Los actores de amenazas vinculados al grupo de ransomware RansomHub cifraron y exfiltraron datos de al menos 210 v\u00edctimas desde su creaci\u00f3n en febrero de 2024, dijo el gobierno de Estados Unidos.<\/p>\n
Las v\u00edctimas pertenecen a diversos sectores, incluidos el agua y las aguas residuales, la tecnolog\u00eda de la informaci\u00f3n, los servicios e instalaciones gubernamentales, la atenci\u00f3n sanitaria y la salud p\u00fablica, los servicios de emergencia, la alimentaci\u00f3n y la agricultura, los servicios financieros, las instalaciones comerciales, la fabricaci\u00f3n cr\u00edtica, el transporte y la infraestructura cr\u00edtica de comunicaciones.<\/p>\n
“RansomHub es una variante de ransomware como servicio, anteriormente conocida como Cyclops y Knight, que se ha establecido como un modelo de servicio eficiente y exitoso (recientemente atrajo a afiliados de alto perfil de otras variantes prominentes como LockBit y ALPHV)”, dijeron agencias gubernamentales. dicho<\/a>.<\/p>\n Una variante de ransomware como servicio (RaaS) descendiente de Cyclops y Knight, la operaci\u00f3n de delito electr\u00f3nico ha atra\u00eddo afiliados de alto perfil de otras variantes prominentes como LockBit y ALPHV (tambi\u00e9n conocido como BlackCat) luego de una reciente ola de acciones de aplicaci\u00f3n de la ley.<\/p>\n ZeroFox, en un an\u00e1lisis publicado a fines del mes pasado, dijo que la actividad de RansomHub como proporci\u00f3n de toda la actividad de ransomware observada por el proveedor de ciberseguridad est\u00e1 en una trayectoria ascendente, representando aproximadamente el 2% de todos los ataques en el primer trimestre de 2024, el 5,1% en el segundo trimestre y el 14,2% hasta ahora en el tercer trimestre.<\/p>\n “Aproximadamente el 34% de los ataques de RansomHub se han dirigido a organizaciones en Europa, en comparaci\u00f3n con el 25% en todo el panorama de amenazas”, dijo la empresa. anotado<\/a>.<\/p>\n Se sabe que el grupo emplea el modelo de doble extorsi\u00f3n para extraer datos y cifrar sistemas con el fin de extorsionar a las v\u00edctimas, a las que se les insta a ponerse en contacto con los operadores a trav\u00e9s de una URL exclusiva .onion. Las empresas atacadas que se niegan a acceder a la exigencia de rescate ven su informaci\u00f3n publicada en el sitio de filtraci\u00f3n de datos durante un per\u00edodo de entre tres y 90 d\u00edas.<\/p>\n El acceso inicial a los entornos de las v\u00edctimas se facilita explotando vulnerabilidades de seguridad conocidas en Apache ActiveMQ (CVE-2023-46604<\/a>), Centro de datos y servidor Atlassian Confluence (CVE-2023-22515<\/a>), Citrix ADC (CVE-2023-3519<\/a>), F5 BIG-IP (CVE-2023-46747<\/a>), Fortinet FortiOS (CVE-2023-27997<\/a>) y Fortinet FortiClientEMS (CVE-2023-48788<\/a>) dispositivos, entre otros.<\/p>\n Este paso es seguido por la realizaci\u00f3n de reconocimiento y escaneo de la red por parte de los afiliados mediante programas como AngryIPScanner, Nmap y otros m\u00e9todos de “living off-the-land” (LotL). Los ataques de RansomHub tambi\u00e9n implican la desactivaci\u00f3n del software antivirus mediante herramientas personalizadas para pasar desapercibidos.<\/p>\n “Tras el acceso inicial, los afiliados de RansomHub crearon cuentas de usuario para persistencia, volvieron a habilitar cuentas deshabilitadas y usaron Mimikatz en sistemas Windows para recopilar credenciales. [T1003] y escalar privilegios al SISTEMA”, se lee en el aviso del gobierno estadounidense.