Un reciente incidente de ciberseguridad reveló una alianza entre el grupo de ciberdelincuentes norcoreano Jumpy Pisces (también conocido como Andariel o APT45) y la red de ransomware Play.
Actividades del grupo Jumpy Pisces
El grupo Jumpy Pisces desplegó el ransomware Play entre mayo y septiembre de 2024. Andariel, un actor de amenazas patrocinado por el estado norcoreano con historial desde 2009, ha sido identificado como responsable detrás del incidente con el ransomware Play.
Metodología empleada
Andariel utilizó el marco de comando y control (C2) Silver y un backdoor llamado Dtrack para comprometer una cuenta de usuario y moverse lateralmente dentro de la red de la víctima. Antes de desplegar Play, Andariel llevó a cabo actividades típicas de pre-ransomware, como la recolección de credenciales y la desinstalación de herramientas de seguridad.
Impacto del ransomware Play
Play es una operación de ransomware que se cree ha afectado a aproximadamente 300 organizaciones hasta la fecha. Play también es conocido por los nombres Balloonfly, Fiddling, Scorpius y PlayCrypt.
Recopilación de datos
Se utilizó un binario troyanizado capaz de recopilar el historial del navegador web, información de autocompletado y datos de tarjetas de crédito en Google Chrome, Microsoft Edge y Brave. La comunicación con el servidor C2 de Silver se mantuvo activa hasta el día anterior al despliegue del ransomware.
Estado actual del C2
La dirección IP del C2 ha estado desconectada desde el día en que se produjo el despliegue. Microsoft advirtió que los estados-nación y ciberdelincuentes han estado coordinando sus actividades más que nunca.
Coordinación entre actores estatales y ciberdelincuentes
Rusia, Corea del Norte e Irán están desplegando ransomware como forma de obtener beneficios económicos de sus operaciones cibernéticas ofensivas. El ransomware se ha utilizado como tapadera para actividades de espionaje chino.
Actividades de actores gubernamentales iraníes
Las fuerzas de seguridad han observado casos de ciberdelincuentes gubernamentales iraníes que utilizan su acceso oficial para lanzar ataques con fines económicos. El FBI declaró en agosto haber sido testigo de la asociación de actores iraníes con afiliados de las operaciones de ransomware NoEscape, Ransomhouse y AlphV.
Historial de actores norcoreanos
Los actores norcoreanos han sido acusados desde hace tiempo de utilizar estos mismos ransomwares en ataques. En julio, Estados Unidos acusó al ciudadano norcoreano Rim Jong Hyok por su presunta participación en ataques de ransomware contra hospitales y empresas sanitarias estadounidenses.
Ataques específicos
Rim supuestamente utilizó el ransomware Maui en 2021 y 2022 para atacar un hospital en Kansas, cinco proveedores de atención médica, cuatro contratistas de defensa con sede en Estados Unidos, dos bases de la Fuerza Aérea de EE.UU. y la Oficina del Inspector General de la NASA.