Los investigadores de ciberseguridad han descubierto una nueva variante para Linux de una cepa de ransomware conocida como Play (tambi\u00e9n conocida como Balloonfly y PlayCrypt) que est\u00e1 dise\u00f1ada para atacar entornos VMware ESXi.<\/p>\n
“Este desarrollo sugiere que el grupo podr\u00eda estar ampliando sus ataques a trav\u00e9s de la plataforma Linux, lo que llevar\u00eda a un grupo de v\u00edctimas m\u00e1s amplio y negociaciones de rescate m\u00e1s exitosas”, dijeron los investigadores de Trend Micro. dicho<\/a> en un informe publicado el viernes.<\/p>\n Play, que lleg\u00f3 a la escena en junio de 2022, es conocido por sus t\u00e1cticas de doble extorsi\u00f3n, encriptando sistemas despu\u00e9s de exfiltrar datos confidenciales y exigiendo un pago a cambio de una clave de descifrado. Seg\u00fan estimaciones publicadas por Australia y Estados Unidos, hasta octubre de 2023, el grupo de ransomware hab\u00eda atacado a unas 300 organizaciones.<\/p>\n Las estad\u00edsticas compartidas por Trend Micro para los primeros siete meses de 2024 muestran que Estados Unidos es el pa\u00eds con el mayor n\u00famero de v\u00edctimas, seguido de Canad\u00e1, Alemania, el Reino Unido y los Pa\u00edses Bajos.<\/p>\n La fabricaci\u00f3n, los servicios profesionales, la construcci\u00f3n, la TI, el comercio minorista, los servicios financieros, el transporte, los medios de comunicaci\u00f3n, los servicios legales y el sector inmobiliario son algunas de las principales industrias afectadas por el ransomware Play durante este per\u00edodo.<\/p>\n El an\u00e1lisis de la firma de ciberseguridad de una variante de Linux de Play proviene de un archivo RAR alojado en una direcci\u00f3n IP (108.61.142[.]190), que tambi\u00e9n contiene otras herramientas identificadas como utilizadas en ataques anteriores, como PsExec, NetScan, WinSCP, WinRAR y la puerta trasera Coroxy.<\/p>\n “Aunque no se ha observado ninguna infecci\u00f3n real, el servidor de comando y control (C&C) aloja las herramientas comunes que el ransomware Play utiliza actualmente en sus ataques”, afirm\u00f3. “Esto podr\u00eda indicar que la variante Linux podr\u00eda emplear t\u00e1cticas, t\u00e9cnicas y procedimientos (TTP) similares”.<\/p>\n Al ejecutarse, la muestra de ransomware se asegura de que se est\u00e9 ejecutando en un entorno ESXi antes de proceder a cifrar los archivos de la m\u00e1quina virtual (VM), incluidos los archivos de disco, configuraci\u00f3n y metadatos de la VM, y agregarles la extensi\u00f3n “.PLAY”. Luego, se coloca una nota de rescate en el directorio ra\u00edz.<\/p>\n Un an\u00e1lisis m\u00e1s detallado ha determinado que es probable que el grupo de ransomware Play est\u00e9 utilizando los servicios y la infraestructura ofrecidos por Prolific Puma, que ofrece un servicio il\u00edcito de acortamiento de enlaces a otros ciberdelincuentes para ayudarlos a evadir la detecci\u00f3n mientras distribuye malware.<\/p>\n En concreto, emplea lo que se denomina un algoritmo de generaci\u00f3n de dominios registrados (RDGA) para generar nuevos nombres de dominio, un mecanismo program\u00e1tico que cada vez utilizan m\u00e1s varios actores de amenazas, incluidos VexTrio Viper y Revolver Rabbit, para la propagaci\u00f3n de phishing, spam y malware.<\/p>\n Se cree, por ejemplo, que Revolver Rabbit registr\u00f3 m\u00e1s de 500.000 dominios en el dominio de nivel superior (TLD) “.bond” a un costo aproximado de m\u00e1s de un mill\u00f3n de d\u00f3lares, utiliz\u00e1ndolos como servidores C2 activos y se\u00f1uelo para el malware ladr\u00f3n XLoader (tambi\u00e9n conocido como FormBook).<\/p>\n “El patr\u00f3n RDGA m\u00e1s com\u00fan que utiliza este actor es una serie de una o m\u00e1s palabras del diccionario seguidas de un n\u00famero de cinco d\u00edgitos, con cada palabra o n\u00famero separado por un gui\u00f3n”, Infoblox anotado<\/a> En un an\u00e1lisis reciente, se afirma que “en ocasiones, el actor utiliza c\u00f3digos de pa\u00eds ISO 3166-1, nombres completos de pa\u00edses o n\u00fameros correspondientes a a\u00f1os en lugar de palabras del diccionario”.<\/p>\n Los RDGA son mucho m\u00e1s dif\u00edciles de detectar y defender que los DGA tradicionales debido al hecho de que permiten a los actores de amenazas generar muchos nombres de dominio para registrarlos para su uso, ya sea todos a la vez o con el tiempo, en su infraestructura criminal.<\/p>\n “En un RDGA, el algoritmo es un secreto que guarda el actor de la amenaza y que registra todos los nombres de dominio”, dijo Infoblox. “En un DGA tradicional, el malware contiene un algoritmo que se puede descubrir y la mayor\u00eda de los nombres de dominio no se registrar\u00e1n. Mientras que los DGA se utilizan exclusivamente para la conexi\u00f3n a un controlador de malware, los RDGA se utilizan para una amplia gama de actividades maliciosas”.<\/p>\n Los \u00faltimos hallazgos indican una posible colaboraci\u00f3n entre dos entidades cibercriminales, lo que sugiere que los actores del ransomware Play est\u00e1n tomando medidas para eludir los protocolos de seguridad a trav\u00e9s de los servicios de Prolific Puma.<\/p>\n “Los entornos ESXi son objetivos de alto valor para los ataques de ransomware debido a su papel fundamental en las operaciones comerciales”, concluy\u00f3 Trend Micro. “La eficiencia de cifrar varias m\u00e1quinas virtuales simult\u00e1neamente y los datos valiosos que contienen aumentan a\u00fan m\u00e1s su rentabilidad para los cibercriminales”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Nueva-variante-de-Linux-del-ransomware-Play-que-ataca-los.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n