Un equipo de ciberseguridad identificó un método inusual utilizado por la banda de ransomware Akira durante una respuesta a incidentes recientes. El ataque se llevó a cabo mediante el uso de una cámara web no segura, lo que permitió a los actores de la amenaza evadir sistemas de detección como Endpoint Detection and Response (EDR) en Windows.
El método inusual del ransomware Akira
Akira logró acceder inicialmente a una red corporativa mediante una solución de acceso remoto expuesta, probablemente aprovechando credenciales robadas o forzando la contraseña. Una vez dentro, los actores implementaron AnyDesk, una herramienta legítima de acceso remoto, para robar datos y preparar el ataque de doble extorsión.
Posteriormente, se movieron lateralmente en la red usando el Protocolo de escritorio remoto (RDP), expandiendo su presencia a múltiples sistemas antes de intentar implementar la carga útil del ransomware. Sin embargo, la herramienta EDR de la víctima bloqueó este intento al detectar un archivo ZIP protegido con contraseña (win.zip) que contenía el ejecutable win.exe.
Al no poder implementar directamente el ransomware, los actores buscaron alternativas. Escaneando la red, encontraron una cámara web y un escáner de huellas dactilares. La elección por la cámara web se debió a su vulnerabilidad al acceso remoto a través del shell y a la visualización no autorizada de transmisiones de video.
El uso de Linux en la cámara web
S-RM explicó que los atacantes optaron por la cámara web debido a que se ejecutaba en un sistema operativo basado en Linux, compatible con el cifrador Linux de Akira. Además, no tenía un agente EDR, lo que la convirtió en una herramienta óptima para cifrar archivos remotos en recursos compartidos de red.
Los actores utilizaron el sistema operativo Linux de la cámara web para montar los recursos compartidos SMB de Windows y ejecutar el cifrador Linux desde allí, evitando así la detección por parte del EDR. El equipo de seguridad de la víctima no detectó este aumento en el tráfico SMB debido a que el dispositivo no estaba siendo monitoreado.
Conclusión y recomendaciones
S-RM confirmó que existen parches disponibles para las vulnerabilidades encontradas en la cámara web, lo que indica que este vector de ataque era evitable. El caso muestra que la protección EDR no es una solución integral y que las organizaciones deben diversificar sus estrategias de seguridad.
Además, los dispositivos IoT, como las cámaras web, representan un riesgo significativo debido a su falta de mantenimiento y control. Por lo tanto, deben aislarse de redes críticas como servidores de producción y estaciones de trabajo. Todos los dispositivos, incluso los IoT, deben tener su firmware actualizado regularmente para corregir fallas conocidas.