{"id":10186,"date":"2024-10-15T18:31:31","date_gmt":"2024-10-16T00:31:31","guid":{"rendered":"https:\/\/beaconlab.mx\/?p=6306"},"modified":"2024-10-15T18:31:31","modified_gmt":"2024-10-16T00:31:31","slug":"aumenta-la-actividad-del-grupo-ransomhub-en-latinoamerica","status":"publish","type":"post","link":"https:\/\/beaconlab.us\/es\/aumenta-la-actividad-del-grupo-ransomhub-en-latinoamerica\/","title":{"rendered":"Aumenta la actividad del Grupo RansomHub en latinoamerica"},"content":{"rendered":"

En el cambiante panorama de la ciberdelincuencia, ciertos grupos surgen como amenazas importantes para la seguridad global. Una de esas entidades, Ransomhub, ha ido escalando posiciones hasta convertirse en un actor destacado en el \u00e1mbito de los ataques de ransomware. Este enigm\u00e1tico grupo, que opera en las sombras del mundo digital, ha demostrado un nivel sofisticado de experiencia t\u00e9cnica y una b\u00fasqueda incesante de ganancias econ\u00f3micas.<\/p>\n

Las actividades de Ransomhub se han extendido mucho m\u00e1s all\u00e1 de los l\u00edmites de una sola naci\u00f3n, y se han dirigido a organizaciones de todos los tama\u00f1os y sectores. Su modus operandi a menudo implica infiltrarse en redes, cifrar datos confidenciales y exigir rescates cuantiosos a cambio de claves de descifrado. El impacto del grupo se ha sentido en todo el mundo, interrumpiendo servicios cr\u00edticos, causando p\u00e9rdidas financieras significativas y comprometiendo informaci\u00f3n confidencial.<\/p>\n

El grupo RansomHub realiz\u00f3 \u00faltimamente varios ataques a organizaciones de Latinoam\u00e9rica, incluido tambi\u00e9n empresas importantes y cr\u00edticas en M\u00e9xico.<\/strong><\/p>\n

\"\"<\/p>\n

RansomHub, al igual que otros grupos RaaS (Ransomware-as-a-Service) es conocido por su modelo de afiliados y su estrategia de doble extorsi\u00f3n: adem\u00e1s de cifrar los archivos y exigir un rescate por ellos, tambi\u00e9n amenaza con publicar los archivos filtrados en su portal p\u00fablico (\u201cHall of Shame\u201d \u2013 Muro de la verg\u00fcenza), de manera a aumentar las probabilidades que la v\u00edctima acceda al pago.<\/p>\n

\n

Cadena de ataque de Ransomhub<\/span><\/h2>\n
\n
\"La
La cadena de infecci\u00f3n de RansomHub que utiliza EDRKillShifter<\/figcaption><\/figure>\n<\/div>\n<\/div>\n
\n

Vector de acceso inicial<\/span><\/h2>\n

Los afiliados de RansomHub suelen comprometer sistemas expuestos a Internet y puntos finales de usuarios utilizando diversas t\u00e9cnicas. Entre los m\u00e9todos m\u00e1s comunes se encuentran:<\/p>\n

    \n
  1. Correos Electr\u00f3nicos de Phishing<\/strong>: Utilizan correos electr\u00f3nicos de phishing masivos y dirigidos para obtener acceso inicial a los sistemas.<\/li>\n
  2. Explotaci\u00f3n de Vulnerabilidades P\u00fablicas<\/strong>: Se aprovechan de vulnerabilidades conocidas en aplicaciones expuestas al p\u00fablico para ingresar a redes.<\/li>\n
  3. Robo de Credenciales<\/strong>: Ejecutan un ataque de Password Spraying<\/strong>, que busca comprometer cuentas de servicios expuestos debido a filtraciones de datos anteriores.<\/li>\n<\/ol>\n

    A continuaci\u00f3n se listan los exploit comumente explotados por este grupo:<\/p>\n\n

    \n

    Descubrimiento<\/h2>\n

    Los afiliados de RansomHub realizan escaneos de red utilizando herramientas como AngryIPScanner, Nmap y m\u00e9todos basados en PowerShell, aprovechando PowerShell para llevar a cabo el escaneo de la red.<\/p>\n

