Cisco Talos ha observado recientemente un ataque que llevó al despliegue de una variante del ransomware MedusaLocker conocida como «BabyLockerKZ». Las técnicas distinguibles –incluyendo el almacenamiento consistente del mismo conjunto de herramientas en la misma ubicación en los sistemas comprometidos– el uso de herramientas que tienen la ruta PDB con la cadena «paid_memes» y el uso de una herramienta de movimiento lateral llamada «checker»- utilizadas en el ataque permitieron echar un vistazo más profundo para tratar de entender más sobre este actor de amenaza.
Este atacante utiliza varias herramientas de ataque conocidas públicamente y binarios «living-off-the-land» (LoLBins), un conjunto de herramientas construidas por el mismo desarrollador (posiblemente el atacante) para ayudar en el robo de credenciales y el movimiento lateral en organizaciones comprometidas. Estas herramientas son en su mayoría envoltorios de herramientas disponibles públicamente que incluyen funcionalidades adicionales para agilizar el proceso de ataque y proporcionan interfaces gráficas o de línea de comandos.
El mismo desarrollador creó la variante de MedusaLocker utilizada en el ataque inicial. Esta variante que utiliza las mismas URL de chats y sitios de filtraciones contiene varias diferencias con respecto al ransomware MedusaLocker original, como una clave de ejecución automática diferente o un conjunto adicional de claves públicas y privadas almacenadas en el registro. Basándose en el nombre de la clave de ejecución automática, los atacantes llaman a esta variante «BabyLockerKZ».
Se evaluó con confianza media que el actor está motivado financieramente, probablemente trabajando como un agente de acceso inicial (IAB) o un afiliado de un cártel de ransomware, y ha estado llevando a cabo ataques desde al menos 2022. La telemetría de Talos indica que el actor atacó de forma oportunista a muchas víctimas en todo el mundo. A finales de 2022 y principios de 2023, la mayoría de las víctimas se encontraban en países europeos, pero desde el primer trimestre de 2023, el enfoque del grupo cambió hacia países sudamericanos y, como resultado, el número de víctimas por mes casi se duplicó.
Seguimiento de BabyLockerKZ en todo el mundo
La información recopilada por Talos sobre las herramientas empleadas habitualmente por el actor de la amenaza permiten estimar el número y los países de origen de las víctimas. Aunque es improbable que esto capte todas las actividades del adversario, proporciona una visión de una ventana específica de actividad.
El atacante lleva activo al menos desde octubre de 2022. En ese momento, los objetivos se encontraban principalmente en países europeos como Francia, Alemania, España o Italia. Durante el segundo trimestre de 2023, el volumen de ataques por mes casi se duplicó, y el grupo cambió su enfoque hacia países sudamericanos como Brasil, México, Argentina y Colombia, como se muestra en el siguiente gráfico. Los ataques mantuvieron un volumen constante de alrededor de 200 IP únicas comprometidas al mes hasta el primer trimestre de 2024, cuando los ataques disminuyeron.
El actor ha comprometido constantemente un gran número de organizaciones, a menudo más de 100 por mes, desde al menos 2022. Esto revela la naturaleza profesional y altamente agresiva de los ataques y es coherente con la actividad que esperaríamos de un IAB o afiliado de ransomware.
Tácticas, técnicas y procedimientos (TTPs) y herramientas del atacante
Durante el ataque que llevó al despliegue de BabyLockerKZt, el adversario utilizó varias herramientas de ataque conocidas públicamente y otras que podrían ser exclusivas de este actor. El grupo utilizó con frecuencia las carpetas de usuario Música, Imágenes o Documentos de los sistemas comprometidos para almacenar las herramientas de ataque. Los siguientes son dos ejemplos de rutas que se utilizaron para almacenar herramientas durante este ataque:
c:\users\<user>\music\advanced_port_scanner_2.5.3869.exe
c:\users\<user>\music\hrsword\hrsword install.bat
Cobertura
A continuación, se enumeran las formas en que las organizaciones pueden detectar y bloquear esta amenaza.
La marca Xerox será visible en el AMR24 en el Gran Premio de Las Vegas.
Yalo observa que la IA es una herramienta transformadora que está cambiando el juego para…
Más de 1 millón de dominios registrados podrían ser vulnerables diariamente
Hablamos de una tecnología que impulsa el desarrollo de contenido de forma autónoma a través…
Por Douglas Wallace, Gerente de Ventas de Distrito, América Latina y el Caribe (Excepto Brasil)…
Por Uriel Fraire, Regional Sales Manager Mexico de Universal Robots.