Se ha descubierto una nueva variante de ransomware denominada 3AM, que fue utilizada como alternativa durante un ataque fallido para implementar el ransomware LockBit. El incidente ocurrió cuando los atacantes no lograron establecer la conexión con el sistema objetivo, lo que llevó a la introducción de esta nueva herramienta.
Características del malware 3AM
Según un análisis realizado por investigadores de Symantec, el ransomware 3AM está escrito en el lenguaje Rust y no presenta relación con ninguna familia conocida de ransomware. Esto lo convierte en una amenaza completamente nueva dentro del panorama cibernético.
El malware se ha utilizado de forma limitada, pero su presencia sigue la tendencia común de los ataques de ransomware, que incluyen el robo de datos antes de cifrarlos y la emisión de una nota de rescate amenazando con vender la información robada si no se paga al atacante.
Operación y mecanismos de funcionamiento
La operación del ransomware 3AM incluye un sitio de negociación muy básico en la red TOR, que permite a los atacantes comunicarse con las víctimas mediante una ventana de chat basada en una clave de acceso proporcionada en la nota de rescate.
Antes de iniciar el cifrado, 3AM intenta detener múltiples servicios relacionados con productos de seguridad y respaldo de proveedores como Veeam, Acronis, Ivanti, McAfee o Symantec. Una vez completado el proceso, los archivos afectados reciben la extensión .THREEAMTIME, y el malware también intenta eliminar instantáneas de volumen que podrían ser utilizadas para recuperar los datos.
Procedimientos iniciales del ataque
Los investigadores observaron que la operación fue precedida por el uso del comando «gpresult», que extrae la configuración de políticas del sistema para un usuario específico. Además, se utilizó varios componentes de Cobalt Strike y se intentó escalar privilegios en la computadora usando Psexec.
Se detectaron comandos comúnmente usados para reconocimiento, como whoami, netstat, quser y net share. También se observó la enumeración de servidores mediante quser y net view, así como el agregado de un nuevo usuario para lograr persistencia. El atacante también utilizó el antiguo cliente FTP wput para copiar archivos al servidor del atacante.
Parámetros de línea de comandos
El ejecutable basado en Rust de 3AM reconoce los siguientes parámetros:
- -k: 32 caracteres Base64, la «clave de acceso» incluida en la nota de rescate.
- -p: desconocido.
- -h: desconocido.
- -m: método, donde el código verifica uno de dos valores antes de ejecutar la lógica de cifrado: «local» o «net».
- -s: determina los desplazamientos dentro de los archivos para controlar la velocidad del cifrado, expresados como dígitos decimales.
Aunque se observan frecuentemente nuevas familias de ransomware, pocas alcanzan una popularidad suficiente para convertirse en operaciones estables. Dado que 3AM fue utilizada como alternativa a LockBit, es probable que atraiga el interés de otros atacantes y se utilice con mayor frecuencia.
Los investigadores indican que el actor de amenazas logró implementar el malware solo en tres máquinas de la organización objetivo, pero su actividad fue bloqueada en dos de los sistemas, lo cual demuestra que ya existen defensas contra él.