El ransomware Fog surgió en abril de 2024 y se ha centrado principalmente en sistemas Windows y Linux. Se trata de una operación de extorsión que utiliza un Dedicated Leak Sites (DLS) basado en TOR para enumerar a las víctimas y alojar datos de quienes no cumplen con sus demandas de rescate.
¿Qué es el ransomware Fog?
Fog se refiere como una variante de ransomware, en lugar de un grupo, para distinguir entre los responsables del software de cifrado y aquellos que realizan los ataques prácticos. Esta distinción es fundamental, ya que algunos grupos de ransomware proyectan una imagen de ser un único grupo cuando están compuestos por múltiples entidades afiliadas. En este momento, se desconoce la estructura organizativa del grupo o grupos responsables de los ataques implementados con Fog.
Objetivos y alcance
Los ataques del ransomware Fog han afectado principalmente a sectores como educación, ocio, viajes, fabricación, farmacéutico y médico. Aunque la mayor parte de las operaciones se dirigen a entidades en Estados Unidos, también ha impactado a organizaciones fuera de ese país, incluyendo instituciones en América Latina.
Funcionamiento del ransomware Fog
Los actores que utilizan Fog dependen en gran medida de la explotación de aplicaciones conocidas y vulnerables. El acceso inicial se logra mediante la compra de credenciales comprometidas de un Agente de Acceso Inicial (IAB). Los operadores usan cuentas compradas o comprometidas para establecer puntos de apoyo en el entorno y luego se mueven lateralmente.
Existen variantes del ransomware Fog para plataformas Windows y Linux. Las versiones con sabor a Linux incluyen objetivos específicos ajustados para entornos virtuales, como archivos VMSD y VMDK. Estas cargas útiles también intentan terminar varios procesos asociados con estos entornos virtualizados.
Al realizar el cifrado, se añaden las extensiones «.fog», «.Fog» o «.FLOCKED» a los archivos afectados. Las variantes de Fog para Windows intentan eliminar las instantáneas de volumen mediante vssadmin.exe. Además, incluyen una sección de configuración basada en JSON que permite personalizar la extensión adjunta a los archivos cifrados, junto con la configuración del nombre de la nota de rescate, la terminación del proceso o servicio y la clave pública RSA.
Las notas de rescate de Fog se escriben como «readme.txt» en cada ubicación que contiene archivos cifrados. La nota indica a las víctimas que se comuniquen con los atacantes a través de su portal de víctimas basado en TOR.
Acceso a redes y robo de datos
La evidencia forense muestra que los actores de amenazas accedieron a las redes de las víctimas utilizando credenciales de VPN comprometidas. El acceso remoto se produjo a través de dos proveedores independientes de puerta de enlace de VPN.
En uno de los casos, se observó actividad pass-the-hash contra cuentas de administrador que luego se usaron para establecer conexiones RDP a servidores Windows con Hyper-V y Veeam. En otro caso, se encontró evidencia de robo de credenciales que facilitaba el movimiento lateral en el entorno. PsExec se implementó en varios hosts, y se utilizó RDP/SMB para acceder a los hosts objetivo.
Los actores deshabilitaron Windows Defender en servidores Windows con los que interactuaron. Se observó la cifración de archivos VMDK en el almacenamiento de máquinas virtuales y la eliminación de copias de seguridad del almacenamiento de objetos en Veeam.
Los dispositivos afectados establecieron conexiones regulares con AnyDesk, una herramienta de acceso remoto. Se identificó comunicación constante con el punto final «download[.]anydesk[.]com». En otros casos se utilizó SplashTop como herramienta de administración remota en servidores de los clientes.
Reconocimiento interno y movimiento lateral
Los dispositivos afectados realizaron una cantidad inusual de conexiones internas fallidas a otras ubicaciones internas, usando puertos como 80 (HTTP), 3389 (RDP), 139 (NetBIOS) y 445 (SMB). Este patrón sugiere un comportamiento de escaneo dentro de las redes afectadas. La investigación reveló que la actividad HTTP estaba comúnmente asociada con el uso de Nmap.
Algunos dispositivos realizaron acciones SMB dirigidas al recurso compartido IPC$, lo cual se alinea con tácticas de enumeración SMB típicas, donde los atacantes consultan la lista de servicios que se ejecutan en un host remoto mediante una sesión NULL.
Movimiento lateral y cifrado
Los actores observaron actividad RDP sospechosa entre dispositivos infectados. Se establecieron múltiples conexiones RDP con nuevos clientes, utilizando los dispositivos como pivotes para propagarse más profundamente en las redes. Después de esto, se detectó un alto volumen de actividad SMB con nombres de archivos de unidades compartidas internas que tenían la extensión «.flocked», una señal clara de cifrado de ransomware.
Casi al mismo tiempo, se encontraron múltiples archivos «readme.txt» distribuidos en las redes afectadas, identificados como notas de rescate.
Exfiltración de datos
En uno de los casos del ransomware Fog, se observó una posible exfiltración de datos que implicaba la transferencia de archivos internos a un punto final inusual asociado con el servicio MEGA. Este intento sugiere el uso de tácticas de doble extorsión, donde los actores no solo cifran los datos, sino también los exfiltran para amenazar con su divulgación pública si no se paga un rescate.