Los actores de amenazas detr\u00e1s del ransomware Rhysida<\/strong> participar en ataques oportunistas dirigidos a organizaciones que abarcan diversos sectores industriales.<\/p>\n El aviso es cortes\u00eda de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), la Oficina Federal de Investigaciones (FBI) y el Centro de An\u00e1lisis e Intercambio de Informaci\u00f3n Multiestatal (MS-ISAC).<\/p>\n “Observado como un modelo de ransomware como servicio (RaaS), los actores de Rhysida han comprometido organizaciones en los sectores de educaci\u00f3n, manufactura, tecnolog\u00eda de la informaci\u00f3n y gobierno, y cualquier rescate pagado se divide entre el grupo y sus afiliados”, dijeron las agencias. dicho<\/a>.<\/p>\n “Los actores de Rhysida aprovechan los servicios remotos externos, como las redes privadas virtuales (VPN), la vulnerabilidad Zerologon (CVE-2020-1472) y las campa\u00f1as de phishing para obtener acceso inicial y persistencia dentro de una red”.<\/p>\n Detectada por primera vez en mayo de 2023, Rhysida utiliza la t\u00e1ctica probada de la doble extorsi\u00f3n, exigiendo el pago de un rescate para descifrar los datos de las v\u00edctimas y amenazando con publicar los datos exfiltrados a menos que se pague el rescate.<\/p>\n Tambi\u00e9n se dice que compartir superposiciones<\/a> con otro grupo de ransomware conocido como Vice Society (tambi\u00e9n conocido como Storm-0832 o Vanilla Tempest), debido a patrones de orientaci\u00f3n similares y al uso de NTDSUtil y PortStarter, que ha sido empleado exclusivamente por este \u00faltimo.<\/p>\n Seg\u00fan las estad\u00edsticas recopiladas por Malwarebytes, Rhysida ha afirmado cinco v\u00edctimas<\/a> para el mes de octubre de 2023, lo que lo sit\u00faa muy por detr\u00e1s de LockBit (64), NoEscape (40), PLAY (36), ALPHV\/BlackCat (29) y 8BASE (21).<\/p>\n Las agencias describieron al grupo como parte de ataques oportunistas para violar objetivos y aprovechar t\u00e9cnicas de vida de la tierra (LotL) para facilitar el movimiento lateral y establecer acceso VPN.<\/p>\n Al hacerlo, la idea es evadir la detecci\u00f3n mezcl\u00e1ndose con sistemas Windows y actividades de red leg\u00edtimos. <\/p>\n El giro de Vice Society hacia Rhysida se ha visto reforzado a ra\u00edz de una nueva investigaci\u00f3n publicada por Sophos a principios de la semana pasada, que dec\u00eda que observ\u00f3 al mismo actor de amenazas usando Vice Society hasta junio de 2023, cuando pas\u00f3 a implementar Rhysida.<\/p>\n La empresa de ciberseguridad est\u00e1 rastreando el cl\u00faster con el nombre TAC5279.<\/p>\n “En particular, seg\u00fan el sitio de filtraci\u00f3n de datos del grupo de ransomware, Vice Society no ha publicado una v\u00edctima desde julio de 2023, que es aproximadamente cuando Rhysida comenz\u00f3 a informar sobre v\u00edctimas en su sitio”, dijeron los investigadores de Sophos Colin Cowie y Morgan Demboski. dicho<\/a>.<\/p>\n El desarrollo se produce cuando BlackCat ransomware Gang est\u00e1 atacando corporaciones y entidades p\u00fablicas utilizando anuncios de Google mezclados con malware Nitrogen, seg\u00fan eSentire.<\/p>\n “Este afiliado est\u00e1 publicando anuncios de Google que promocionan software popular, como Advanced IP Scanner, Slack, WinSCP y Cisco AnyConnect, para atraer profesionales de negocios a sitios web controlados por atacantes”, dijo la compa\u00f1\u00eda canadiense de ciberseguridad.<\/p>\n Los instaladores maliciosos, que vienen equipados con Nitrogen, que es un malware de acceso inicial capaz de entregar cargas \u00fatiles de la siguiente etapa en un entorno comprometido, incluido el ransomware.<\/p>\n “Los ejemplos conocidos de malware de acceso inicial asociado a ransomware que aprovechan ataques basados \u200b\u200ben navegador incluyen GootLoader, SocGholish, BATLOADER y ahora Nitrogen”, eSentire dicho<\/a>. “Curiosamente, se ha observado que ALPHV es el final de al menos dos de estos programas maliciosos de acceso inicial basados \u200b\u200ben navegador: GootLoader y Nitrogen”.<\/p>\n La naturaleza en constante evoluci\u00f3n del panorama del ransomware se evidencia a\u00fan m\u00e1s en el hecho de que 29 de los 60 grupos de ransomware actualmente activos comenzaron a operar este a\u00f1o, seg\u00fan WithSecure, en parte impulsado por las filtraciones de c\u00f3digo fuente de Babuk, Conti y LockBit a lo largo de los a\u00f1os. .<\/p>\n “Las filtraciones de datos no son lo \u00fanico que lleva a que los grupos mayores polinicen a los m\u00e1s j\u00f3venes”, WithSecure dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n “Las bandas de ransomware tienen personal como una empresa de TI. Y al igual que una empresa de TI, las personas a veces cambian de trabajo y traen consigo sus habilidades y conocimientos \u00fanicos. Sin embargo, a diferencia de las empresas de TI leg\u00edtimas, no hay nada que impida que un ciberdelincuente se apodere de recursos propietarios ( como c\u00f3digo o herramientas) de una operaci\u00f3n de ransomware y usarlo en otra. No hay honor entre los ladrones”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/CISA-y-el-FBI-emiten-una-advertencia-sobre-los-ataques.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n