Grupo de ransomware Cuba observado explotando un grave error de Veeam

Una vulnerabilidad en el componente de Copia de Seguridad y Replicación de Veeam permite obtener las credenciales cifradas almacenadas en la base de datos de configuración, según la Investigación de Amenazas de BlackBerry. 

Se observó que el grupo de ransomware Cuba utilizaba el primer uso reportado de un exploit para un error grave de Veeam.

En una publicación de blog del 17 de agosto, la Investigación de Amenazas de BlackBerry informó que investigaron una campaña del grupo Cuba en junio que llevó a ataques a organizaciones dentro del sector de infraestructura crítica de Estados Unidos y un integrador de TI en América Latina.

La vulnerabilidad de Veeam — CVE-2023-27532 — era un error de alta gravedad con un CVSS de 7.5. NIST informó que el componente de Copia de Seguridad y Replicación de Veeam permite obtener las credenciales cifradas almacenadas en la base de datos de configuración, lo que puede llevar a obtener acceso a los hosts de infraestructura de copia de seguridad.

Basándose en el análisis de las cadenas del código, los investigadores de BlackBerry creen que el grupo de amenazas Cuba es de origen ruso. Esa teoría se fortaleció aún más porque el ransomware se termina automáticamente en hosts configurados en el idioma ruso, o en aquellos que tienen el diseño de teclado ruso presente, informaron los investigadores.

El ransomware Cuba — también conocido como COLDDRAW — apareció por primera vez en el panorama de amenazas en 2019 y ha acumulado una lista relativamente pequeña, pero cuidadosamente seleccionada de víctimas a lo largo de los años, dijeron los investigadores de BlackBerry. También es conocido como ransomware Fidel debido a un marcador característico colocado al principio de todos los archivos cifrados. Este marcador de archivo se utiliza como indicador tanto para el ransomware como para su descodificador de que el archivo ha sido cifrado.

A pesar de su nombre y el estilo nacionalista cubano en su sitio de filtraciones, es poco probable que el grupo de amenazas Cuba tenga alguna conexión o afiliación con la República de Cuba. Anteriormente se le relacionó con un actor de amenazas de habla rusa por investigadores de Profero debido a algunos detalles de mala traducción lingüística que descubrieron, así como el descubrimiento de una página web 404 que contiene texto en ruso en el propio sitio de filtraciones del actor de amenazas.

Los investigadores de BlackBerry también señalaron que a principios de este año, un aviso conjunto actualizado emitido por las fuerzas del orden de EE.UU. dijo que a partir de agosto de 2022, se creía que el grupo de ransomware Cuba había comprometido a 101 entidades, incluyendo 65 en Estados Unidos y 36 fuera de Estados Unidos. En ese tiempo, ha exigido 145 millones de dólares en pagos de rescate y ha recibido hasta 60 millones de dólares.

Es bien sabido que los actores de amenazas de ransomware a menudo desactivan la capacidad de recuperación durante un ataque, proporcionando así un mayor apalancamiento durante las negociaciones de rescate, dijo Andre van der Walt, director de inteligencia de amenazas en Ontinue. Este caso destaca la necesidad de que las organizaciones identifiquen servicios críticos en su entorno, identifiquen vulnerabilidades y apliquen regularmente parches u otras medidas de mitigación donde sea apropiado, dijo van der Walt.

"Los servicios de copia de seguridad y recuperación ciertamente entrarían en la definición de servicios críticos", dijo van der Walt. "El hecho de que el grupo de amenazas Cuba haya podido aprovechar esta vulnerabilidad crítica, después de que los exploits hayan estado disponibles libremente desde marzo de este año, habla mucho sobre el estado de la gestión de vulnerabilidades en general."

Este grupo de amenazas afiliado a Rusia es claramente sofisticado, empleando 29 técnicas diferentes de MITRE ATT&CK mientras navegan por la cadena de eliminación desde el acceso inicial hasta la evasión de defensa y el movimiento lateral, explicó Phil Neray, vicepresidente de Estrategia de Defensa Cibernética en CardinalOps. Neray dijo que cada vez vemos más copias de seguridad cifradas como objetivos de alto valor, ya sea un servicio de copia de seguridad de Veeam u otros servicios de copia de seguridad como los buckets de AWS S3.

"Las organizaciones deben protegerse implementando un monitoreo granular con detecciones que cubran todas estas técnicas de adversario y busquen accesos inusuales o no autorizados a las copias de seguridad", dijo Neray.

Fuente y créditos: Cuba ransomware group observed exploiting high-severity Veeam bug

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.