Es posible que un grupo de amenazas persistentes avanzadas (APT) con sede en China esté implementando familias de ransomware de corta duración como señuelo para encubrir los verdaderos objetivos operativos y tácticos detrás de sus campañas.
El grupo de actividad, atribuido a un grupo de piratas informáticos denominado Luz de estrella de bronce por Secureworks, implica la implementación de ransomware posterior a la intrusión, como LockFile, Atom Silo, Rook, Night Sky, Pandora y LockBit 2.0.
“El ransomware podría distraer a los respondedores de incidentes de identificar la verdadera intención de los actores de amenazas y reducir la probabilidad de atribuir la actividad maliciosa a un grupo de amenazas chino patrocinado por el gobierno”, dijeron los investigadores. dijo en un nuevo informe. “En cada caso, el ransomware se dirige a un pequeño número de víctimas durante un período de tiempo relativamente breve antes de que cese sus operaciones, aparentemente de forma permanente”.
Microsoft también rastrea Bronze Starlight, activo desde mediados de 2021, bajo el nombre de grupo de amenazas emergentes DEV-0401, y el gigante tecnológico enfatiza su participación en todas las etapas del ciclo de ataque de ransomware, desde el acceso inicial hasta la implementación de la carga útil.
A diferencia de otros grupos de RaaS que compran acceso a intermediarios de acceso inicial (IAB) para ingresar a una red, los ataques montados por el actor se caracterizan por el uso de vulnerabilidades sin parches que afectan a Exchange Server, Zoho ManageEngine ADSelfService Plus, Atlassian Confluence (incluida la falla recientemente revelada) y Apache Log4j.
En menos de un año, se dice que el grupo pasó por hasta seis cepas de ransomware diferentes, como LockFile (agosto de 2021), Atom Silo (octubre), Rook (noviembre), Night Sky (diciembre), Pandora (febrero de 2022). ) y, más recientemente, LockBit 2.0 (abril).
Además, se han descubierto similitudes entre LockFile y Atom Silo, así como entre Rook, Night Sky y Pandora, los tres últimos derivados del ransomware Babuk, cuyo código fuente se filtró en septiembre de 2021, lo que indica el trabajo de un actor común.
“Debido a que DEV-0401 mantiene y con frecuencia cambia el nombre de sus propias cargas útiles de ransomware, pueden aparecer como diferentes grupos en informes basados en cargas útiles y evadir detecciones y acciones contra ellas”, Microsoft señalado el mes pasado.
Al afianzarse dentro de una red, se sabe que Bronze Starlight se basa en técnicas como el uso de Cobalt Strike y Windows Management Instrumentation (WMI) para el movimiento lateral, aunque a partir de este mes, el grupo ha comenzado a reemplazar Cobalt Strike con el marco Sliver en sus ataques.
Otro oficio observado se relaciona con el uso de Cargador HUI para lanzar cargas útiles cifradas de próxima etapa, como PlugX y Cobalt Strike Beacons, el último de los cuales se emplea para entregar el ransomware, pero no antes de obtener credenciales privilegiadas de administrador de dominio.
“El uso de HUI Loader para cargar Cobalt Strike Beacon, la información de configuración de Cobalt Strike Beacon, la infraestructura C2 y la superposición de código sugieren que el mismo grupo de amenazas está asociado con estas cinco familias de ransomware”, explicaron los investigadores.
Vale la pena señalar que tanto HUI Loader como PlugX, junto con ShadowPad, son malware históricamente utilizados por colectivos adversarios de estados nacionales chinos, lo que da crédito a la posibilidad de que Bronze Starlight esté más orientado al espionaje que a los beneficios monetarios inmediatos.
Además de eso, el patrón de victimología que abarca las diferentes cepas de ransomware muestra que es probable que la mayoría de los objetivos sean de mayor interés para los grupos patrocinados por el gobierno chino centrados en la recopilación de inteligencia a largo plazo.
Las víctimas clave incluyen compañías farmacéuticas en Brasil y EE. UU., una organización de medios con sede en EE. UU. con oficinas en China y Hong Kong, diseñadores y fabricantes de componentes electrónicos en Lituania y Japón, una firma de abogados en EE. UU. y una división aeroespacial y de defensa de un conglomerado indio.
Con ese fin, las operaciones de ransomware, además de proporcionar un medio para exfiltrar datos como parte del esquema de doble extorsión de “nombre y vergüenza”, también ofrecen ventajas gemelas en el sentido de que permiten al actor de amenazas destruir evidencia forense de sus actividades maliciosas y actuar como una distracción del robo de datos.
“Es plausible que Bronze Starlight implemente ransomware como una cortina de humo en lugar de obtener ganancias financieras, con la motivación subyacente de robar propiedad intelectual o realizar espionaje”, dijeron los investigadores.