Un nuevo ataque de ransomware del conocido grupo cibercriminal RedCurl se dirige específicamente a los hipervisores en lugar de a los puntos finales. Los atacantes quieren pasar desapercibidos durante mucho tiempo y, al mismo tiempo, causar el máximo daño.
El ataque está documentado por un análisis de Bitdefender Labs del primer intento de extorsión digital de RedCurl. Además de la instalación de DLL y de códigos de malware maliciosos, se utilizan principalmente herramientas legítimas para realizar ataques de tipo "living-of-the-land" (LOTL). Las copias de seguridad del hipervisor se eliminan deliberadamente. También se han documentado ataques en Alemania.
RedCurl mantiene la distancia de los puntos finales
Según el análisis, los atacantes se mantienen alejados de los sistemas terminales de los usuarios durante todo el ataque. Por un lado, el ataque exclusivo a los hipervisores tiene como objetivo causar el máximo daño con el mínimo esfuerzo. El cifrado de máquinas virtuales alojadas en hipervisores hace que sea imposible arrancarlas. En segundo lugar, los atacantes aparentemente quieren permanecer ocultos durante el mayor tiempo posible, creando así tiempo para negociar con una pequeña parte de los afectados en la empresa, especialmente solo con el equipo de TI. Por lo tanto, los autores también evitan el trabajo de publicidad de ransomware, que normalmente es habitual, en sitios dedicados a filtraciones (DLS: Dedicated Leak Sites).
Herramienta de tendencias de phishing
Como suele ocurrir, el ataque comienza con un correo electrónico de phishing clásico que disfraza un archivo IMG como un CV con la extensión de archivo para protectores de pantalla (CV APPLICANT 7802-91542.SCR). Un archivo .SCR se puede ocultar fácilmente de la vista. El archivo IMG, una copia sector por sector de un hardware de almacenamiento, se monta automáticamente como un disco después de hacer clic en el supuesto currículum y se ejecuta el .exe disfrazado de archivo .SCR: La aplicación de Adobe ofrece una vulnerabilidad para la carga lateral de DLL.
Suscríbete al boletín ahora
Lea las mejores noticias de SEGURIDAD CIBERNÉTICA B2B una vez al mesHerramientas legítimas para el mimetismo de tendencias
La carga útil descargada utiliza técnicas LOTL para ocultar acciones maliciosas detrás de acciones realizadas por herramientas legítimas. Entre estas herramientas se encuentra la utilidad pcalua.exe para el acceso inicial como herramienta asistente para la compatibilidad de programas (Program Compatibility Assistant – PCA). Esta herramienta generalmente se utiliza para hacer que versiones de software más antiguas se ejecuten en versiones más nuevas de Windows y ejecuta archivos binarios en el proxy. Rundll32.exe, una herramienta de Windows para operar bibliotecas de vínculos dinámicos (DLL), está siendo reutilizada para DLL maliciosas. Una vez en el sistema, los atacantes de RedCurl utilizan herramientas remotas de Windows para administradores, como powerehell.exe, wmic.exe, certutil.exe o tasklist.exe. El ataque de ransomware también intenta eludir el software de seguridad informática.
El script principal del ransomware se caracteriza por varios parámetros y permite eliminar copias de seguridad específicamente por nombre de host. Para ello, el script elimina directorios de respaldo específicos y archivos del disco duro virtual.
Nueva cartera criminal con motivación poco clara
Bitdefender Labs llama al nuevo ransomware QWCrypt. El grupo RedCurl, también conocido como Earth Kapre o Red Wolf, ha estado activo desde 2018 y anteriormente era conocido principalmente por sus técnicas de vida fuera de la tierra destinadas al espionaje cibernético y la exfiltración de datos. La amplia distribución geográfica, sobre todo en EE.UU., pero también en Alemania, España, México y, según otros expertos, incluso en Rusia, habla de un contexto estatal, por ejemplo en materia de ciberespionaje. El hecho de que RedCurl no haya vendido ningún dato hasta ahora habla en contra de una motivación financiera. La incorporación de ransomware a una cartera delictiva es una expansión notable de sus tácticas. Los motivos de los piratas informáticos, aparte de obtener un rescate, siguen sin estar claros.
Más en Bitdefender.com
Acerca de Bitdefender Bitdefender es líder mundial en soluciones de ciberseguridad y software antivirus, y protege más de 500 millones de sistemas en más de 150 países. Desde su fundación en 2001, las innovaciones de la compañía han brindado regularmente excelentes productos de seguridad y protección inteligente para dispositivos, redes y servicios en la nube para clientes privados y empresas. Como proveedor elegido, la tecnología de Bitdefender se encuentra en el 38 por ciento de las soluciones de seguridad implementadas en el mundo y cuenta con la confianza y el reconocimiento de profesionales de la industria, fabricantes y consumidores por igual. www.bitdefender.de