El grupo de amenazas conocido como UNC3944 ha modificado significativamente su enfoque monetario incorporando el uso del ransomware entre sus tácticas.
Evolución táctica
Mandiant informa que este cambio representa una evolución en las estrategias del grupo, que hasta ahora se destacaba por robar grandes cantidades de datos confidenciales con el objetivo de extorsionar a sus víctimas.
Metodología y herramientas
UNC3944 se apoya en herramientas disponibles públicamente, software legítimo y malware adquirido en foros clandestinos. El grupo también es conocido bajo otros nombres: 0ktapus, Scatter Swine y Scattered Spider.
Una de las tácticas destacadas es el uso de ingeniería social basada en llamadas telefónicas y phishing a través de mensajes de texto (smishing) para obtener credenciales válidas. Una vez obtenidas, utilizan páginas de inicio de sesión falsas para acceder a las organizaciones víctimas.
Objetivos y sectores afectados
Estas tácticas son similares a las empleadas por el grupo LAPSUS$. Inicialmente, UNC3944 se centraba en sectores como telecomunicaciones y externalización de procesos comerciales. Sin embargo, ha ampliado sus objetivos para incluir sectores como el hotelero, la venta al por menor, medios y entretenimiento, así como servicios financieros.
Herramientas y técnicas empleadas
El grupo utiliza una variedad de programas de robo de información y herramientas de robo de credenciales, como Atomic, ULTRAKNOT, Meduza y Vidar. Para evadir la detección, emplea servicios comerciales de proxy residencial y realiza extensas exploraciones de directorios y redes para escalar privilegios.
Uso de recursos en la nube
UNC3944 ha abusado de los recursos en la nube de las organizaciones víctimas para alojar utilidades maliciosas. Esto les permite deshabilitar cortafuegos y software de seguridad, lo que refleja su evolución y sofisticación.
Afiliación a grupos ransomware
Recientemente, este grupo ha surgido como afiliado de la banda de ransomware BlackCat (también conocida como ALPHV o Noberus). Aprovechando su nuevo estatus, lograron infiltrarse en MGM Resorts y distribuir ransomware.
Impacto y operaciones
Los actores de amenazas operan con rapidez extrema, accediendo a sistemas críticos y exfiltrando grandes volúmenes de datos en cuestión de días. Cuando despliegan ransomware, suelen apuntar específicamente a máquinas virtuales críticas para el negocio y otros sistemas, con el objetivo de maximizar el impacto en la víctima.