Se ha detectado una nueva familia de ransomware denominada «3AM». El malware está programado en Rust y se caracteriza por detener varios servicios relacionados con productos de seguridad y copias de seguridad, como Veeam, Acronis, Ivanti, McAfee o Symantec.
Funcionamiento del ransomware 3AM
Los archivos afectados reciben la extensión .THREEAMTIME. El malware intenta eliminar las copias de seguridad de Volume Shadow. La extorsión sigue la tendencia común de robar datos antes de cifrarlos y dejar una nota de rescate.
Nota de rescate y sitio de negociación
El texto de la nota de rescate amenaza con vender la información robada a menos que el atacante reciba un pago. La operación cuenta con un sitio de negociación muy básico en la red Tor, que solo proporciona acceso a una ventana de chat de negociación basada en una clave de acceso proporcionada en la nota de rescate.
Detalles del incidente detectado
En el incidente detectado por Symantec, nadie logró implementar el ransomware en tres máquinas de la red de la organización, aunque se encontró con obstáculos en dos de ellas.
Técnicas y herramientas utilizadas
La operación utilizó varios componentes de Cobalt Strike durante la fase de post-explotación y el uso de PsExec para la escalada de privilegios. Se ejecutaron comandos de reconocimiento como whoami, netstat, quser y net share.
Persistencia y transferencia de datos
Además, se observó la creación de un nuevo usuario para asegurar la persistencia. Se utilizó la herramienta Wput para transferir archivos de las víctimas a un servidor FTP controlado por el atacante.
Comandos del ejecutable 3AM
El ejecutable de 3AM ha sido diseñado para reconocer una serie de comandos destinados a detener programas relacionados con la seguridad y las copias de seguridad, cifrar archivos siguiendo criterios específicos y eliminar las copias de seguridad en sombra de volumen. Los comandos incluyen «-k», «-p», «-h», «-m» y «-s».
Riesgos asociados
- Los datos pueden ser vendidos a DarkNet/DarkWeb.
- La información robada puede utilizarse de manera no deseada.
- El ransomware intenta eliminar las copias de seguridad de Volume Shadow.
Mitigaciones recomendadas
- Evitar la ejecución de archivos sospechosos.
- Mantener copias de seguridad seguras y actualizadas.
- Utilizar herramientas de detección y prevención de malware.
- Implementar medidas de seguridad para evitar el acceso no autorizado a redes.