Los investigadores de ciberseguridad detallaron un ataque que involucr\u00f3 a un actor de amenazas que utiliz\u00f3 una puerta trasera basada en Python para mantener el acceso persistente a los puntos finales comprometidos y luego aprovech\u00f3 este acceso para implementar el ransomware RansomHub en toda la red objetivo.<\/p>\n
De acuerdo a Seguridad de GuidePoint<\/a>se dice que el acceso inicial fue facilitado mediante un malware JavaScript descargado llamado SocGholish (tambi\u00e9n conocido como FakeUpdates), que se sabe que es repartido<\/a> a trav\u00e9s de campa\u00f1as encubiertas que enga\u00f1an a los usuarios desprevenidos para que descarguen actualizaciones falsas del navegador web.<\/p>\n Estos ataques com\u00fanmente involucrar<\/a> el uso de sitios web leg\u00edtimos pero infectados a los que se redirige a las v\u00edctimas desde los resultados de los motores de b\u00fasqueda utilizando t\u00e9cnicas de optimizaci\u00f3n de motores de b\u00fasqueda (SEO) de sombrero negro. Tras la ejecuci\u00f3n, SocGholish establece contacto con un servidor controlado por un atacante para recuperar cargas \u00fatiles secundarias.<\/p>\n Tan recientemente como el a\u00f1o pasado, las campa\u00f1as de SocGholish han dirigido<\/a> Sitios de WordPress que dependen de versiones obsoletas de complementos de SEO populares como Yoast (CVE-2024-4984<\/a>puntuaci\u00f3n CVSS: 6,4) y Rank Math PRO (CVE-2024-3665<\/a>puntuaci\u00f3n CVSS: 6,4) para acceso inicial.<\/p>\n En el incidente investigado por GuidePoint Security, se descubri\u00f3 que la puerta trasera de Python se hab\u00eda eliminado unos 20 minutos despu\u00e9s de la infecci\u00f3n inicial a trav\u00e9s de SocGholish. Luego, el actor de amenazas procedi\u00f3 a entregar la puerta trasera a otras m\u00e1quinas ubicadas en la misma red durante el movimiento lateral a trav\u00e9s de sesiones RDP.<\/p>\n “Funcionalmente, el script es un proxy inverso que se conecta a una direcci\u00f3n IP codificada. Una vez que el script ha pasado el protocolo de enlace inicial de comando y control (C2), establece un t\u00fanel que se basa en gran medida en el protocolo SOCKS5”. dijo el investigador de seguridad Andrew Nelson.<\/p>\n “Este t\u00fanel permite al actor de amenazas moverse lateralmente en la red comprometida utilizando el sistema de la v\u00edctima como proxy”.<\/p>\n El script Python, cuya versi\u00f3n anterior fue documentado<\/a> por ReliaQuest en febrero de 2024, ha sido detectado en estado salvaje desde principios de diciembre de 2023, mientras sufre “cambios a nivel de superficie” que tienen como objetivo mejorar los m\u00e9todos de ofuscaci\u00f3n utilizados para evitar la detecci\u00f3n.<\/p>\n GuidePoint tambi\u00e9n se\u00f1al\u00f3 que el script decodificado est\u00e1 pulido y bien escrito, lo que indica que el autor del malware es meticuloso a la hora de mantener un c\u00f3digo Python altamente legible y comprobable o depende de herramientas de inteligencia artificial (IA) para ayudar con la tarea de codificaci\u00f3n.<\/p>\n “Con la excepci\u00f3n de la ofuscaci\u00f3n de variables locales, el c\u00f3digo se divide en clases distintas con nombres de m\u00e9todos y variables altamente descriptivos”, a\u00f1adi\u00f3 Nelson. “Cada m\u00e9todo tambi\u00e9n tiene un alto grado de manejo de errores y mensajes de depuraci\u00f3n detallados”.<\/p>\n La puerta trasera basada en Python est\u00e1 lejos de ser el \u00fanico precursor detectado en los ataques de ransomware. Como destac\u00f3 Halcyon a principios de este mes, algunas de las otras herramientas desplegado<\/a> antes de la implementaci\u00f3n del ransomware se incluyen los responsables de:<\/p>\n Tambi\u00e9n se han observado campa\u00f1as de ransomware dirigidas a dep\u00f3sitos de Amazon S3 aprovechando el cifrado del lado del servidor de Amazon Web Services con claves proporcionadas por el cliente (SSE-C<\/a>) para cifrar los datos de la v\u00edctima. La actividad se ha atribuido a un actor de amenazas denominado Codefinger.<\/p>\n Adem\u00e1s de impedir la recuperaci\u00f3n sin la clave generada, los ataques emplean t\u00e1cticas de rescate urgentes en las que los archivos se marcan para su eliminaci\u00f3n en un plazo de siete d\u00edas a trav\u00e9s de la API de gesti\u00f3n del ciclo de vida de objetos de S3 para presionar a las v\u00edctimas para que paguen.<\/p>\n “El actor de amenazas Codefinger abusa de las claves de AWS divulgadas p\u00fablicamente con permisos para escribir y leer objetos S3”, Halcyon dicho<\/a>. “Al utilizar los servicios nativos de AWS, logran el cifrado de una manera segura e irrecuperable sin su cooperaci\u00f3n”.<\/p>\n El desarrollo se produce cuando SlashNext dijo que ha sido testigo de un aumento en las campa\u00f1as de phishing “r\u00e1pidas” que imitan la t\u00e9cnica de bombardeo de correo electr\u00f3nico del equipo de ransomware Black Basta para inundar las bandejas de entrada de las v\u00edctimas con m\u00e1s de 1,100 mensajes leg\u00edtimos relacionados con boletines informativos o avisos de pago.<\/p>\n “Luego, cuando la gente se siente abrumada, los atacantes atacan a trav\u00e9s de llamadas telef\u00f3nicas o mensajes de Microsoft Teams, haci\u00e9ndose pasar por soporte t\u00e9cnico de la empresa con una soluci\u00f3n simple”, dijo la compa\u00f1\u00eda. dicho<\/a>.<\/p>\n “Hablan con confianza para ganarse la confianza, indicando a los usuarios que instalen software de acceso remoto como TeamViewer o AnyDesk. Una vez que el software est\u00e1 en un dispositivo, los atacantes se introducen silenciosamente. Desde all\u00ed, pueden difundir programas da\u00f1inos o infiltrarse en otras \u00e1reas del sistema. red, despejando el camino directo a los datos confidenciales”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/El-malware-basado-en-Python-impulsa-el-ransomware-RansomHub-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n