Un grupo de ransomware de habla rusa denominado viejogremlin <\/b>se ha atribuido a 16 campa\u00f1as maliciosas dirigidas a entidades que operan en la naci\u00f3n euroasi\u00e1tica transcontinental en el transcurso de dos a\u00f1os y medio.<\/p>\n
\u201cLas v\u00edctimas del grupo incluyen empresas de sectores como log\u00edstica, industria, seguros, comercio minorista, bienes ra\u00edces, desarrollo de software y banca\u201d, Group-IB dijo<\/a> en un informe exhaustivo compartido con The Hacker News. “En 2020, el grupo incluso apunt\u00f3 a un fabricante de armas”.<\/p>\n En lo que es una rareza en el panorama del ransomware, OldGremlin (tambi\u00e9n conocido como TinyScouts) es una de las pocas pandillas de delitos cibern\u00e9ticos con motivaci\u00f3n financiera que se enfoca principalmente en empresas rusas.<\/p>\n Otros grupos notables son Dharma, Crylock y Thanos, que contribuyeron a un aumento de los ataques de ransomware dirigidos a empresas del pa\u00eds en m\u00e1s del 200 % en 2021.<\/p>\n OldGremlin sali\u00f3 a la luz por primera vez en septiembre de 2020 cuando la empresa de ciberseguridad con sede en Singapur revel\u00f3 nueve campa\u00f1as orquestadas por el actor entre mayo y agosto. El primer ataque se detect\u00f3 a principios de abril de 2020.<\/p>\n En total, se dice que el grupo realiz\u00f3 10 campa\u00f1as de correo electr\u00f3nico de phishing en 2020, seguidas de un ataque de gran \u00e9xito en 2021 y cinco m\u00e1s en 2022, con demandas de rescate que alcanzaron un r\u00e9cord de $ 16,9 millones.<\/p>\n “OldGremlin estudia a fondo a sus v\u00edctimas”, explic\u00f3 Group-IB. “Por lo tanto, el rescate exigido suele ser proporcional al tama\u00f1o y los ingresos de la empresa y, obviamente, es superior al presupuesto necesario para garantizar un nivel adecuado de seguridad de la informaci\u00f3n”.<\/p>\n Conocidos por apuntar principalmente a redes empresariales que se ejecutan en Windows, los ataques montados por OldGremlin han aprovechado los correos electr\u00f3nicos de phishing que se hacen pasar por compa\u00f1\u00edas de servicios legales y de impuestos para enga\u00f1ar a las v\u00edctimas para que hagan clic en enlaces fraudulentos y descarguen archivos maliciosos, lo que permite a los atacantes infiltrarse en las redes.<\/p>\n “Los actores de amenazas a menudo se hacen pasar por empresas conocidas, incluido el grupo de medios RBC, el sistema de asistencia legal Consultant Plus, la empresa 1C-Bitrix, la Uni\u00f3n Rusa de Industriales y Empresarios y Minsk Tractor Works”, dijo Group-IB.<\/p>\n Al obtener un punto de apoyo inicial, OldGremlin se mueve para establecer la persistencia creando tareas programadas, obteniendo privilegios elevados usando Cobalt Stroke e incluso fallando en Cisco AnyConnect (CVE-2020-3153<\/a> y CVE-2020-3433<\/a>), al tiempo que obtiene acceso remoto a la infraestructura comprometida utilizando herramientas como TeamViewer.<\/p>\n Algunos de los aspectos que hacen que la tripulaci\u00f3n se destaque de otros grupos de ransomware es que no se basa en la doble extorsi\u00f3n para obligar a las empresas objetivo a pagar a pesar de la extracci\u00f3n de datos. Tambi\u00e9n se ha observado que toma largos descansos despu\u00e9s de cada ataque exitoso.<\/p>\n Adem\u00e1s, el tiempo de permanencia promedio hasta la implementaci\u00f3n del ransomware se fij\u00f3 en 49 d\u00edas, muy por encima de lo informado. Tiempo medio de permanencia de 11 d\u00edas<\/a>lo que sugiere mayores esfuerzos por parte del actor para examinar el dominio violado (que se logra mediante una herramienta llamada TinyScout).<\/p>\n La ola de phishing m\u00e1s reciente de OldGremlin ocurri\u00f3 el 23 de agosto de 2022, con correos electr\u00f3nicos que incorporaban enlaces que apuntaban a una carga \u00fatil de archivo ZIP alojada en Dropbox para activar la cadena de eliminaci\u00f3n.<\/p>\n Estos archivos, a su vez, albergan un archivo LNK malicioso (denominado TinyLink) que descarga una puerta trasera llamada TinyFluff, que es uno de los cuatro implantes utilizados por el grupo: TinyPosh, TinyNode y TinyShell, antes de eliminar las copias de seguridad de datos y soltar el archivo . Ransomware TinyCrypt basado en NET.<\/p>\n OldGremlin tambi\u00e9n utiliza otras herramientas como TinyShot, una utilidad de consola para capturar capturas de pantalla, TinyKiller, que elimina los procesos antivirus a trav\u00e9s de un ataque BYOVD (traiga su propio controlador vulnerable) dirigido a los controladores gdrv.sys y RTCore64.sys.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/Google-lanza-el-proyecto-de-codigo-abierto-GUAC-para-proteger.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/1666297635_495_OldGremlin-Ransomware-dirigido-a-mas-de-una-docena-de-entidades.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/1666297635_401_OldGremlin-Ransomware-dirigido-a-mas-de-una-docena-de-entidades.jpg\")
<\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/Adolescente-de-19-anos-arrestado-por-usar-datos-filtrados-de.png\")
<\/a><\/div>\n