Según nuevos hallazgos, los ataques de ransomware dirigidos a la infraestructura VMware ESXi siguen un patrón establecido, independientemente del malware de cifrado de archivos implementado.
Plataformas de virtualización como objetivo
Las plataformas de virtualización son un componente central de la infraestructura de TI organizacional. Sin embargo, a menudo sufren de malas configuraciones y vulnerabilidades inherentes, lo que las convierte en un objetivo lucrativo y altamente efectivo para que los actores de amenazas abusen.
Secuencia de acciones en ataques
La empresa israelí Sygnia, a través de sus esfuerzos de respuesta a incidentes que involucran varias familias de ransomware como LockBit, HelloKitty, BlackMatter, RedAlert (N13V), Scattered Spider, Akira, Cactus, BlackCat y Cheerscrypt, descubrió que los ataques a entornos de virtualización siguen una secuencia similar de acciones.
- Obtener acceso inicial a través de ataques de phishing, descargas de archivos maliciosos y explotación de vulnerabilidades conocidas en activos conectados a Internet.
- Escalar privilegios para obtener credenciales para hosts ESXi o vCenter mediante ataques de fuerza bruta u otros métodos.
- Validar el acceso a la infraestructura de virtualización e implementar el ransomware.
- Eliminar o cifrar los sistemas de respaldo, o en algunos casos cambiar las contraseñas para complicar los esfuerzos de recuperación.
- Exfiltrar datos a ubicaciones externas como Mega.io, Dropbox o sus propios servicios de alojamiento.
- Iniciar la ejecución del ransomware para cifrar la carpeta /vmfs/volumes del sistema de archivos ESXi.
- Propagar el ransomware a servidores y estaciones de trabajo no virtualizados para ampliar el alcance del ataque.
Recomendaciones para mitigar riesgos
Para mitigar los riesgos que plantean tales amenazas, se recomienda que las organizaciones garanticen que exista un monitoreo y registro adecuados, creen mecanismos de respaldo sólidos, apliquen medidas de autenticación sólidas, refuercen el entorno e implementen restricciones de red para evitar el movimiento lateral.
Campañas de malvertising
El desarrollo como empresa de ciberseguridad Rapid7 advirtió sobre una campaña en curso desde principios de marzo de 2024 que emplea anuncios maliciosos en motores de búsqueda de uso común para distribuir instaladores troyanizados para WinSCP y PuTTY a través de dominios con errores tipográficos, instalar ransomware.
Estos instaladores falsificados actúan como un conducto para instalar el kit de herramientas de explotación Sliver, que luego se utiliza para entregar más cargas útiles, incluido un Cobalt Strike Beacon que se aprovecha para la implementación de ransomware.
Relación con ataques anteriores
Esta actividad comparte superposiciones tácticas con ataques anteriores de ransomware BlackCat que han utilizado publicidad maliciosa como vector de acceso inicial, como parte de una campaña recurrente que entrega el malware Nitrogen.
Nuevas familias de ransomware
La divulgación también sigue a la aparición de nuevas familias de ransomware como Beast, MorLock, Synapse y Trinity. El grupo MorLock persigue extensamente a empresas rusas y cifra archivos sin exfiltrarlos primero.
«Para restablecer el acceso a los datos, los atacantes [MorLock] exigen un rescate considerable, cuyo tamaño puede ser de decenas y cientos de millones de rublos», dijo la filial rusa del Grupo IB, F.A.C.C.T. Según los datos compartidos por NCC Group, los ataques globales de ransomware en abril de 2024 registraron una disminución del 15% con respecto al mes anterior, pasando de 421 a 356.
Evolución de LockBit
En particular, abril de 2024 también marca el final del reinado de ocho meses de LockBit como el actor de amenazas con más víctimas. Esto destaca sus luchas por mantenerse a flote después de una amplia eliminación policial a principios de este año.
«Sin embargo, en un giro sorprendente de los acontecimientos, LockBit 3.0 no fue el grupo de amenazas más destacado del mes y tuvo menos de la mitad de los ataques observados que tuvieron en marzo», dijo la compañía NCC Group.
«En cambio, Play fue el grupo de amenazas más activo, seguido poco después por Hunters».
Herramientas ocultas para ciberdelincuentes
La turbulencia en la escena del ransomware se ha complementado con ciberdelincuentes que anuncian Virtual Network Computing (hVNC) oculto y servicios de acceso remoto como Pandora y TMChecker, que podrían utilizarse para la filtración de datos, implementar malware adicional y facilitar ataques de ransomware.
«El aumento simultáneo de TMChecker es significativo porque reduce sustancialmente las barreras de entrada de costos para los actores de amenazas que buscan obtener acceso corporativo de alto impacto, ya sea para explotación primaria o para venta a otros adversarios en el mercado secundario».