Se informa de una nueva cepa de ransomware Epsilon Red
Por: Stu Sjouwerman
Los investigadores de Sophos informan que han encontrado una nueva cepa de ransomware en la naturaleza. Lo llaman "Epsilon Red". El malware está escrito en GO y se entregó como la carga útil ejecutable final en un ataque controlado manualmente contra un objetivo en el sector hotelero de EE. UU.
“Parece que un servidor Microsoft Exchange empresarial fue el punto inicial de entrada de los atacantes a la red empresarial”, dijo Sophos. “No está claro si esto fue habilitado por el exploit de ProxyLogon u otra vulnerabilidad, pero parece probable que la causa principal fuera un servidor sin parches. Desde esa máquina, los atacantes utilizaron WMI para instalar otro software en las máquinas dentro de la red a las que podían acceder desde el servidor Exchange ".
¿Por qué Epsilon Red? Sophos comparte la etimología, que puede ser una novedad para cualquiera que no esté completamente al tanto del universo Marvel. En este caso, el nombre proviene de los propios actores de la amenaza.
“El nombre Epsilon Red, como muchos acuñados por los actores de amenazas de ransomware, es una referencia a la cultura pop. El personaje Epsilon Red era un adversario relativamente oscuro de algunos de los X-Men en el universo extendido de Marvel, un 'súper soldado' supuestamente de origen ruso, luciendo cuatro tentáculos mecánicos y una mala actitud ".
Si bien la campaña utiliza capas complejas de engaño, el ransomware propiamente dicho es, dice Sophos, "barebones". Es un ejecutable de Windows de 64 bits y todo lo que hace es cifrar los archivos en el sistema de destino. Otras funciones, como la comunicación, la eliminación de instantáneas, la eliminación de procesos, etc., han sido, según los investigadores, "subcontratadas" a los scripts de PowerShell. Todo el paquete Red Epsilon realiza estas acciones contra sus objetivos:
- Mata procesos y servicios para herramientas de seguridad, bases de datos, programas de respaldo, aplicaciones de Office y clientes de correo electrónico.
- Elimina las instantáneas de volumen.
- Roba los hash de contraseña contenidos en el archivo Security Account Manager.
- Elimina los registros de eventos de Windows.
- Deshabilita Windows Defender.
- Suspende procesos seleccionados.
- Desinstala herramientas de seguridad (herramientas incluidas de Sophos, Trend Micro, Cylance, MalwareBytes, Sentinel One, Vipre y Webroot).
- Finalmente, amplía los permisos en el sistema.
Las instancias vulnerables de Microsoft Exchange Server han sido el punto de entrada de Epsilon Red en las redes de víctimas. Los parches y otros elementos esenciales de la higiene cibernética son asuntos para los operadores humanos, y cuanto más conscientes, más alertas están a las consecuencias de los fallos, mejor para la seguridad de su organización. La capacitación en concientización sobre seguridad en las escuelas nuevas nunca es una mala idea.
Comentarios
Publicar un comentario