Fuga del software creador de Ransomware LockBit 3.0 da lugar a cientos de nuevas variantes

La fuga del creador de ransomware LockBit 3.0 el año pasado ha llevado a actores de amenazas a abusar de la herramienta para generar nuevas variantes.

La empresa de ciberseguridad rusa Kaspersky dijo que detectó una intrusión de ransomware que desplegó una versión de LockBit pero con un procedimiento de demanda de rescate notablemente diferente.

"El atacante detrás de este incidente decidió usar una nota de rescate diferente con un encabezado relacionado con un grupo previamente desconocido, llamado AGENCIA DE PELIGRO NACIONAL" (NATIONAL HAZARD AGENCY), dijeron los investigadores de seguridad Eduardo Ovalle y Francesco Figurelli.

La nota de rescate renovada especificaba directamente la cantidad a pagar para obtener las claves de descifrado y dirigía las comunicaciones a un servicio Tox y correo electrónico, a diferencia del grupo LockBit, que no menciona la cantidad y utiliza su propia plataforma de comunicación y negociación.

AGENCIA DE PELIGRO NACIONAL está lejos de ser la única banda de cibercrimen que utiliza el creador de LockBit 3.0 filtrado. Algunos de los otros actores de amenazas conocidos por aprovecharlo incluyen a Bl00dy y Buhti.

Kaspersky señaló que detectó un total de 396 muestras distintas de LockBit en su telemetría, de las cuales 312 artefactos fueron creados usando los creadores filtrados. Hasta 77 muestras no hacen referencia a "LockBit" en la nota de rescate.

"Muchos de los parámetros detectados corresponden a la configuración predeterminada del creador, solo algunos contienen cambios menores", dijeron los investigadores. "Esto indica que las muestras probablemente fueron desarrolladas para necesidades urgentes o posiblemente por actores perezosos."

La revelación llega cuando Netenrich profundizó en una cepa de ransomware llamada ADHUBLLKA que ha sido rebrandeada varias veces desde 2019 (BIT, LOLKEK, OBZ, U2K y TZW), mientras se dirigía a individuos y pequeñas empresas a cambio de pagos insignificantes en el rango de $800 a $1,600 de cada víctima.

Aunque cada una de estas iteraciones viene con ligeras modificaciones en los esquemas de cifrado, notas de rescate y métodos de comunicación, una inspección más cercana los ha relacionado todos con ADHUBLLKA debido a similitudes en el código fuente e infraestructura.

"Cuando un ransomware tiene éxito en el mundo real, es común ver a los ciberdelincuentes usar las mismas muestras de ransomware, ajustando ligeramente su base de código, para pilotar otros proyectos", dijo el investigador de seguridad Rakesh Krishnan.

"Por ejemplo, pueden cambiar el esquema de cifrado, las notas de rescate o los canales de comunicación de comando y control (C2) y luego reinventarse como un 'nuevo' ransomware."

El ransomware sigue siendo un ecosistema en constante evolución, presenciando cambios frecuentes en tácticas y objetivos para centrarse cada vez más en entornos Linux utilizando familias como Trigona, Monti y Akira, esta última de las cuales comparte vínculos con actores de amenazas afiliados a Conti.

Akira también ha sido vinculado a ataques que utilizan productos VPN de Cisco como vector de ataque para obtener acceso no autorizado a redes empresariales. Cisco ha reconocido desde entonces que los actores de amenazas están atacando VPNs de Cisco que no están configurados para autenticación multifactor.

"Los atacantes a menudo se centran en la ausencia de o vulnerabilidades conocidas en la autenticación multifactor (MFA) y vulnerabilidades conocidas en el software VPN", dijo el principal equipo de redes.

"Una vez que los atacantes han obtenido un punto de apoyo en una red objetivo, intentan extraer credenciales a través de volcados LSASS (Local Security Authority Subsystem Service) para facilitar el movimiento adicional dentro de la red y elevar privilegios si es necesario."

El desarrollo también se produce en medio de un aumento récord en los ataques de ransomware, con el grupo de ransomware Cl0p habiendo violado 1,000 organizaciones conocidas explotando fallas en la aplicación MOVEit Transfer para obtener acceso inicial y cifrar redes específicas.

Las entidades con sede en EE. UU. representan el 83.9% de las víctimas corporativas, seguidas por Alemania (3.6%), Canadá (2.6%) y el Reino Unido (2.1%). Se dice que más de 60 millones de individuos han sido impactados por la campaña de explotación masiva que comenzó en mayo de 2023.

Sin embargo, el radio de impacto del ataque de ransomware de la cadena de suministro probablemente sea mucho mayor. Las estimaciones muestran que se espera que los actores de amenazas obtengan ganancias ilícitas en el rango de $75 millones a $100 millones de sus esfuerzos.

"Mientras que la campaña MOVEit puede terminar impactando a más de 1,000 empresas directamente, y un orden de magnitud más indirectamente, un porcentaje muy muy pequeño de las víctimas se molestó en intentar negociar, y mucho menos contempló pagar", dijo Coveware.

"Aquellos que pagaron, pagaron sustancialmente más que las campañas anteriores de CloP, y varias veces más que el monto promedio global de rescate de $740,144 (+126% desde el Q1 2023)."

Además, según el Informe de Adversario Activo 2023 de Sophos, el tiempo de permanencia mediano para los incidentes de ransomware disminuyó de nueve días en 2022 a cinco días en la primera mitad de 2023, lo que indica que "las bandas de ransomware se están moviendo más rápido que nunca".

En contraste, el tiempo de permanencia mediano para incidentes no relacionados con ransomware aumentó de 11 a 13 días. El tiempo máximo de permanencia observado durante el período fue de 112 días.

"En el 81% de los ataques de ransomware, la carga útil final se lanzó fuera del horario laboral tradicional, y de los que se desplegaron durante el horario laboral, solo cinco ocurrieron un día laborable", dijo la empresa de ciberseguridad. "Casi la mitad (

43%) de los ataques de ransomware fueron detectados el viernes o sábado."

Fuente y créditos: LockBit 3.0 Ransomware Builder Leak Gives Rise to Hundreds of New Variants (thehackernews.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.