Los investigadores de ciberseguridad han arrojado luz sobre una nueva versi\u00f3n de un ransomware llamado HardBit que viene con nuevas t\u00e9cnicas de ofuscaci\u00f3n para disuadir los esfuerzos de an\u00e1lisis.<\/p>\n
“A diferencia de las versiones anteriores, el grupo HardBit Ransomware mejor\u00f3 la versi\u00f3n 4.0 con protecci\u00f3n de contrase\u00f1a”, dijeron los investigadores de Cybereason Kotaro Ogino y Koshi Oyama. dicho<\/a> en un an\u00e1lisis.<\/p>\n “La frase de contrase\u00f1a debe proporcionarse durante el tiempo de ejecuci\u00f3n para que el ransomware se ejecute correctamente. La ofuscaci\u00f3n adicional impide que los investigadores de seguridad analicen el malware”.<\/p>\n HardBit, que surgi\u00f3 por primera vez<\/a> en octubre de 2022, es un actor de amenazas con motivaciones financieras que, al igual que otros grupos de ransomware, opera con el objetivo de generar ingresos il\u00edcitos a trav\u00e9s de t\u00e1cticas de doble extorsi\u00f3n.<\/p>\n Lo que distingue a este grupo de amenazas es que no opera un sitio de filtraci\u00f3n de datos, sino que presiona a las v\u00edctimas para que paguen amenazando con realizar m\u00e1s ataques en el futuro. Su principal modo de comunicaci\u00f3n se produce a trav\u00e9s del servicio de mensajer\u00eda instant\u00e1nea Tox.<\/p>\n Actualmente no est\u00e1 claro el vector de acceso inicial exacto utilizado para violar los entornos de destino, aunque se sospecha que involucra ataques de fuerza bruta a servicios RDP y SMB.<\/p>\n Los pasos siguientes incluyen el robo de credenciales mediante herramientas como Mimikatz y NLBrute, y el descubrimiento de la red a trav\u00e9s de utilidades como Advanced Port Scanner, lo que permite a los atacantes moverse lateralmente a trav\u00e9s de la red por medio de RDP.<\/p>\n “Despu\u00e9s de comprometer el host de una v\u00edctima, la carga \u00fatil del ransomware HardBit se ejecuta y realiza una serie de pasos que reducen la postura de seguridad del host antes de cifrar los datos de la v\u00edctima”, dijo Varonis. anotado<\/a> en su art\u00edculo t\u00e9cnico sobre HardBit 2.0 del a\u00f1o pasado.<\/p>\n El cifrado de los hosts de las v\u00edctimas se lleva a cabo mediante la implementaci\u00f3n de HardBit, que se distribuye mediante un virus infectador de archivos conocido llamado Neshta<\/a>Vale la pena se\u00f1alar que los actores de amenazas tambi\u00e9n han utilizado Neshta en el pasado para distribuir el ransomware Big Head.<\/p>\n HardBit tambi\u00e9n est\u00e1 dise\u00f1ado para desactivar Microsoft Defender Antivirus y finalizar procesos y servicios para evadir la posible detecci\u00f3n de sus actividades e inhibir la recuperaci\u00f3n del sistema. Luego, cifra los archivos de inter\u00e9s, actualiza sus \u00edconos, cambia el fondo de pantalla del escritorio y altera la etiqueta del volumen del sistema con la cadena “Bloqueado por HardBit”.<\/p>\n Adem\u00e1s de ofrecerse a los operadores en forma de l\u00ednea de comandos o versiones GUI, el ransomware requiere un ID de autorizaci\u00f3n para ejecutarse correctamente. La versi\u00f3n GUI tambi\u00e9n admite un modo de borrado para borrar archivos de forma irrevocable y limpiar el disco.<\/p>\n “Una vez que los actores de amenazas ingresan con \u00e9xito el ID de autorizaci\u00f3n decodificado, HardBit solicita una clave de cifrado para cifrar los archivos en las m\u00e1quinas de destino y procede con el procedimiento de ransomware”, se\u00f1al\u00f3 Cybereason.<\/p>\n “El grupo de ransomware HardBit debe habilitar la funci\u00f3n de modo de borrado y es probable que la funci\u00f3n sea una funci\u00f3n adicional que los operadores deban adquirir. Si los operadores necesitan el modo de borrado, deber\u00e1n implementar hard.txt, un archivo de configuraci\u00f3n opcional del binario HardBit que contiene la identificaci\u00f3n de autorizaci\u00f3n para habilitar el modo de borrado”.<\/p>\n El desarrollo se produce cuando la empresa de ciberseguridad Trellix detallado<\/a> un ataque de ransomware CACTUS que se ha observado que explota fallas de seguridad en Ivanti Sentry (CVE-2023-38035) para instalar el malware de cifrado de archivos utilizando herramientas de escritorio remoto leg\u00edtimas como AnyDesk y Splashtop.<\/p>\n La actividad de ransomware sigue “siguiendo una tendencia al alza” en 2024, y los actores de ransomware se atribuyeron 962 ataques en el primer trimestre de 2024, frente a los 886 ataques notificados en el mismo per\u00edodo del a\u00f1o anterior. LockBit, Akira y BlackSuit han surgido como las familias de ransomware m\u00e1s prevalentes durante el per\u00edodo, afirm\u00f3 Symantec.<\/p>\n Seg\u00fan el informe de respuesta al incidente de la Unidad 42 de 2024 de Palo Alto Networks, tiempo medio<\/a> El tiempo que lleva pasar de una vulnerabilidad a una exfiltraci\u00f3n de datos se redujo dr\u00e1sticamente de nueve d\u00edas en 2021 a dos d\u00edas el a\u00f1o pasado. En casi la mitad (45%) de los casos este a\u00f1o, fueron poco menos de 24 horas.<\/p>\n “La evidencia disponible sugiere que la explotaci\u00f3n de vulnerabilidades conocidas en aplicaciones p\u00fablicas sigue siendo el principal vector de ataques de ransomware”, dijo la empresa propiedad de Broadcom. dicho<\/a>“Bring Your Own Vulnerable Driver (BYOVD) sigue siendo una t\u00e1ctica preferida entre los grupos de ransomware, en particular como un medio para deshabilitar soluciones de seguridad”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-nuevo-ransomware-HardBit-40-utiliza-proteccion-mediante-contrasena-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n