Un actor de amenazas con motivación financiera ha sido descubierto como un corredor de acceso inicial (IAB) que vende acceso a organizaciones comprometidas para que otros adversarios realicen ataques posteriores, como ransomware.
La Unidad Contra Amenazas (CTU) de SecureWorks ha denominado al grupo de delitos electrónicos Melodía de oroque también se conoce con los nombres Prophet Spider (CrowdStrike) y UNC961 (Mandiant).
“Este grupo con motivación financiera ha estado activo desde al menos 2017, comprometiendo a las organizaciones al explotar vulnerabilidades en servidores con acceso a Internet sin parches”, dijo la empresa de ciberseguridad. dicho.
“La victimología sugiere ataques oportunistas para obtener ganancias financieras en lugar de una campaña dirigida por un grupo amenazador patrocinado por el estado para espionaje, destrucción o perturbación”.
Gold Melody ha sido previamente vinculado a ataques explotar fallas de seguridad en JBoss Messaging (CVE-2017-7504), Citrix ADC (CVE-2019-19781), Oracle WebLogic (CVE-2020-14750 y CVE-2020-14882), GitLab (CVE-2021-22205), Citrix Servidores ShareFile Storage Zones Controller (CVE-2021-22941), Atlassian Confluence (CVE-2021-26084), ForgeRock AM (CVE-2021-35464) y Apache Log4j (CVE-2021-44228).
Se ha observado que el grupo de delitos cibernéticos está ampliando su huella de victimología para afectar al comercio minorista, la atención médica, la energía, las transacciones financieras y las organizaciones de alta tecnología en América del Norte, el norte de Europa y Asia occidental a partir de mediados de 2020.
Mandiant, en un análisis publicado en marzo de 2023, dijo que “en múltiples casos, la actividad de intrusión UNC961 ha precedido al despliegue de los ransomware Maze y Egregor por parte de distintos actores posteriores”.
Es más descrito calificó al grupo de “ingenioso en su ángulo oportunista para las operaciones de acceso inicial” y señaló que “emplea un enfoque rentable para lograr el acceso inicial mediante la explotación de vulnerabilidades reveladas recientemente utilizando un código de explotación disponible públicamente”.
Además de depender de un arsenal diverso que comprende shells web, software de sistema operativo integrado y utilidades disponibles públicamente, se sabe que emplea troyanos de acceso remoto (RAT) patentados y herramientas de tunelización como GOTROJ (también conocido como MUTEPUT), BARNWORK, HOLEDOOR, DARKDOOR, AUDITUNNEL, HOLEPUNCH, LIGHTBUNNY y HOLERUN para ejecutar comandos arbitrarios, recopilar información del sistema y establecer un túnel inverso con una dirección IP codificada.
Secureworks, que vinculó Gold Melody con cinco intrusiones entre julio de 2020 y julio de 2022, dijo que estos ataques implicaron el abuso de un conjunto diferente de fallas, incluidas las que afectan a Oracle E-Business Suite (CVE-2016-0545), puntales Apache (CVE-2017-5638), Sitecore XP (CVE-2021-42237) y Flexera FlexNet (CVE-2021-4104) para obtener acceso inicial.
Seguridad Level-Up SaaS: una guía completa para ITDR y SSPM
Manténgase a la vanguardia con conocimientos prácticos sobre cómo ITDR identifica y mitiga las amenazas. Conozca el papel indispensable de SSPM para garantizar que su identidad siga siendo inviolable.
Para lograr un punto de apoyo exitoso, se implementan shells web para la persistencia, seguidos de la creación de directorios en el host comprometido para preparar las herramientas utilizadas en la cadena de infección.
“Gold Melody realiza una cantidad considerable de escaneos para comprender el entorno de la víctima”, dijo la compañía. “El escaneo comienza poco después de obtener acceso, pero se repite y continúa durante toda la intrusión”.
La fase de reconocimiento allana el camino para la recolección de credenciales, el movimiento lateral y la exfiltración de datos. Dicho esto, los cinco ataques finalmente resultaron infructuosos.
“Gold Melody actúa como un IAB con motivación financiera, vendiendo acceso a otros actores de amenazas”, concluyó la compañía. “Los compradores posteriormente monetizan el acceso, probablemente mediante la extorsión mediante la implementación de ransomware”.
“Su dependencia de explotar vulnerabilidades en servidores conectados a Internet sin parches para acceder refuerza la importancia de una gestión sólida de parches”.
About the Author
