La banda de ransomware BlackCat (ALPHV) ahora utiliza cuentas de Microsoft robadas y el cifrador Sphynx recientemente descubierto para cifrar el almacenamiento en la nube de Azure de los objetivos.
Mientras investigaban una infracción reciente, los servicios de respuesta a incidentes de Sophos X-Ops descubrieron que los atacantes utilizaron una nueva variante de Sphynx con soporte adicional para el uso de credenciales personalizadas.
Después de obtener acceso a la cuenta de Sophos Central utilizando una contraseña de un solo uso (OTP) robada, desactivaron la protección contra manipulaciones y modificaron las políticas de seguridad. Estas acciones fueron posibles después de robar la OTP de la bóveda de LastPass de la víctima utilizando la extensión LastPass Chrome.
Posteriormente, cifraron los sistemas del cliente de Sophos y el almacenamiento remoto en la nube de Azure y agregaron la extensión .zk09cvt a todos los archivos bloqueados. En total, los operadores de ransomware pudieron cifrar con éxito 39 cuentas de Azure Storage.
Se infiltraron en el portal Azure de la víctima utilizando una clave de Azure robada que les proporcionó acceso a las cuentas de almacenamiento específicas. Las claves utilizadas en el ataque se inyectaron dentro del binario del ransomware después de codificarse con Base64.
Los atacantes también utilizaron múltiples herramientas de administración y monitoreo remoto (RMM) como AnyDesk, Splashtop y Atera durante la intrusión.
Sophos descubrió la variante Sphynx en marzo de 2023 durante una investigación sobre una violación de datos que compartía similitudes con otro ataque descrito en un informe de IBM-Xforce publicado en mayo (la herramienta ExMatter se utilizó para extraer los datos robados en ambos casos).
Microsoft también descubrió el mes pasado que el nuevo cifrador Sphynx está incorporando la herramienta de piratería Remcom y el marco de red Impacket para el movimiento lateral a través de redes comprometidas.
?Como operación de ransomware que surgió en noviembre de 2021, se sospecha que BlackCat/ALPHV es un cambio de marca de DarkSide/BlackMatter .
Conocido inicialmente como DarkSide, este grupo atrajo la atención mundial después de violar Colonial Pipeline , lo que atrajo el escrutinio inmediato de las agencias policiales internacionales.
Aunque cambiaron su nombre a BlackMatter en julio de 2021, las operaciones se detuvieron abruptamente en noviembre cuando las autoridades confiscaron sus servidores y la empresa de seguridad Emsisoft desarrolló una herramienta de descifrado que aprovechaba una vulnerabilidad en el ransomware.
Esta banda ha sido reconocida constantemente como uno de los grupos de ransomware más sofisticados y de alto perfil que se dirige a empresas a escala global, adaptando y refinando continuamente sus tácticas.
Por ejemplo, en un nuevo enfoque de extorsión el verano pasado, la banda de ransomware utilizó un sitio web exclusivo para filtrar los datos robados de una víctima específica, proporcionando a los clientes y empleados de la víctima los medios para determinar si sus datos habían sido expuestos.
Más recientemente, BlackCat introdujo en julio una API de fuga de datos diseñada para agilizar la difusión de datos robados.
Esta semana, uno de los afiliados de la pandilla (seguido como Scattered Spider) reivindicó el ataque a MGM Resorts , diciendo que cifraron más de 100 hipervisores ESXi después de que la compañía derribara su infraestructura interna y se negara a negociar un pago de rescate.
En abril pasado, el FBI emitió una advertencia destacando que el grupo estuvo detrás de las intrusiones exitosas de más de 60 entidades en todo el mundo entre noviembre de 2021 y marzo de 2022.
Fuente: bleepingcomputer