Se ha observado que los actores de amenazas detr\u00e1s del grupo ransomware BlackByte probablemente explotan una falla de seguridad recientemente parcheada que afecta a los hipervisores VMware ESXi, al tiempo que aprovechan varios controladores vulnerables para desarmar las protecciones de seguridad.<\/p>\n
“El grupo de ransomware BlackByte contin\u00faa aprovechando las t\u00e1cticas, t\u00e9cnicas y procedimientos (TTP) que han formado la base de su oficio desde sus inicios, iterando continuamente su uso de controladores vulnerables para eludir las protecciones de seguridad e implementando un cifrador de ransomware autopropagable y gusanoble”, dijo Cisco Talos en un comunicado t\u00e9cnico. informe<\/a> compartido con The Hacker News.<\/p>\n La explotaci\u00f3n de CVE-2024-37085, una vulnerabilidad de evasi\u00f3n de autenticaci\u00f3n en VMware ESXi que tambi\u00e9n ha sido utilizada como arma por otros grupos de ransomware, es una se\u00f1al de que el grupo de delitos electr\u00f3nicos est\u00e1 abandonando sus enfoques establecidos.<\/p>\n Byte negro hecho<\/a> Su debut tuvo lugar en la segunda mitad de 2021 y se supone que es una de las variantes de ransomware que surgieron en los meses previos al cierre del infame grupo de ransomware Conti.<\/p>\n El grupo de ransomware como servicio (RaaS) tiene antecedentes de explotaci\u00f3n ProxyShell<\/a> vulnerabilidades en Microsoft Exchange Server para obtener acceso inicial, evitando al mismo tiempo sistemas que utilizan ruso y varios idiomas de Europa del Este.<\/p>\n Al igual que los grupos RaaS, tambi\u00e9n aprovecha doble extorsi\u00f3n<\/a> Como parte de los ataques, se adopt\u00f3 un enfoque de denuncia y denuncia a trav\u00e9s de un sitio de filtraci\u00f3n de datos operado en la red oscura para presionar a las v\u00edctimas a pagar. Varias variantes del ransomware, Escrito en C, .NET y Go<\/a>hasta la fecha se han observado en estado salvaje.<\/p>\n Mientras que un descifrador<\/a> Para BlackByte fue lanzado por Trustwave en octubre de 2021, el grupo ha seguido perfeccionando su modus operandi, llegando incluso al extremo de emplear una herramienta personalizada llamada Ex-byte<\/a> para la exfiltraci\u00f3n de datos antes de comenzar el cifrado.<\/p>\n Un aviso liberado<\/a> A principios de 2022, el gobierno de Estados Unidos atribuy\u00f3 al grupo RaaS ataques con motivaciones financieras dirigidos a sectores de infraestructura cr\u00edticos, incluidos los financieros, los alimentos y la agricultura, y las instalaciones gubernamentales.<\/p>\n Uno de los aspectos importantes de sus ataques es el uso de controladores vulnerables para terminar procesos de seguridad y eludir controles, una t\u00e9cnica conocida como “traiga su propio controlador vulnerable” (BYOVD).<\/p>\n Cisco Talos, que investig\u00f3 un reciente ataque de ransomware BlackByte, afirm\u00f3 que la intrusi\u00f3n probablemente se facilit\u00f3 mediante credenciales v\u00e1lidas para acceder a la VPN de la organizaci\u00f3n v\u00edctima. Se cree que el acceso inicial se obtuvo mediante un ataque de fuerza bruta.<\/p>\n “Teniendo en cuenta el historial de BlackByte de explotaci\u00f3n de vulnerabilidades p\u00fablicas para el acceso inicial, el uso de VPN para el acceso remoto puede representar un ligero cambio en la t\u00e9cnica o podr\u00eda representar oportunismo”, dijeron los investigadores de seguridad James Nutland, Craig Jackson, Terryn Valikodath y Brennan Evans. “El uso de la VPN de la v\u00edctima para el acceso remoto tambi\u00e9n ofrece al adversario otras ventajas, incluida una visibilidad reducida desde el EDR de la organizaci\u00f3n”.<\/p>\n Posteriormente, el actor de amenazas logr\u00f3 aumentar sus privilegios, utilizando los permisos para acceder al servidor VMware vCenter de la organizaci\u00f3n para crear y agregar nuevas cuentas a un grupo de Active Directory llamado ESX Admins. Esto, seg\u00fan Talos, se hizo explotando CVE-2024-37085, que permite a un atacante obtener privilegios de administrador en el hipervisor creando un grupo con ese nombre y agregando a cualquier usuario.