El grupo de ransomware RansomHub ha cifrado y exfiltrado datos de al menos 210 víctimas desde su inicio en febrero de 2024. Las afectaciones abarcan diversos sectores, incluyendo agua y aguas residuales, tecnología de la información, servicios e instalaciones gubernamentales, atención médica y salud pública, servicios de emergencia, alimentación y agricultura, servicios financieros, instalaciones comerciales, manufactura crítica, transporte e infraestructura crítica de comunicaciones.
Origen y evolución del grupo
RansomHub salió a la luz por primera vez en 2020. Es una plataforma de ransomware como servicio (RaaS) descendiente de Cyclops y Knight. Esta operación ha atraído a afiliados de alto perfil de otras variantes destacadas, como LockBit y ALPHV (también conocido como BlackCat), tras una reciente ola de acciones legales.
Actividad en aumento
ZeroFox señaló que la actividad de RansomHub está en una trayectoria ascendente, representando aproximadamente el 2% de todos los ataques en el primer trimestre de 2024; 5,1% en el segundo trimestre; y 14,2% en lo que va del tercer trimestre. Según la compañía, «aproximadamente el 34% de los ataques de RansomHub se han dirigido a organizaciones en Europa, en comparación con el 25% en todo el panorama de amenazas».
Metodología y técnicas empleadas
El grupo utiliza el modelo de doble extorsión para exfiltrar datos y cifrar sistemas con el fin de extorsionar a las víctimas, animándolas a contactar a los operadores a través de una URL única .onion. Las empresas que se niegan a aceptar la demanda de rescate publican su información en el sitio de filtración de datos durante entre tres y 90 días.
El acceso inicial a los entornos de las víctimas se facilita mediante la explotación de vulnerabilidades de seguridad conocidas, como CVE-2023-46604 (Apache ActiveMQ), CVE-2023-22515 (Atlassian Confluence Data Center and Server), CVE-2023-3519 (Citrix ADC), CVE-2023-46747 (F5 BIG-IP), CVE-2023-27997 (Fortinet FortiOS) y CVE-2023-48788 (Fortinet FortiClientEMS).
A este paso le siguen los afiliados que realizan reconocimientos y escaneos de red utilizando programas como AngryIPScanner, Nmap y otros métodos LotL. Los ataques de RansomHub implican además desactivar el software antivirus utilizando herramientas personalizadas para pasar desapercibido.
Acceso persistente y movilidad dentro de la red
Según un aviso del gobierno de EE.UU., los afiliados se crean cuentas de usuario para persistencia, reactivan cuentas deshabilitadas y utilizan Mimikatz en sistemas Windows para recopilar credenciales [T1003] y escalar privilegios a SYSTEM.
Se ha observado que este grupo utiliza herramientas diseñadas para finalizar el software de detección y respuesta de puntos finales (EDR) en hosts comprometidos, uniéndose a otros programas similares como AuKill (también conocido como AvNeutralizer) y Terminator.
«Luego, los afiliados se mueven lateralmente dentro de la red a través de métodos que incluyen el Protocolo de escritorio remoto (RDP), PsExec, AnyDesk, Connectwise, N-Able, Cobalt Strike, Metasploit u otros métodos de comando y control (C2) ampliamente utilizados», se lee en el aviso.
Cifrado intermitente y filtración de datos
Otro aspecto notable de los ataques RansomHub es el uso de cifrado intermitente para acelerar el proceso, con filtración de datos observada a través de herramientas como PuTTY, repositorios S3 de Amazon AWS, solicitudes HTTP POST, WinSCP, Rclone, Cobalt Strike, Metasploit y otros métodos.