El grupo de ransomware conocido como Kaseika<\/strong> se ha convertido en el \u00faltimo en aprovechar el ataque Bring Your Own Vulnerable Driver (BYOVD) para desarmar procesos relacionados con la seguridad en hosts de Windows comprometidos, uni\u00e9ndose a otros grupos como akira<\/a>AvosLocker, BlackByte y RobbinHood.<\/p>\n La t\u00e1ctica permite a “los actores de amenazas finalizar los procesos y servicios antivirus para la implementaci\u00f3n de ransomware”, Trend Micro dicho<\/a> en un an\u00e1lisis del martes.<\/p>\n kasseika, descubierto por primera vez<\/a> Por la firma de ciberseguridad a mediados de diciembre de 2023, las exhibiciones se superponen con el ahora desaparecido BlackMatter, que surgi\u00f3 despu\u00e9s del cierre de DarkSide.<\/p>\n Hay evidencia que sugiere que la cepa de ransomware podr\u00eda ser obra de un actor de amenazas experimentado que adquiri\u00f3 o compr\u00f3 acceso a BlackMatter, dado que el c\u00f3digo fuente de este \u00faltimo nunca se filtr\u00f3 p\u00fablicamente despu\u00e9s de su desaparici\u00f3n en noviembre de 2021.<\/p>\n Las cadenas de ataques que involucran a Kasseika comienzan con un correo electr\u00f3nico de phishing para el acceso inicial, y posteriormente eliminan herramientas de administraci\u00f3n remota (RAT) para obtener acceso privilegiado y moverse lateralmente dentro de la red de destino.<\/p>\n Se ha observado que los actores de amenazas utilizan la utilidad de l\u00ednea de comandos Sysinternals PsExec de Microsoft para ejecutar un script por lotes malicioso, que verifica la existencia de un proceso llamado “Martini.exe” y, si lo encuentra, lo finaliza para garantizar que solo haya una instancia del proceso que ejecuta la m\u00e1quina.<\/p>\n La principal responsabilidad del ejecutable es descargar y ejecutar el controlador “Martini.sys” desde un servidor remoto para desactivar 991 herramientas de seguridad. Vale la pena se\u00f1alar que “Martini.sys” es un controlador leg\u00edtimo firmado llamado “viragt64.sys” que se ha agregado al archivo de Microsoft. lista de bloqueo de controladores vulnerables<\/a>.<\/p>\n “Si Martini.sys no existe, el malware se terminar\u00e1 solo y no continuar\u00e1 con la rutina prevista”, dijeron los investigadores, indicando el papel crucial que desempe\u00f1a el controlador en la evasi\u00f3n de la defensa.<\/p>\n Despu\u00e9s de este paso, “Martini.exe” lanza la carga \u00fatil del ransomware (“smartscreen_protected.exe”), que se encarga del proceso de cifrado utilizando los algoritmos ChaCha20 y RSA, no sin antes eliminar todos los procesos y servicios que acceden al Administrador de reinicio de Windows.<\/p>\n Luego se coloca una nota de rescate en cada directorio que ha cifrado y el fondo de pantalla de la computadora se modifica para mostrar una nota exigiendo un pago de 50 bitcoins a una direcci\u00f3n de billetera dentro de las 72 horas, o arriesgarse a pagar $500,000 adicionales cada 24 horas una vez que transcurra la fecha l\u00edmite.<\/p>\n Adem\u00e1s de eso, se espera que las v\u00edctimas publiquen una captura de pantalla del pago exitoso en un grupo de Telegram controlado por un actor para recibir un descifrador.<\/p>\n El ransomware Kasseika tambi\u00e9n tiene otros trucos bajo la manga, que incluyen borrar los rastros de la actividad borrando los registros de eventos del sistema usando el binario wevtutil.exe.<\/p>\n “El comando wevutil.exe borra eficientemente los registros de eventos de aplicaciones, seguridad y sistema en el sistema Windows”, dijeron los investigadores. “Esta t\u00e9cnica se utiliza para operar discretamente, lo que dificulta que las herramientas de seguridad identifiquen y respondan a actividades maliciosas”.<\/p>\n El desarrollo se produce cuando la Unidad 42 de Palo Alto Networks detall\u00f3 el cambio del grupo de ransomware BianLian de un esquema de doble extorsi\u00f3n a ataques de extorsi\u00f3n sin cifrado luego del lanzamiento de un descifrador gratuito a principios de 2023.<\/p>\n BianLian ha sido un grupo de amenazas activo y predominante desde septiembre de 2022, destacando predominantemente los sectores de servicios m\u00e9dicos, manufactureros, profesionales y legales en EE. UU., Reino Unido, Canad\u00e1, India, Australia, Brasil, Egipto, Francia, Alemania y Espa\u00f1a.<\/p>\n Las credenciales robadas del Protocolo de escritorio remoto (RDP), las fallas de seguridad conocidas (por ejemplo, ProxyShell) y los shells web act\u00faan como las rutas de ataque m\u00e1s comunes adoptadas por los operadores de BianLian para infiltrarse en las redes corporativas.<\/p>\n Es m\u00e1s, el equipo de cibercrimen comparte una herramienta personalizada basada en .NET con otro grupo de ransomware rastreado como Makop, lo que sugiere posibles conexiones entre los dos.<\/p>\n “Esta herramienta .NET es responsable de recuperar la enumeraci\u00f3n de archivos, el registro y los datos del portapapeles”, afirma el investigador de seguridad Daniel Frank. dicho<\/a> en una nueva descripci\u00f3n general de BianLian.<\/p>\n “Esta herramienta contiene algunas palabras en idioma ruso, como los n\u00fameros del uno al cuatro. El uso de dicha herramienta indica que los dos grupos podr\u00edan haber compartido un conjunto de herramientas o haber utilizado los servicios de los mismos desarrolladores en el pasado”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Kasseika-Ransomware-utiliza-el-truco-BYOVD-para-desarmar-el-cifrado.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n