La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha liberado<\/a> un nuevo aviso sobre Royal ransomware, que surgi\u00f3 en el panorama de amenazas el a\u00f1o pasado.<\/p>\n “Despu\u00e9s de obtener acceso a las redes de las v\u00edctimas, los actores de Royal desactivan el software antivirus y filtran grandes cantidades de datos antes de finalmente implementar el ransomware y cifrar los sistemas”, CISA dicho<\/a>.<\/p>\n La costumbre programa de ransomware<\/a>que se ha dirigido a organizaciones estadounidenses e internacionales desde septiembre de 2022, se cree que evolucion\u00f3 a partir de iteraciones anteriores que se denominaron Zeon. <\/p>\n Adem\u00e1s, se dice que es operado por actores de amenazas experimentados que sol\u00edan ser parte de Conti Team One, seg\u00fan revel\u00f3 la empresa de ciberseguridad Trend Micro en diciembre de 2022.<\/p>\n El grupo de ransomware emplea el phishing de devoluci\u00f3n de llamada como un medio para entregar su ransomware a las v\u00edctimas, una t\u00e9cnica ampliamente adoptada por grupos criminales que se separaron de la empresa Conti el a\u00f1o pasado luego de su cierre.<\/p>\n Otros modos de acceso inicial incluyen el protocolo de escritorio remoto (RDP), la explotaci\u00f3n de aplicaciones p\u00fablicas y a trav\u00e9s de intermediarios de acceso inicial (IAB).<\/p>\n Las demandas de rescate realizadas por Royal var\u00edan de $ 1 mill\u00f3n a $ 11 millones, con ataques dirigidos a una variedad de sectores cr\u00edticos, que incluyen comunicaciones, educaci\u00f3n, atenci\u00f3n m\u00e9dica y fabricaci\u00f3n.<\/p>\n “Royal ransomware utiliza un enfoque de cifrado parcial \u00fanico que permite al actor de amenazas elegir un porcentaje espec\u00edfico de datos en un archivo para cifrar”, se\u00f1al\u00f3 CISA. “Este enfoque le permite al actor reducir el porcentaje de cifrado para archivos m\u00e1s grandes, lo que ayuda a evadir la detecci\u00f3n”.<\/p>\n La agencia de ciberseguridad dijo que se han utilizado m\u00faltiples servidores de comando y control (C2) asociados con Qakbot en las intrusiones de Royal ransomware, aunque actualmente no se ha determinado si el malware se basa exclusivamente en la infraestructura de Qakbot.<\/p>\n Las intrusiones tambi\u00e9n se caracterizan por el uso de Cobalt Strike y PsExec para el movimiento lateral, as\u00ed como por la eliminaci\u00f3n de instant\u00e1neas para evitar la recuperaci\u00f3n del sistema. Cobalt Strike tambi\u00e9n se reutiliza para la agregaci\u00f3n y exfiltraci\u00f3n de datos.<\/p>\n A partir de febrero de 2023, Royal ransomware es capaz<\/a> de apuntar a entornos Windows y Linux. Ha sido vinculado<\/a> a 19 ataques solo en el mes de enero de 2023, coloc\u00e1ndolo detr\u00e1s de LockBit, ALPHV y Vice Society.<\/p>\n <\/p>\n