciones de nombre de usuario y contraseña en todos los sitios de terceros.
"Como era de esperar, los grupos de ransomware siguen cambiando de táctica y ampliando su repertorio de técnicas", afirman los investigadores.
"Si ellos, u otros atacantes, han decidido también minar en busca de credenciales almacenadas en el endpoint - lo que podría proporcionar un pie en la puerta de un objetivo posterior, o trozos de información sobre objetivos de alto valor para ser explotados por otros medios- puede que se haya abierto un nuevo y oscuro capítulo en la continua historia de la ciberdelincuencia."
Tendencias en constante evolución del ransomware
La novedad llega cuando se han observado grupos de ransomware como Mad Liberator y Mimic que utilizan solicitudes no solicitadas de AnyDesk para la exfiltración de datos y aprovechan servidores Microsoft SQL expuestos a Internet para el acceso inicial, respectivamente.
Los ataques de Mad Liberator se caracterizan además porque los actores de la amenaza abusan del acceso para transferir y lanzar un binario llamado "Microsoft Windows Update" que muestra una falsa pantalla de bienvenida de Windows Update a la víctima para dar la impresión de que se están instalando actualizaciones de software mientras se saquean los datos.
El abuso de herramientas legítimas de escritorio remoto, en lugar de malware a medida, ofrece a los atacantes el disfraz perfecto para camuflar sus actividades maliciosas a plena vista, lo que les permite mezclarse con el tráfico normal de la red y evadir la detección.
El ransomware sigue siendo una empresa rentable para los ciberdelincuentes a pesar de una serie de acciones policiales, y se prevé que 2024 sea el año de mayor recaudación hasta la fecha. Este año también se ha producido el mayor pago por ransomware jamás registrado, de aproximadamente 75 millones de dólares, al grupo de ransomware Dark Angels.
"La mediana del pago de rescate a las cepas de ransomware más graves se ha disparado de poco menos de 200.000 dólares a principios de 2023 a 1,5 millones de dólares a mediados de junio de 2024, lo que sugiere que estas cepas están dando prioridad a las grandes empresas y proveedores de infraestructura crítica que pueden ser más propensos a pagar rescates altos debido a sus bolsillos profundos y su importancia sistémica", dijo la firma de análisis de blockchain Chainalysis.
Se estima que las víctimas de ransomware pagaron 459,8 millones de dólares a los ciberdelincuentes en el primer semestre del año, frente a los 449,1 millones de dólares del mismo periodo del año anterior. Sin embargo, los pagos totales por ransomware medidos en cadena han disminuido un 27,29 % interanual, lo que indica un descenso en las tasas de pago.
Es más, los grupos de amenazas de habla rusa representaron al menos el 69% de todos los ingresos en criptomoneda relacionados con el ransomware a lo largo del año anterior, superando los 500 millones de dólares.
Según los datos compartidos por NCC Group, el número de ataques de ransomware observados en julio de 2024 aumentó mes a mes de 331 a 395, pero por debajo de los 502 registrados el año pasado. Las familias de ransomware más activas fueron RansomHub, LockBit y Akira. Los sectores más atacados son el industrial, el de consumo cíclico y el de hostelería y ocio.
Las organizaciones industriales son un objetivo lucrativo para los grupos de ransomware debido a la naturaleza de misión crítica de sus operaciones y al alto impacto de las interrupciones, lo que aumenta la probabilidad de que las víctimas puedan pagar la cantidad de rescate exigida por los atacantes.
"Los delincuentes se centran en los lugares donde pueden causar más dolor e interrupciones, por lo que el público exigirá resoluciones rápidas y, esperan, el pago de rescates para restablecer los servicios más rápidamente", dijo Chester Wisniewski, director global de tecnología de campo de Sophos.
"Esto convierte a los servicios públicos en objetivos principales de los ataques de ransomware. Debido a las funciones esenciales que proporcionan, la sociedad moderna exige que se recuperen rápidamente y con una interrupción mínima."
Los ataques de ransomware dirigidos al sector casi se han duplicado en el segundo trimestre de 2024 en comparación con el primero, pasando de 169 a 312 incidentes, según Dragos. La mayoría de los ataques afectaron a Norteamérica (187), seguida de Europa (82), Asia (29) y Sudamérica (6).
"Los creadores de ransomware están programando estratégicamente sus ataques para que coincidan con los periodos de vacaciones en algunas regiones, con el fin de maximizar la interrupción y presionar a las organizaciones para que paguen", afirma NCC Group.
Malwarebytes, en su propio informe 2024 State of Ransomware, destacó tres tendencias en las tácticas del ransomware durante el año pasado, incluido un aumento de los ataques durante los fines de semana y las primeras horas de la mañana, entre la 1:00 y las 5:00, y una reducción del tiempo desde el acceso inicial hasta el cifrado.
El desmantelamiento de LockBit y ALPHV (también conocido como BlackCat) ha llevado a una erosión de la confianza dentro de la comunidad cibercriminal, provocando que los afiliados se alejen de las grandes marcas.
De hecho, Coveware dijo que más del 10% de los incidentes manejados por la compañía en el segundo trimestre de 2024 no estaban afiliados, lo que significa que fueron "atribuidos a atacantes que deliberadamente operaban independientemente de una marca específica y lo que típicamente llamamos lobos solitarios."
"Los continuos desmantelamientos de foros y mercados de ciberdelincuentes acortaron el ciclo de vida de los sitios delictivos, ya que los administradores de los sitios intentan evitar llamar la atención de las fuerzas de seguridad", afirmó Europol en una evaluación publicada el mes pasado.
"Esta incertidumbre, combinada con un aumento de las estafas de salida, han contribuido a la continua fragmentación de los mercados delictivos. Las recientes operaciones LE y la filtración de códigos fuente de ransomware (por ejemplo, Conti, LockBit y HelloKitty) han provocado una fragmentación de los grupos activos de ransomware y de las variantes disponibles."
Fuente: thehackernews