Un grupo de ciberdelincuentes ha estado comprometiendo redes corporativas durante los dos últimos meses y ha estado implementando un nuevo ransomware que los investigadores han llamado CACTUS.
En los ataques vistos hasta el momento, obtiene acceso explotando vulnerabilidades conocidas en dispositivos VPN, se mueve lateralmente a otros sistemas e implementa herramientas legítimas de administración y monitorización remota para lograr la persistencia en la red.
"La denominación CACTUS se deriva del nombre de archivo proporcionado en la nota de rescate, cAcTUS.readme.txt, y el nombre autodeclarado dentro de la propia nota”, según Kroll Cyber Threat Intelligence. Los archivos cifrados se adjuntan con .cts1, aunque la empresa de ciberseguridad señala que el número al final de la extensión varía según los incidentes y las víctimas. Además, la exfiltración de datos confidenciales y la extorsión se hace a través de conocidos servicios de mensajería como Tox.
Según los especialistas, los ciberdelincuentes utilizan herramientas legítimas como Cobalt Strike (herramienta de seguridad para pruebas de penetración), y una herramienta de tunelización conocida como Chisel (para comando y control), junto con el software de administración y monitoreo remoto (RMM) AnyDesk, para enviar archivos a los hosts infectados.
Además, utilizan un script por lotes para desinstalar las soluciones de antivirus de la máquina y, de esa manera, extraer credenciales de navegadores web y el servicio de subsistema de autoridad de seguridad local (LSASS) para escalar privilegios. Con esta última función, le sigue el movimiento lateral y el despliegue del ransomware mediante un script de PowerShell, que tiene la particularidad de encriptarse a sí mismo, lo que agrega más dificultad de detección por sobre las mencionadas anteriormente.
En base la información que hay hasta el momento sobre este ataque, la intrusión se facilita a través de servidores y sitios web públicos vulnerables, agregando que, hasta el momento no está claro si el descifrador proporcionado por los operadores del ransomware a las víctimas que han pagado el rescate es confiable, motivo por el cual se aconseja a las empresas que tomen medidas urgentes para mantener los sistemas actualizados y hacer cumplir el principio de privilegio mínimo (PoLP).
CACTUS es una de las últimas cepas incorporadas dentro de una amplia lista de ransomware que salieron a la luz en los últimos tiempos, junto a otras conocidas como Rapture, Gazprom , BlackBit , UNIZA , Akira y una variante de ransomware NoCry llamada Kadavro Vector.
En esta nueva cepa, una vez que los ciberdelincuentes se infiltran en la red, enumeran usuarios locales y de la red misma, utilizando una tarea programada para mantener la persistencia mediante backdoor SSH, que es una puerta trasera que permite el acceso no autorizado a través del protocolo SSH (Secure Shell), que otorga a los usuarios la capacidad de conectarse y controlar un sistema de forma remota y segura. Luego de esto, realiza un escaneo de red para identificar una lista de máquinas para el cifrado.
Podría interesarte:
7 pasos para protegerte de un ataque de ransomware
¿En qué consiste la filosofía Zero Trust?