<\/p>\n Este privilegio podr\u00eda luego usarse de forma abusiva para controlar m\u00e1quinas virtuales (VM), modificar la configuraci\u00f3n del servidor host y obtener acceso no autorizado a registros del sistema, diagn\u00f3sticos y herramientas de monitoreo de rendimiento.<\/p>\n Talos se\u00f1al\u00f3 que la explotaci\u00f3n de la falla tuvo lugar a los pocos d\u00edas de su divulgaci\u00f3n p\u00fablica, lo que destaca la velocidad con la que los actores de amenazas perfeccionan sus t\u00e1cticas para incorporar vulnerabilidades recientemente reveladas a su arsenal y avanzar en sus ataques.<\/p>\n Adem\u00e1s, los recientes ataques de BlackByte culminaron con la reescritura de los archivos cifrados con la extensi\u00f3n de archivo “blackbytent_h”, y el cifrador tambi\u00e9n dej\u00f3 caer cuatro controladores vulnerables como parte del ataque BYOVD. Los cuatro controladores siguen una convenci\u00f3n de nombres similar: ocho caracteres alfanum\u00e9ricos aleatorios seguidos de un gui\u00f3n bajo y un valor num\u00e9rico incremental.<\/p>\n Los sectores de servicios profesionales, cient\u00edficos y t\u00e9cnicos son los m\u00e1s expuestos a los factores de riesgo observados, ya que representan el 15% del total, seguidos de la industria manufacturera (13%) y los servicios educativos (13%). Talos tambi\u00e9n ha evaluado que el actor de la amenaza es probablemente m\u00e1s activo de lo que parece y que solo se estima que entre el 20% y el 30% de las v\u00edctimas se publican, aunque la raz\u00f3n exacta de esta disparidad sigue sin estar clara.<\/p>\n “La progresi\u00f3n de BlackByte en los lenguajes de programaci\u00f3n desde C# a Go y posteriormente a C\/C++ en el \u00faltima versi\u00f3n<\/a> de su encriptador \u2013 Byte negroNT<\/a> \u2013 representa un esfuerzo deliberado para aumentar la resistencia del malware contra la detecci\u00f3n y el an\u00e1lisis”, dijeron los investigadores.<\/p>\n “Los lenguajes complejos como C\/C++ permiten la incorporaci\u00f3n de t\u00e9cnicas avanzadas de antian\u00e1lisis y antidepuraci\u00f3n, que se han observado en las herramientas de BlackByte durante an\u00e1lisis detallados realizados por otros investigadores de seguridad”.<\/p>\n La revelaci\u00f3n se produce cuando Group-IB desvel\u00f3 las t\u00e1cticas asociadas con otras dos cepas de ransomware identificadas como Brain Cipher y RansomHub, lo que subraya las posibles conexiones de la primera con grupos de ransomware como EstateRansomware, SenSayQ y RebornRansomware.<\/p>\n “Hay similitudes en t\u00e9rminos de estilo y contenido de la nota de rescate de Brain Cipher con las del ransomware SenSayQ”, dijo la empresa de ciberseguridad de Singapur. dicho<\/a>“Los sitios web TOR del grupo de ransomware Brain Cipher y del grupo de ransomware SenSayQ utilizan tecnolog\u00edas y scripts similares”.<\/p>\n Por otro lado, se ha observado que RansomHub recluta a antiguos afiliados de Scattered Spider, un detalle que sali\u00f3 a la luz por primera vez el mes pasado. La mayor\u00eda de los ataques se han dirigido a los sectores sanitario, financiero y gubernamental en Estados Unidos, Brasil, Italia, Espa\u00f1a y el Reino Unido.<\/p>\n “Para el acceso inicial, los afiliados generalmente compran cuentas de dominio v\u00e1lidas comprometidas de corredores de acceso inicial (IAB) y servicios remotos externos”, dijo Group-IB dicho<\/a>agregando que “las cuentas fueron adquiridas a trav\u00e9s del ladr\u00f3n LummaC2”.<\/p>\n “Las t\u00e1cticas de RansomHub incluyen el uso de cuentas de dominio comprometidas y VPN p\u00fablicas para el acceso inicial, seguido de la exfiltraci\u00f3n de datos y procesos de cifrado exhaustivos. Su reciente introducci\u00f3n de un programa de afiliados RaaS y el uso de pagos de rescates de alta demanda ilustran su enfoque agresivo y en evoluci\u00f3n”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-ransomware-BlackByte-explota-una-falla-de-VMware-ESXi-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/section>\n<\/a><\/div>\n