El grupo de ransomware conocido como Ghost, también denominado Cring, ha sido identificado como responsable de ataques en más de 70 países desde el año 2021. Este grupo opera bajo apoyo chino y se caracteriza por su capacidad para aprovechar sistemas vulnerables conectados a Internet, logrando una transición rápida del acceso inicial al ataque.
Operaciones rápidas y estrategia de ataques
CISA emitió un aviso sobre la actividad del grupo Ghost, destacando su método de operación. El grupo se centra en sistemas con vulnerabilidades no parchadas que los usuarios podrían haber mitigado hace años. Los investigadores comenzaron a alertar sobre el grupo en 2021, cuando se detectó un ataque contra una instalación de Adobe ColdFusion 9 mediante una vulnerabilidad antigua.
Los nombres asociados al grupo incluyen Ghost, Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada y Rapture. Los ataques anteriores han aprovechado vulnerabilidades en protocolos como el de escritorio remoto (RDP) o la red privada virtual (VPN).
Vulnerabilidades explotadas
El grupo ha utilizado código de acceso público para explotar fallas de seguridad en servidores vulnerables. Entre las vulnerabilidades que han sido objetivo se incluyen CVE-2018-13379 (Fortinet), CVE-2010-2861 y CVE-2009-3960 (ColdFusion), así como CVE-2021-34473, CVE-2021-34523 y CVE-2021-31207 (Exchange).
Ghost también ha demostrado una alta capacidad de adaptación al modificar los ejecutables del ransomware, cambiar las extensiones de los archivos cifrados y usar múltiples direcciones de correo electrónico de rescate. Esto ha llevado a una atribución variable del grupo a lo largo del tiempo.
Flujo típico de ciberataques
Un flujo de ataque típico incluye la obtención de acceso inicial mediante una vulnerabilidad explotada, seguido por el uso de herramientas como Cobalt Strike para establecer operaciones de comando y control (C2). Una vez implementado el ransomware, los actores suelen informar a las organizaciones que los datos exfiltrados se venderán si no se paga un rescate.
Según CISA, los actores no suelen exfiltrar una cantidad significativa de información o archivos valiosos. Esto sugiere que el grupo utiliza una amenaza vacía para lograr que las víctimas paguen el rescate.
Variabilidad en el impacto
El impacto de la actividad del ransomware Ghost varía ampliamente entre las víctimas. El grupo es flexible en sus objetivos y puede avanzar rápidamente cuando se enfrenta a sistemas reforzados, como aquellos con segmentación adecuada de la red que impide el movimiento lateral hacia otros dispositivos.
El ransomware Ghost utiliza variantes como Cring.exe, Ghost.exe, Elysium.exe y Locker.exe para cifrar directorios específicos o datos del sistema. El grupo suele exigir entre decenas y cientos de miles de dólares en criptomonedas a cambio de su software de descifrado.
Recomendaciones de CISA
CISA recomienda que las organizaciones apliquen parches a los sistemas con vulnerabilidades conocidas de forma temprana y frecuente. El software y el firmware sin parches están involucrados en al menos un tercio de los ataques exitosos.
El aviso incluye una lista completa de indicadores de compromiso (IoC) asociados con ataques de ransomware Ghost, como herramientas, ejecutables y direcciones de correo electrónico. CISA también hizo una serie de recomendaciones adicionales para mitigar los ataques.