Royal Ransomware, también conocido como Zeon, es un grupo de amenazas que ha mostrado una rápida evolución en sus técnicas desde su aparición en septiembre de 2022. El grupo se ha adaptado rápidamente a nuevas vulnerabilidades y técnicas, lo que le permite expandirse en múltiples industrias y países, incluida América Latina.
Actividad reciente del grupo
El actor de amenazas conocido como DEV-0569 ha estado involucrado en la distribución del ransomware Royal. Este grupo opera con una variedad de técnicas, incluyendo descubrimiento y evasión de defensa, así como el uso de múltiples cargas útiles posteriores al compromiso. La actividad observada muestra un patrón de innovación continua.
Impacto en infraestructura crítica
Royal Ransomware ha sido responsable de ataques contra infraestructuras críticas, especialmente en el sector sanitario. A diferencia de otros grupos que contratan afiliados para promover su amenaza como servicio, Royal opera como un grupo privado formado por ex-miembros del grupo Conti.
Metodología de infección
El grupo utiliza una infección BATLOADER, que se propaga a través del envenenamiento de optimización de motores de búsqueda (SEO). Esta infección implica dejar caer un Cobalt Strike Beacon como precursor para la ejecución del ransomware. Además, el grupo ha ampliado su arsenal al desarrollar una variante ELF para afectar entornos Linux y ESXi.
Técnicas de evasión
Royal Ransomware también ha aprovechado técnicas de evasión en instancias virtuales, lo que dificulta la detección por parte de los defensores. Algunos atributos de las muestras recientes recordaban una muestra anterior del ransomware Conti de 2020. Una investigación externa estableció una relación directa entre Conti y Royal.
Características técnicas
Royal Ransomware ha utilizado diversas técnicas desde su aparición, incluyendo:
- Phishing BazarCall
- Cifrado de archivos a través de SMB
- Utilización expansiva de LOLbin
- Aprovechar vulnerabilidades como CVE-2022-27510
- Aprovechar malware y herramientas populares como Qbot, Batloader, Cobalt Strike, etc.
Relación con Conti
El ransomware Royal muestra características similares al ransomware Conti. A diferencia de lo observado en otros casos, el actor no desactivó el antivirus/EDR ni eliminó las instantáneas de volumen. Sin embargo, la muestra tiene la capacidad de eliminar estas instantáneas.
Cadena de infección
Hay varias cadenas de infección que conducen al ransomware Royal. En algunos casos, el envenenamiento de SEO y la publicidad maliciosa se han utilizado como vectores de acceso inicial. Estos métodos buscan engañar a la víctima para que descargue y ejecute un archivo malicioso que se hace pasar por software legítimo.
Esto inicia una cadena de infección compleja con múltiples etapas, incluyendo scripts de PowerShell y archivos MSI. En ciertos casos, esto conduce a la infección con BATLOADER, el cual descarga más cargas útiles como VidarStealer, Ursnif/ISFB y Redline Stealer.
Los investigadores observaron que los operadores de Royal también usan PowerTool, una pieza de software que tiene acceso al kernel. También ejecutaron secuencias de comandos por lotes para deshabilitar servicios relacionados con la seguridad y eliminaron las instantáneas de archivos y los registros después de una exfiltración exitosa.