Un nuevo tipo de ransomware, denominado CACTUS, ha sido identificado por investigadores de seguridad como una amenaza emergente que aprovecha fallas conocidas en dispositivos de acceso remoto. La variante se descubrió mediante la explotación de vulnerabilidades en sistemas VPN para obtener acceso inicial a las redes objetivo.
Acceso y movilidad dentro de la red
Una vez dentro de la red, los actores detrás de CACTUS intentan enumerar cuentas de usuario locales y de red, así como identificar puntos finales accesibles. Posteriormente, crean nuevas cuentas de usuario y utilizan scripts personalizados para automatizar el despliegue del cifrador de ransomware a través de tareas programadas.
Después de una explotación exitosa, se establece una puerta trasera SSH para mantener el acceso persistente. Se ejecutan comandos de PowerShell con fines de escaneo y identificación de máquinas objetivo para la implementación del cifrado.
Herramientas y técnicas empleadas
Los ataques de CACTUS también utilizan Cobalt Strike y Chisel, una herramienta de tunelización, para el comando y control. Además, se emplea software como AnyDesk para enviar archivos a los hosts infectados.
Se toman medidas para deshabilitar soluciones de seguridad existentes, así como extraer credenciales de navegadores web y del Servicio de subsistema de autoridad de seguridad local (LSASS) con el fin de escalar privilegios dentro de la red.
Implementación del ransomware
El proceso continúa con el movimiento lateral, la exfiltración de datos y la implementación del ransomware. La última etapa se logra mediante un script de PowerShell que también ha sido utilizado por Black Basta.
Un aspecto destacable es el uso de un script por lotes para extraer el binario del ransomware con 7-Zip, seguido de la eliminación del archivo .7z antes de ejecutar la carga útil. CACTUS se cifra a sí mismo, lo que dificulta su detección y evita herramientas antivirus y de monitoreo de red.
Contexto y tendencias
El desarrollo de CACTUS ocurre días después de la publicación de información sobre otro tipo de ransomware llamado Rapture, que también se ha relacionado con otras familias como Paradise. La cadena de infección dura entre tres y cinco días.
Se sospecha que las intrusiones se facilitan a través de sitios web y servidores públicos vulnerables. Por ello, es fundamental mantener los sistemas actualizados y aplicar el Principio de Privilegio Mínimo (PoLP).
Aunque sus operadores usan herramientas disponibles, han logrado usarlas de manera que mejora las capacidades de Rapture, haciéndolo más sigiloso y difícil de analizar.
Relación con otras amenazas
CACTUS y Rapture son parte de una serie reciente de nuevas familias de ransomware que han surgido en las últimas semanas, incluyendo Gazprom, BlackBit, UNIZA, Akira y una variante de NoCry llamada Kadavro Vector.