Los actores de amenazas est\u00e1n empleando una “herramienta de evasi\u00f3n de defensa” previamente indocumentada denominada AuKill<\/b> que est\u00e1 dise\u00f1ado para deshabilitar el software de detecci\u00f3n y respuesta de punto final (EDR) por medio de un ataque Bring Your Own Vulnerable Driver (BYOVD).<\/p>\n
“La herramienta AuKill abusa de una versi\u00f3n obsoleta de la conductor<\/a> utilizado por la versi\u00f3n 16.32 de la utilidad de Microsoft, Explorador de procesos<\/a>para deshabilitar los procesos EDR antes de implementar una puerta trasera o un ransomware en el sistema de destino”, dijo Andreas Klopsch, investigador de Sophos. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n Los incidentes analizados por la firma de ciberseguridad muestran el uso de AuKill desde principios de 2023 para implementar varias cepas de ransomware como Medusa Locker y LockBit. Hasta la fecha, se han identificado seis versiones diferentes del malware. La muestra m\u00e1s antigua de AuKill presenta una marca de tiempo de compilaci\u00f3n de noviembre de 2022.<\/p>\n La t\u00e9cnica BYOVD se basa en que los actores de amenazas hacen un mal uso de un controlador leg\u00edtimo, pero desactualizado y explotable, firmado por Microsoft (o usan un certificado robado o filtrado) para obtener privilegios elevados y desactivar los mecanismos de seguridad.<\/p>\n Mediante el uso de controladores leg\u00edtimos y explotables, la idea es eludir una protecci\u00f3n clave de Windows conocida como Driver Signature Enforcement que garantiza que los controladores en modo kernel hayan sido firmados por una autoridad de firma de c\u00f3digo v\u00e1lida antes de que se les permita ejecutarse.<\/p>\n “La herramienta AuKill requiere privilegios administrativos para funcionar, pero no puede otorgar esos privilegios al atacante”, se\u00f1alaron los investigadores de Sophos. “Los actores de amenazas que usaron AuKill se aprovecharon de los privilegios existentes durante los ataques, cuando los obtuvieron por otros medios”.<\/p>\n Esta no es la primera vez que el controlador Process Explorer firmado por Microsoft ha sido utilizado como arma en ataques. En noviembre de 2022, Sophos tambi\u00e9n detall\u00f3 el uso por parte de los afiliados de LockBit de una herramienta de c\u00f3digo abierto llamada pu\u00f1alada por la espalda<\/a> que abusaba de versiones obsoletas del controlador para finalizar procesos antimalware protegidos.<\/p>\n Luego, a principios de este a\u00f1o, se detect\u00f3 una campa\u00f1a de publicidad maliciosa que utilizaba el mismo controlador para distribuir un cargador .NET llamado MalVirt para implementar el malware de robo de informaci\u00f3n FormBook.<\/p>\n El desarrollo se presenta como el AhnLab Security Emergency Response Center (ASEC) revel\u00f3<\/a> que los servidores MS-SQL mal administrados est\u00e1n siendo armados para instalar el trigona<\/a> ransomware, que comparte superposiciones con otra cepa conocida como CryLock<\/a>.<\/p>\n tambi\u00e9n sigue recomendaciones<\/a> que se ha observado que los actores del ransomware Play (tambi\u00e9n conocido como PlayCrypt) usan herramientas personalizadas de recolecci\u00f3n de datos que hacen posible enumerar todos los usuarios y computadoras en una red comprometida y copiar archivos del Servicio de instant\u00e1neas de volumen (VSS<\/a>).<\/p>\n Grixba, un ladr\u00f3n de informaci\u00f3n basado en .NET, est\u00e1 dise\u00f1ado para escanear una m\u00e1quina en busca de programas de seguridad, software de respaldo y herramientas de administraci\u00f3n remota, y exfiltrar los datos recopilados en forma de archivos CSV que luego se comprimen en archivos ZIP.<\/p>\n La banda de ciberdelincuentes, rastreada por Symantec como Balloonfly, tambi\u00e9n utiliza una herramienta de copia de VSS escrita en .NET que hace uso de la Marco AlphaVSS<\/a> para enumerar archivos y carpetas en una instant\u00e1nea de VSS y copiarlos en un directorio de destino antes del cifrado.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n Play ransomware se destaca no solo por utilizar cifrado intermitente<\/a> para acelerar el proceso, sino tambi\u00e9n por el hecho de que no funciona con un modelo de ransomware como servicio (RaaS). La evidencia recopilada hasta ahora apunta a que Balloonfly lleva a cabo los ataques de ransomware y tambi\u00e9n desarrolla el malware.<\/p>\n Grixba y VSS Copying Tool son las \u00faltimas de una larga lista de herramientas propietarias como Exmatter, Exbyte<\/a>y secuencias de comandos basadas en PowerShell que utilizan los actores de ransomware para establecer un mayor control sobre sus operaciones, al tiempo que agregan capas adicionales de complejidad para persistir en entornos comprometidos y evadir la detecci\u00f3n.<\/p>\n Otra t\u00e9cnica cada vez m\u00e1s adoptada por grupos motivados financieramente es el uso del lenguaje de programaci\u00f3n Go para desarrollar malware multiplataforma<\/a> y an\u00e1lisis de resistencia<\/a> y Ingenier\u00eda inversa<\/a> esfuerzos<\/p>\n De hecho, un informe de Cyble la semana pasada document\u00f3 un nuevo ransomware GoLang llamado CrossLock que emplea la t\u00e9cnica de doble extorsi\u00f3n para aumentar la probabilidad de pago de sus v\u00edctimas, adem\u00e1s de tomar medidas para eludir el seguimiento de eventos para Windows (ETW<\/a>).<\/p>\n “Esta funcionalidad puede permitir que el malware evite la detecci\u00f3n por parte de los sistemas de seguridad que dependen de los registros de eventos”, Cyble dicho<\/a>. “CrossLock Ransomware tambi\u00e9n realiza varias acciones para reducir las posibilidades de recuperaci\u00f3n de datos al mismo tiempo que aumenta la efectividad del ataque”.<\/p>\n <\/p>\n