    \n

    Evasi\u00f3n de defensas<\/span><\/h2>\n

    Investigadores de ciberseguridad han observado que los afiliados renombraron el ejecutable del ransomware con nombres de archivos inocuos, como \u00abWindows.exe\u00bb, dej\u00e1ndolo en el escritorio del usuario (C:\\Users%USERNAME%\\Desktop) o en las descargas (C:\\Users%USERNAME%\\Downloads). Adem\u00e1s, hay reporte que los atacante eliminaron los registros del sistema en Windows y Linux para inhibir cualquier respuesta potencial a incidentes. Utilizaron Windows Management Instrumentation<\/strong>\u00a0 para desactivar productos antivirus.<\/p>\n

    El grupo RansomHub tambi\u00e9n se caracteriza \u00a0por utilizar t\u00e9cnicas para desactivar o terminar la detecci\u00f3n y respuesta de endpoints (EDR) para evadir la detecci\u00f3n y prolongar su presencia dentro de sistemas o redes comprometidos. Para dicha evasi\u00f3n han incorporado la herramienta EDRKillShifter dentro de su cadena de ataque.<\/p>\n

    \"\"<\/p>\n

    EDRKillShifter est\u00e1 dise\u00f1ado para explotar controladores vulnerables, desactivando la eficacia de las soluciones EDR mediante el empleo de t\u00e9cnicas para evadir la detecci\u00f3n e interrumpir los procesos de monitorizaci\u00f3n de seguridad. Adem\u00e1s, EDRKillShifter mejora los mecanismos de persistencia mediante el empleo de t\u00e9cnicas que garantizan su presencia continua dentro del sistema, incluso despu\u00e9s de que se descubran y limpien los ataques iniciales. Interrumpe din\u00e1micamente los procesos de seguridad en tiempo real y adapta sus m\u00e9todos a medida que evolucionan las capacidades de detecci\u00f3n, manteni\u00e9ndose un paso por delante de las herramientas EDR tradicionales. EDRKillShifter se integra perfectamente en toda la cadena de ataque, lo que garantiza que todas las fases de un ataque se beneficien de sus funcionalidades de desactivaci\u00f3n de EDR, lo que aumenta la eficacia general. Estos avances convierten a EDRKillShifter en una herramienta muy efectiva contra las soluciones de seguridad de endpoints convencionales, lo que requiere la adopci\u00f3n de medidas de seguridad m\u00e1s s\u00f3lidas y adaptables por parte de las organizaciones.<\/p>\n

    Escalaci\u00f3n de privilegios y movimiento lateral<\/h2>\n

    Despu\u00e9s del acceso inicial, los afiliados crean cuentas de usuario para mantener la persistencia, reactivan cuentas deshabilitadasy utilizan Mimikatz<\/strong> en sistemas Windows para recopilar credenciales y escalar privilegios a SYSTEM. Luego, se mueven lateralmente dentro de la red utilizando m\u00e9todos como Remote Desktop Protocol (RDP)<\/strong>, PsExec, Anydesk<\/strong>, Connectwise<\/strong>, N-Able<\/strong>, Cobalt Strike<\/strong>, Metasploit<\/strong> y otros m\u00e9todos de comando y control (C2) ampliamente utilizados.<\/p>\n

    Exfiltraci\u00f3n de datos<\/h2>\n

    Los m\u00e9todos de exfiltraci\u00f3n de datos dependen en gran medida del afiliado que conduzca la compromisi\u00f3n de la red. El binario del ransomware generalmente no incluye ning\u00fan mecanismo para la exfiltraci\u00f3n de datos. Se ha observado que la exfiltraci\u00f3n de datos se lleva a cabo mediante el uso de herramientas como PuTTY<\/strong>,Amazon AWS S3<\/strong>, solicitudes HTTP POST<\/strong>, WinSCP<\/strong>, Rclone<\/strong>, Cobalt Strike<\/strong>, Metasploit<\/strong> entre otros m\u00e9todos.<\/p>\n

    Cifrado<\/h2>\n

    La banda se caracteriza por utilizar el algoritmo Curve 25519, el cual utiliza una clave p\u00fablica\/privada que es \u00fanica para cada organizaci\u00f3n v\u00edctima. Antes de encriptar, el binario detiene los siguientes procesos:<\/p>\n