El primer incidente que posiblemente involucró a la familia de ransomware conocida como Maui ocurrió el 15 de abril de 2021, dirigido a una empresa inmobiliaria japonesa no identificada.
La revelación de Kaspersky llega un mes después de que las agencias de ciberseguridad e inteligencia de EE. UU. emitieran un aviso sobre el uso de la cepa de ransomware por parte de piratas informáticos respaldados por el gobierno de Corea del Norte para apuntar al sector de la salud desde al menos mayo de 2021.
Gran parte de los datos sobre su modus operandi provienen de las actividades de respuesta a incidentes y el análisis de la industria de una muestra de Maui que reveló la falta de “varias características clave” típicamente asociadas con las operaciones de ransomware como servicio (RaaS).
Maui no solo está diseñado para ser ejecutado manualmente por un actor remoto a través de una interfaz de línea de comandos, sino que también se destaca por no incluir una nota de rescate para proporcionar instrucciones de recuperación.
Posteriormente, el Departamento de Justicia anunció la incautación de $ 500,000 en Bitcoin que fueron extorsionados de varias organizaciones, incluidas dos instalaciones de atención médica en los estados de Kansas y Colorado, en EE. UU., mediante el uso de la variedad de ransomware.
Si bien estos ataques se atribuyeron a grupos de amenazas persistentes avanzados de Corea del Norte, la empresa de seguridad cibernética rusa vinculó el delito cibernético con confianza baja a media a un subgrupo de Lazarus conocido como Andarieltambién conocida como Operación Troya, Silent Chollima y Stonefly.
“Aproximadamente diez horas antes de desplegar Maui en el sistema objetivo inicial [on April 15]el grupo implementó una variante del conocido malware Dtrack en el objetivo, precedida por 3proxy meses antes”, los investigadores de Kaspersky Kurt Baumgartner y Seongsu Park dijo.
Dtrack, también llamado Valefor y Preft, es un troyano de acceso remoto utilizado por el grupo Stonefly en sus ataques de espionaje para filtrar información confidencial.
Vale la pena señalar que la puerta trasera, junto con 3proxy, fue desplegada por el actor de amenazas contra una empresa de ingeniería que trabaja en los sectores militar y energético en febrero de 2022 al explotar la vulnerabilidad Log4Shell.
“Stonefly se especializa en montar ataques dirigidos altamente selectivos contra objetivos que podrían generar inteligencia para ayudar a sectores estratégicamente importantes como energía, aeroespacial y equipos militares”, Symantec, una división de Broadcom Software, dijo en abril.
Además, Kaspersky dijo que la muestra de Dtrack utilizada en el incidente japonés de Maui también se usó para violar a múltiples víctimas en India, Vietnam y Rusia desde diciembre de 2021 hasta febrero de 2021.
“Nuestra investigación sugiere que el actor es bastante oportunista y podría comprometer a cualquier empresa en todo el mundo, independientemente de su línea de negocio, siempre que disfrute de una buena situación financiera”, dijeron los investigadores.
Esta no es la primera cita de Andariel con el ransomware como un medio para obtener ganancias monetarias para la nación afectada por las sanciones. En junio de 2021, se reveló que una entidad de Corea del Sur había sido infectada por malware de cifrado de archivos luego de un elaborado procedimiento de infección de varias etapas que comenzó con un documento de Word armado.
Luego, el mes pasado, Microsoft reveló que un grupo de amenazas emergentes asociado con Andariel ha estado utilizando una variedad de ransomware conocida como H0lyGh0st en ataques cibernéticos dirigidos a pequeñas empresas desde septiembre de 2021.