El actor de amenazas conocido como CosmicBeetle ha lanzado una nueva cepa de ransomware personalizada llamada ScRansom en ataques dirigidos a peque\u00f1as y medianas empresas (PYMES) en Europa, Asia, \u00c1frica y Sudam\u00e9rica, aunque probablemente tambi\u00e9n trabaje como afiliado de RansomHub.<\/p>\n
“CosmicBeetle reemplaz\u00f3 su ransomware previamente implementado, Scarab, con ScRansom, que se mejora continuamente”, dijo el investigador de ESET Jakub Sou\u010dek dicho<\/a> En un nuevo an\u00e1lisis publicado hoy, se afirma que “si bien no es de primera categor\u00eda, el actor de la amenaza es capaz de comprometer objetivos interesantes”.<\/p>\n Los objetivos de los ataques de ScRansom abarcan los sectores de fabricaci\u00f3n, farmac\u00e9utico, legal, educaci\u00f3n, atenci\u00f3n m\u00e9dica, tecnolog\u00eda, hoteler\u00eda, ocio, servicios financieros y gobiernos regionales.<\/p>\n CosmicBeetle es m\u00e1s conocido por un conjunto de herramientas maliciosas llamado Spacecolon que anteriormente se identific\u00f3 como utilizado para distribuir el ransomware Scarab en organizaciones v\u00edctimas a nivel mundial.<\/p>\n Tambi\u00e9n conocido como NONAME, el adversario tiene antecedentes de experimentar con el constructor filtrado LockBit en un intento de hacerse pasar por la infame banda de ransomware en sus notas de rescate y el sitio de filtraci\u00f3n desde noviembre de 2023.<\/p>\n Actualmente no est\u00e1 claro qui\u00e9n est\u00e1 detr\u00e1s del ataque ni de d\u00f3nde proviene, aunque una hip\u00f3tesis anterior suger\u00eda que podr\u00edan ser de origen turco debido a la presencia de un esquema de cifrado personalizado utilizado en otra herramienta llamada ScHackTool. Sin embargo, ESET sospecha que esta atribuci\u00f3n ya no se sostiene.<\/p>\n “El esquema de cifrado de ScHackTool se utiliza de forma leg\u00edtima Dispositivo de monitorizaci\u00f3n de disco<\/a>“, se\u00f1al\u00f3 Sou\u010dek. “Es probable que este algoritmo haya sido adaptado [from a Stack Overflow thread<\/a>] por VOVSOFT [the Turkish software firm behind the tool] y, a\u00f1os despu\u00e9s, CosmicBeetle lo descubri\u00f3 y lo utiliz\u00f3 para ScHackTool”.<\/p>\n Se han observado cadenas de ataque que aprovechan ataques de fuerza bruta y fallas de seguridad conocidas (CVE-2017-0144<\/a>, CVE-2020-1472<\/a>, CVE-2021-42278<\/a>, CVE-2021-42287<\/a>, CVE-2022-42475<\/a>y CVE-2023-27532<\/a>) para infiltrarse en entornos objetivo.<\/p>\n Las intrusiones implican adem\u00e1s el uso de diversas herramientas como Segador<\/a>, Lado oscuro<\/a>y RealBlindingEDR<\/a> para finalizar los procesos relacionados con la seguridad para evitar la detecci\u00f3n antes de implementar el ransomware ScRansom basado en Delphi, que viene con soporte para cifrado parcial para acelerar el proceso y un modo “BORRAR” para hacer que los archivos sean irrecuperables sobrescribi\u00e9ndolos con un valor constante.<\/p>\n La conexi\u00f3n con RansomHub se debe al hecho de que la empresa de ciberseguridad eslovaca detect\u00f3 la implementaci\u00f3n de las cargas \u00fatiles de ScRansom y RansomHub en la misma m\u00e1quina en el lapso de una semana.<\/p>\n “Probablemente debido a los obst\u00e1culos que trae escribir un ransomware personalizado desde cero, CosmicBeetle intent\u00f3 aprovecharse de la reputaci\u00f3n de LockBit, posiblemente para enmascarar los problemas en el ransomware subyacente y, a su vez, aumentar las posibilidades de que las v\u00edctimas paguen”, dijo Sou\u010dek.<\/p>\n La revelaci\u00f3n se produce luego de que se observara que actores de amenazas vinculados al ransomware Cicada3301 (tambi\u00e9n conocido como Repellent Scorpius) utilizan una versi\u00f3n actualizada del cifrador desde julio de 2024.<\/p>\n “Los autores de amenazas agregaron un nuevo argumento de l\u00ednea de comandos, –no-note”, Palo Alto Networks Unit 42 dicho<\/a> En un informe compartido con The Hacker News, se afirma que “cuando se invoca este argumento, el cifrador no escribir\u00e1 la nota de rescate en el sistema”.<\/p>\n Otra modificaci\u00f3n importante es la ausencia de nombres de usuario o contrase\u00f1as codificados en el binario, aunque todav\u00eda conserva la capacidad de ejecutar PsExec utilizando estas credenciales si existen, una t\u00e9cnica destacada recientemente por Morphisec.<\/p>\n En un giro interesante, el proveedor de ciberseguridad dijo que observ\u00f3 se\u00f1ales de que el grupo tiene datos obtenidos de incidentes de compromiso m\u00e1s antiguos que anteceden a la operaci\u00f3n del grupo bajo la marca Cicada3301.<\/p>\n Esto ha planteado la posibilidad de que el actor de la amenaza haya operado bajo una marca de ransomware diferente o haya comprado los datos a otros grupos de ransomware. Dicho esto, Unit 42 se\u00f1al\u00f3 que identific\u00f3 algunas superposiciones con Otro ataque<\/a> llevado a cabo por un afiliado que implement\u00f3 el ransomware BlackCat en marzo de 2022.<\/p>\n Los hallazgos tambi\u00e9n siguen una evoluci\u00f3n de un controlador de Windows firmado en modo kernel utilizado por m\u00faltiples bandas de ransomware para desactivar el software Endpoint Detection and Response (EDR) que le permite actuar como un limpiador para eliminar componentes cr\u00edticos asociados con esas soluciones, en lugar de eliminarlas.<\/p>\n El malware en cuesti\u00f3n es POORTRY, que se distribuye mediante un cargador llamado STONESTOP para orquestar un ataque Bring Your Own Vulnerable Driver (BYOVD), eludiendo de manera efectiva las medidas de seguridad de Driver Signature Enforcement. Su capacidad de “forzar la eliminaci\u00f3n” de archivos en el disco fue detectada por primera vez por Trend Micro en mayo de 2023.<\/p>\n POORTRY, detectado en 2021, tambi\u00e9n se conoce como BURNTCIGAR y ha sido utilizado por m\u00faltiples bandas de ransomware, incluidas CUBA, BlackCat, Medusa, LockBit y RansomHub a lo largo de los a\u00f1os.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/CosmicBeetle-implementa-ransomware-ScRansom-personalizado-en-asociacion-con-RansomHub.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\nCicada3301 lanza una versi\u00f3n actualizada<\/h2>\n
BURNTCIGAR se convierte en un limpiador EDR<\/h2>\n
<\/a><\/center><\/section>\n