El grupo de ransomware RansomHub ha sido identificado como una amenaza activa en el entorno cibernético, aprovechando múltiples vulnerabilidades para llevar a cabo operaciones de cifrado y extorsión. Se han observado técnicas que incluyen la explotación de fallas en Microsoft Active Directory y el protocolo Netlogon, lo cual permite al grupo escalar privilegios y acceder al controlador de dominio de una red afectada.
Operaciones y reclutamiento
Los operadores de RansomHub anunciaron formalmente su programa de asociación en el foro RAMP el 2 de febrero de 2024. Esta acción fue estratégica, aprovechando la situación generada por las operaciones de aplicación de la ley contra grupos como LockBit y ALPHV para reclutar afiliados. Además, se ha detectado que los actores probablemente adquirieron el ransomware y el código fuente de la aplicación web del grupo Knight (también conocido como Cyclops).
Capacidad multiplataforma
RansomHub opera en diversos sistemas operativos y arquitecturas, incluyendo x86, x64 y ARM, así como Windows, ESXi, Linux y FreeBSD. El ransomware también se ha observado utilizando herramientas como PCHunter para eludir soluciones de seguridad de endpoints, y Filezilla como medio de exfiltración de datos.
Impacto en sectores específicos
Los afiliados del grupo han revelado alrededor de 44 empresas de atención médica, incluyendo hospitales y clínicas. Además, se ha reportado que los afiliados pueden amenazar y denunciar incidentes cibernéticos a reguladores como PDPL (Ley de Protección de Datos Personales).
Ataques recientes
En un incidente analizado por una empresa de ciberseguridad, se observó que el actor de amenaza intentó explotar una falla crítica en dispositivos PAN-OS de Palo Alto Networks (CVE-2024-3400) mediante una prueba de concepto disponible públicamente. Sin embargo, no logró acceder y optó por vulnerar la red mediante un ataque de fuerza bruta contra el servicio VPN.
El atacante utilizó un diccionario enriquecido con más de 5.000 nombres de usuario y contraseñas para intentar acceder a la red, logrando finalmente acceso a través de una cuenta predeterminada común en soluciones de respaldo de datos.
Explotación de vulnerabilidades
Una vez dentro, el atacante explotó dos fallas conocidas en Active Directory (CVE-2021-42278 y CVE-2020-1472) para tomar control del controlador de dominio y realizar movimientos laterales a través de la red. Estas vulnerabilidades permitieron al atacante obtener acceso privilegiado completo al controlador de dominio, que es el centro neurálgico de una infraestructura basada en Microsoft Windows.
El ataque incluyó la cifración y exfiltración de datos dentro de las 24 horas posteriores a la vulneración. El objetivo fue hacer ilegibles e inaccesibles todos los datos de la empresa, con el fin de obligar a la víctima a pagar un rescate.
Conclusión
RansomHub se presenta como uno de los grupos más activos en 2024, atacando a más de 600 organizaciones en todo el mundo. Su estrategia incluye la explotación de vulnerabilidades conocidas y la adopción de herramientas para eludir soluciones de seguridad. La amenaza continúa evolucionando, con ataques que van desde el cifrado tradicional hasta el robo de datos y extorsión.