Investigadores del AhnLab Security Intelligence Center (ASEC) identificaron un grupo de origen ruso denominado EncryptHub. Este grupo aprovecha vulnerabilidades en el servidor Microsoft SQL (MS-SQL) para infiltrarse en sistemas corporativos.
Metodología de ataque
El grupo utiliza ataques de fuerza bruta y explotación de servidores MS-SQL expuestos para obtener acceso inicial. Una vez dentro, despliega una cadena compleja de herramientas que incluye minería de criptomonedas, robo de credenciales y despliegue de ransomware.
Operaciones internas
Para moverse lateralmente dentro de la red, emplea herramientas legítimas de administración con el fin de evadir la detección. El payload final incluye la instalación de miners para Monero y el despliegue de ransomware en entornos críticos.
Robo de información
Además, roba credenciales y utiliza túneles cifrados para extraer información sensible. EncryptHub ha mostrado una notable profesionalización en sus operaciones, reutilizando infraestructuras y compartiendo TTPs con otros grupos de habla rusa.
Riesgos identificados
- Consumo de recursos por criptominería.
- Pérdida completa de disponibilidad y confidencialidad de sistemas clave por ataques de ransomware.
Mitigaciones recomendadas
- Restringir el acceso remoto a instancias de MS-SQL.
- Segmentar la red.
- Aplicar parches de seguridad de manera prioritaria y continua.
- Monitorizar actividad sospechosa en procesos de administración de base de datos.
- Implementar Threat Intelligence para detectar patrones de ataque asociados a EncryptHub.