<\/p>\n “Los afiliados luego se movieron lateralmente dentro de la red a trav\u00e9s de m\u00e9todos que inclu\u00edan el Protocolo de Escritorio Remoto (RDP), PsExec, AnyDesk, Connectwise, N-Able, Cobalt Strike, Metasploit u otros m\u00e9todos de comando y control (C2) ampliamente utilizados”.<\/p>\n Otro aspecto notable de los ataques de RansomHub es el uso de cifrado intermitente para acelerar el proceso, con exfiltraci\u00f3n de datos observada a trav\u00e9s de herramientas como PuTTY, buckets de Amazon AWS S3, solicitudes HTTP POST, WinSCP, Rclone, Cobalt Strike, Metasploit y otros m\u00e9todos.<\/p>\n El desarrollo se produce cuando la Unidad 42 de Palo Alto Networks desvel\u00f3 las t\u00e1cticas asociadas con el ransomware ShinyHunters, al que rastrea como Bling Libra, destacando su cambio hacia la extorsi\u00f3n de las v\u00edctimas en lugar de su t\u00e1ctica tradicional de vender o publicar datos robados. El actor de amenazas Sali\u00f3 a la luz por primera vez<\/a> en 2020.<\/p>\n “El grupo adquiere credenciales leg\u00edtimas, provenientes de repositorios p\u00fablicos, para obtener acceso inicial al entorno de Amazon Web Services (AWS) de una organizaci\u00f3n”, dijeron los investigadores de seguridad Margaret Zimmermann y Chandni Vaya. dicho<\/a>.<\/p>\n “Si bien los permisos asociados con las credenciales comprometidas limitaron el impacto de la violaci\u00f3n, Bling Libra se infiltr\u00f3 en el entorno de AWS de la organizaci\u00f3n y realiz\u00f3 operaciones de reconocimiento. El grupo de actores de amenazas utiliz\u00f3 herramientas como Amazon Simple Storage Service (S3) Browser y WinSCP para recopilar informaci\u00f3n sobre las configuraciones de los buckets de S3, acceder a los objetos de S3 y eliminar datos”.<\/p>\n Tambi\u00e9n sigue una evoluci\u00f3n significativa en los ataques de ransomware, que han ido m\u00e1s all\u00e1 del cifrado de archivos para emplear estrategias de extorsi\u00f3n complejas y multifac\u00e9ticas, empleando incluso esquemas de extorsi\u00f3n triples y cu\u00e1druples, seg\u00fan SOCRadar.<\/p>\n “La triple extorsi\u00f3n aumenta la apuesta, amenazando con medios adicionales de interrupci\u00f3n m\u00e1s all\u00e1 del cifrado y la exfiltraci\u00f3n”, dijo la empresa. dicho<\/a>.<\/p>\n “Esto podr\u00eda implicar llevar a cabo un ataque DDoS contra los sistemas de la v\u00edctima o extender amenazas directas a los clientes, proveedores u otros asociados de la v\u00edctima para causar m\u00e1s da\u00f1o operativo y de reputaci\u00f3n a aquellos que finalmente son el objetivo del plan de extorsi\u00f3n”.<\/p>\n La extorsi\u00f3n cu\u00e1druple aumenta la apuesta al contactar a terceros que tienen relaciones comerciales con las v\u00edctimas y extorsionarlos, o amenazar a las v\u00edctimas con exponer datos de terceros para aumentar a\u00fan m\u00e1s la presi\u00f3n sobre la v\u00edctima para que pague.<\/p>\n La naturaleza lucrativa de los modelos RaaS ha impulsado un aumento de nuevas variantes de ransomware como Allarich<\/a>, Cronos<\/a>, CiberVolk<\/a>, Datos negros<\/a>, Agarre mortal<\/a>, Ojo de halc\u00f3n<\/a>y Insom<\/a>Tambi\u00e9n ha llevado a los actores del Estado-naci\u00f3n iran\u00ed a colaborar<\/a> con grupos conocidos como NoEscape, RansomHouse y BlackCat a cambio de una parte de las ganancias il\u00edcitas.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/El-grupo-de-ransomware-RansomHub-ataca-a-210-victimas-en.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n