Los actores de amenazas vinculados al ransomware Black Basta pueden haber explotado una falla de escalada de privilegios recientemente revelada en el Servicio de Informe de Errores de Microsoft Windows como un d\u00eda cero, seg\u00fan nuevos hallazgos de Symantec.<\/p>\n
La falla de seguridad en cuesti\u00f3n es CVE-2024-26169<\/a> (Puntuaci\u00f3n CVSS: 7,8), un error de elevaci\u00f3n de privilegios en el Servicio de informe de errores de Windows que podr\u00eda explotarse para lograr privilegios del SISTEMA. Microsoft lo parch\u00f3 en marzo de 2024.<\/p>\n “El an\u00e1lisis de una herramienta de explotaci\u00f3n implementada en ataques recientes revel\u00f3 evidencia de que podr\u00eda haber sido compilada antes de aplicar el parche, lo que significa que al menos un grupo puede haber estado explotando la vulnerabilidad como un d\u00eda cero”, dijo el equipo Symantec Threat Hunter, parte de Broadcom. dijo en un informe<\/a> compartido con The Hacker News.<\/p>\n La empresa rastrea el grupo de amenazas con motivos financieros bajo el nombre de Cardinal, tambi\u00e9n conocido como Storm-1811 y UNC4393<\/a>.<\/p>\n Se sabe que monetiza el acceso implementando el ransomware Black Basta, generalmente aprovechando el acceso inicial obtenido por otros atacantes (inicialmente QakBot y luego DarkGate) para violar los entornos de destino.<\/p>\n En los \u00faltimos meses, se ha observado que el actor de amenazas utiliza productos leg\u00edtimos de Microsoft como Quick Assist y Microsoft Teams como vectores de ataque para infectar a los usuarios.<\/p>\n “El actor de amenazas utiliza Teams para enviar mensajes e iniciar llamadas en un intento de hacerse pasar por personal de TI o de la mesa de ayuda”, Microsoft dicho<\/a>. “Esta actividad conduce al uso indebido de Quick Assist, seguido del robo de credenciales utilizando EvilProxy, la ejecuci\u00f3n de scripts por lotes y el uso de SystemBC para persistencia y comando y control”.<\/p>\n Symantec dijo que observ\u00f3 que la herramienta de explotaci\u00f3n se utilizaba como parte de un intento fallido de ataque de ransomware.<\/p>\n La herramienta “aprovecha el hecho de que el archivo de Windows werkernel.sys utiliza un descriptor de seguridad nulo al crear claves de registro”, explic\u00f3.<\/p>\n “El exploit aprovecha esto para crear una clave de registro ‘HKLMSoftwareMicrosoftWindows NTCurrentVersionImage File Execution OptionsWerFault.exe’ donde establece el valor ‘Debugger’ como su propio nombre de ruta ejecutable. Esto permite exploit para iniciar un shell con privilegios administrativos.”<\/p>\n El an\u00e1lisis de metadatos del artefacto muestra que se compil\u00f3 el 27 de febrero de 2024, varias semanas antes de que Microsoft abordara la vulnerabilidad, mientras que otra muestra descubierta en VirusTotal ten\u00eda una marca de tiempo de compilaci\u00f3n del 18 de diciembre de 2023.<\/p>\n Si bien los actores de amenazas son propensos a alterar las marcas de tiempo de archivos y directorios en un sistema comprometido para ocultar sus acciones o impedir investigaciones (una t\u00e9cnica conocida como pisotear el tiempo<\/a> \u2013 Symantec se\u00f1al\u00f3 que probablemente haya muy pocas razones para hacerlo en este caso.<\/p>\n El desarrollo se produce en medio de la aparici\u00f3n de una nueva familia de ransomware llamada DORRA<\/a> Se trata de una variante de la familia de malware Makop, ya que los ataques de ransomware siguen teniendo un impacto renacimiento de tipo<\/a> despu\u00e9s de una ca\u00edda en 2022.<\/p>\n Seg\u00fan Mandiant, propiedad de Google, la epidemia de ransomware fue testigo de un aumento del 75% en las publicaciones en sitios de fuga de datos, con m\u00e1s de 1.100 millones de d\u00f3lares pagados a los atacantes<\/a> en 2023, frente a 567 millones de d\u00f3lares en 2022 y 983 millones de d\u00f3lares en 2021.<\/p>\n “Esto ilustra que la ligera ca\u00edda en la actividad de extorsi\u00f3n observada en 2022 fue una anomal\u00eda, potencialmente debido a factores como la invasi\u00f3n de Ucrania y los chats de Conti filtrados”, dijo la empresa. dicho<\/a>.<\/p>\n “El actual resurgimiento de la actividad de extorsi\u00f3n probablemente est\u00e9 impulsado por varios factores, incluido el reasentamiento del ecosistema cibercriminal luego de un a\u00f1o tumultuoso en 2022, nuevos participantes y nuevas asociaciones y ofertas de servicios de ransomware por parte de actores previamente asociados con grupos prol\u00edficos que hab\u00edan sido interrumpidos. “.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Black-Basta-Ransomware-puede-haber-aprovechado-la-falla-de-dia.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n