Se ha observado que los actores de amenazas abusan de la funci\u00f3n de aceleraci\u00f3n de transferencia de Amazon S3 (Servicio de almacenamiento simple) como parte de ataques de ransomware dise\u00f1ados para exfiltrar datos de las v\u00edctimas y cargarlos en dep\u00f3sitos de S3 bajo su control.<\/p>\n
“Se intent\u00f3 disfrazar el ransomware Golang como el famoso ransomware LockBit”, afirman los investigadores de Trend Micro Jaromir Horejsi y Nitesh Surana dicho<\/a>. “Sin embargo, ese no es el caso, y el atacante s\u00f3lo parece estar aprovechando la notoriedad de LockBit para apretar a\u00fan m\u00e1s el lazo sobre sus v\u00edctimas”.<\/p>\n Se ha descubierto que los artefactos de ransomware incorporan credenciales de Amazon Web Services (AWS) codificadas para facilitar la filtraci\u00f3n de datos a la nube, una se\u00f1al de que los adversarios est\u00e1n utilizando cada vez m\u00e1s a los proveedores de servicios de nube populares para esquemas maliciosos.<\/p>\n Se presume que la cuenta de AWS utilizada en la campa\u00f1a es propia o est\u00e1 comprometida. Tras una divulgaci\u00f3n responsable al equipo de seguridad de AWS, las claves de acceso y las cuentas de AWS identificadas se suspendieron.<\/p>\n Trend Micro dijo que detect\u00f3 m\u00e1s de 30 muestras con los ID de clave de acceso de AWS y las claves de acceso secretas integradas, lo que indica un desarrollo activo. El ransomware es capaz de atacar sistemas Windows y macOS.<\/p>\n No se sabe exactamente c\u00f3mo se entrega el ransomware multiplataforma a un host de destino, pero una vez que se ejecuta, obtiene el identificador \u00fanico universal (UUID) de la m\u00e1quina y lleva a cabo una serie de pasos para generar la clave maestra necesaria para cifrar los archivos.<\/p>\n El paso de inicializaci\u00f3n es seguido por el atacante que enumera los directorios ra\u00edz y cifra los archivos que coinciden con una lista espec\u00edfica de extensiones, no sin antes filtrarlos a AWS a trav\u00e9s de S3 Transfer Acceleration (S3TA<\/a>) para una transferencia de datos m\u00e1s r\u00e1pida.<\/p>\n “Despu\u00e9s del cifrado, el nombre del archivo cambia seg\u00fan el siguiente formato: En la etapa final, el ransomware cambia el fondo de pantalla del dispositivo para mostrar una imagen que menciona LockBit 2.0 en un probable intento de obligar a las v\u00edctimas a pagar.<\/p>\n “Los actores de amenazas tambi\u00e9n podr\u00edan disfrazar su muestra de ransomware como otra variante m\u00e1s conocida p\u00fablicamente, y no es dif\u00edcil ver por qu\u00e9: la infamia de los ataques de ransomware de alto perfil presiona a\u00fan m\u00e1s a las v\u00edctimas para que sigan las \u00f3rdenes del atacante”, dijeron los investigadores.<\/p>\n El desarrollo se produce cuando Gen Digital lanz\u00f3 un descifrador para una variante del ransomware Mallox que se detect\u00f3 en estado salvaje desde enero de 2023 hasta febrero de 2024 aprovechando una falla en el esquema criptogr\u00e1fico.<\/p>\n “Las v\u00edctimas del ransomware pueden restaurar sus archivos de forma gratuita si fueron atacadas por esta variante particular de Mallox”, afirma el investigador Ladislav Zezula dicho<\/a>. “La falla criptogr\u00e1fica se solucion\u00f3 alrededor de marzo de 2024, por lo que ya no es posible descifrar datos cifrados por las versiones posteriores del ransomware Mallox”.<\/p>\n Cabe mencionar que se descubri\u00f3 que una filial de la operaci\u00f3n Mallox, tambi\u00e9n conocida como TargetCompany, utilizaba una versi\u00f3n ligeramente modificada del ransomware Kryptina, con nombre en c\u00f3digo Mallox v1.0, para violar los sistemas Linux.<\/p>\n “Las variantes de Mallox derivadas de Kryptina son espec\u00edficas para afiliados y est\u00e1n separadas de otras variantes de Mallox para Linux que han surgido desde entonces, una indicaci\u00f3n de c\u00f3mo el panorama del ransomware ha evolucionado hasta convertirse en una colecci\u00f3n compleja de conjuntos de herramientas de polinizaci\u00f3n cruzada y bases de c\u00f3digo no lineales”. El investigador de SentinelOne, Jim Walter. anotado<\/a> a finales del mes pasado.<\/p>\n ransomware contin\u00faa<\/a> ser una amenaza importante, con 1.255 ataques reclamados en el tercer trimestre de 2024, frente a 1.325 en el trimestre anterior, seg\u00fan el an\u00e1lisis de Symantec de datos extra\u00eddos de sitios de fuga de ransomware.<\/p>\n Microsoft, en su Informe de Defensa Digital para el per\u00edodo de un a\u00f1o comprendido entre junio de 2023 y junio de 2024, dicho<\/a> observ\u00f3 un aumento de 2,75 veces a\u00f1o tras a\u00f1o en encuentros vinculados a ransomware operados por humanos, mientras que el porcentaje de ataques que alcanzan la fase de cifrado real se ha triplicado en los \u00faltimos dos a\u00f1os.<\/p>\n Algunos de los principales beneficiarios del declive de LockBit luego de una operaci\u00f3n internacional de aplicaci\u00f3n de la ley dirigida a su infraestructura en febrero de 2024 fueron RansomHub, Qilin (tambi\u00e9n conocido como Agenda) y Akira, el \u00faltimo de los cuales volvi\u00f3 a recurrir a t\u00e1cticas de doble extorsi\u00f3n despu\u00e9s de coquetear brevemente con la exfiltraci\u00f3n de datos. y ataques de extorsi\u00f3n solo a principios de 2024. <\/p>\n “Durante este per\u00edodo, comenzamos a ver a los operadores de ransomware como servicio (RaaS) de Akira desarrollando una variante Rust de su cifrado ESXi, bas\u00e1ndose iterativamente en las funciones de la carga \u00fatil mientras se alejaban de C++ y experimentaban con diferentes t\u00e9cnicas de programaci\u00f3n”, Talos dicho<\/a>.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Las-bandas-de-ransomware-utilizan-la-fama-de-LockBit-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n