Los actores de RansomHub explotan la vulnerabilidad ZeroLogon en ataques recientes de ransomware

En ataques recientes con el amenazador ransomware RansomHub, los atacantes explotaron la llamada falla ZeroLogon en el protocolo remoto Windows Netlogon de 2020 (CVE-2020-1472) para obtener acceso inicial al entorno de la víctima.

Antes de implementar el ransomware, los atacantes utilizaron varias herramientas de doble uso, incluidos productos de acceso remoto de empresas como Atera y Splashtop, así como escáneres de red de NetScan, por nombrar algunos, según investigadores de Symantec Broadcom dijo un informe esta semana.

«Atera y Splashtop se utilizaron para permitir el acceso remoto, mientras que NetScan probablemente se utilizó para descubrir y recuperar información sobre dispositivos de red», dijo Symantec. «La carga útil de RansomHub utilizó las herramientas de línea de comandos iisreset.exe y iisrstas.exe para detener todos los servicios de Internet Information Services (IIS)».

Inicio de sesión cero Implica una escalada de privilegios que ocurre cuando un atacante establece una conexión de canal seguro Netlogon vulnerable a un controlador de dominio utilizando el protocolo remoto Netlogon, dice Adam Neel, ingeniero senior de detección de amenazas en Critical Start. «Será muy importante que las organizaciones se aseguren de que esta vulnerabilidad esté parcheada y mitigada para proteger contra los ataques de RansomHub».

Un actor de amenazas oportunista

RansomHub es una operación de ransomware como servicio (RaaS) y una amenaza de malware que ha atraído considerable atención desde que apareció por primera vez en febrero. Symantec lo sitúa actualmente como el cuarto ransomware más común en términos de número de víctimas, después de Lockbit. recientemente retiradoJugando y Qilin.

BlackFog, uno de los varios proveedores de seguridad que rastrean la amenaza, ha más de cinco docenas de organizaciones enumeradas que RansomHub ha sido víctima de estafadores en los pocos meses de su existencia. Muchas parecen ser empresas pequeñas y medianas, aunque hay algunos nombres muy conocidos, sobre todo Christie’s Auction House y Grupo UnitedHealth Cambio de filial Sanidad.

Dick O’Brien, analista senior de inteligencia del equipo de búsqueda de amenazas de Symantec, dice que el grupo ha hecho públicas 61 víctimas en los últimos tres meses. En comparación, Lockbit tuvo 489 víctimas, el grupo Play tuvo 101 y Qilin tuvo 92, dice.

RansomHub forma parte de un pequeño grupo de operadores de RaaS que han surgido a raíz de los recientes desmantelamientos policiales de las empresas de ransomware Lockbit y ALPHV/Gato NegroEl grupo ha tratado de capitalizar la incertidumbre y la desconfianza creadas por los cierres. atraer nuevos socios para su RaaS. Una de sus tácticas es ofrecer a los socios la oportunidad de cobrar rescates directamente de las víctimas y luego pagar a RansomHub un descuento del 10%. Esto es muy diferente del modelo habitual, en el que el operador RaaS cobra los pagos de rescate de las víctimas y luego paga una parte al socio.

Amplia superposición de código con Knight Ransomware

Según Symantec, existen varias superposiciones de código entre RansomHub y una familia de ransomware más antigua y ahora desaparecida llamada Knight. La superposición de códigos es tan amplia que resulta muy difícil distinguir entre las dos amenazas. Ambas cargas útiles están escritas en el lenguaje de programación Go y utilizan el mismo ofuscador, Gobfuscate. Ambos tienen menús de ayuda casi idénticos; codifican cadenas de código importantes exactamente de la misma manera y las decodifican en tiempo de ejecución; pueden reiniciar un punto final de destino en modo seguro antes del cifrado y tener el mismo flujo de ejecución de comandos. Incluso las demandas de rescate asociadas con Knight y RansomHub son casi idénticas, y muchas de las frases de Knight aparecen palabra por palabra en RansomHub, dijo Symantec.

«[However]»A pesar de los orígenes compartidos, es poco probable que los desarrolladores de Knight estén ejecutando RansomHub ahora», dijo Symantec. Más bien, los operadores de RansomHub compraron el código fuente de Knight cuando los operadores de este último lo pusieron a la venta a principios de este año y simplemente lo están reutilizando ahora. La principal diferencia entre las dos familias de ransomware son los comandos que se ejecutan a través de cmd.exe», señaló el proveedor de seguridad. «Estos comandos se pueden configurar al crear la carga útil o durante la configuración».

Es poco probable que el descubrimiento de Symantec de que RansomHub se basó en el código Knight haga una gran diferencia para las víctimas u otras personas objetivo del grupo. Pero proporciona una capa adicional de información sobre el grupo y sus TTP.

«El grupo está creciendo rápidamente y va camino de convertirse en uno de los grupos de ransomware más prolíficos en 2024», afirma Neel. “También vale la pena señalar que su reciente éxito y notoriedad les han permitido reclutar a antiguos miembros del grupo de ransomware Blackcat/ALPHV. Esto les permite aprovechar el conocimiento y las herramientas de este grupo para mejorar aún más sus habilidades”, señala.