LockBit está utilizando RMMs para propagar su ransomware

El grupo LockBit está aprovechando el software de gestión de monitoreo remoto (RMM) nativo para vivir del terreno, implantarse y luego propagarse antes de desplegar su ransomware.

El grupo de ransomware LockBit está aprovechando el software de monitoreo y gestión remota (RMM) para expandir su presencia en redes específicas.

Tres ataques recientes descritos en un informe publicado el 18 de septiembre por eSentire, con sede en Canadá, siguen una trayectoria similar: un afiliado de LockBit aprovecha instancias de RMM expuestas o lleva su propio RMM a la fiesta, viviendo del terreno (LotL) para consolidar su presencia en las redes de las víctimas. Dos de estos casos afectaron a fabricantes y uno golpeó a un proveedor de servicios gestionados (MSP), lo que permitió al grupo comprometer aún más a algunos de sus clientes aguas abajo.

"Hay una tendencia general hacia vivir del terreno, donde simplemente evitan el malware. Punto. Incluso para el acceso inicial", explica Keegan Keplinger, investigador senior de inteligencia de amenazas de la Unidad de Respuesta a Amenazas de eSentire. "Quieren obtener credenciales válidas y usar esas credenciales legítimas para ingresar".

Cómo LockBit utiliza RMMs

En junio, la Agencia de Seguridad Cibernética e Infraestructura (CISA) publicó un aviso de seguridad cibernética sobre LockBit, y con razón. Argumentablemente, ningún grupo de ciberdelincuentes, ya sea en el juego de ransomware como servicio u otro, ha sido tan prolífico en 2023, con ataques que parecen dirigirse a casi todos los sectores posibles y a todo tipo de dispositivos, a menudo obteniendo grandes pagos.

El aviso detalla las tácticas, técnicas y procedimientos (TTP) preferidos del grupo, incluyendo su preferencia por aprovechar los RMMs.

En un ataque de febrero de 2022 contra un fabricante de decoración para el hogar, por ejemplo, los investigadores de amenazas de eSentire descubrieron un afiliado de LockBit con acceso de administrador en una máquina desprotegida, tratando de establecer persistencia y propagarse a otras computadoras a través del RMM AnyDesk.

"Especialmente en el último año, los actores de amenazas han estado cambiando a no usar malware", explica Keplinger, refiriéndose a cómo los piratas informáticos establecen la persistencia y se propagan dentro de las redes. "El malware a menudo es detectado por antivirus y, si no lo es, por tecnología avanzada de endpoint. Así que siempre que puedas usar software que ya esté en el entorno o que pueda ser concebiblemente legítimo, algunas personas pueden no reconocerlo como malicioso de inmediato".

LockBit confiaba en esto en un ataque de junio contra un fabricante de materiales de almacenamiento, que se consideraba cliente del RMM ConnectWise. En este caso, los investigadores especularon que el actor de amenazas no pudo robar las credenciales necesarias para iniciar sesión en el entorno de ConnectWise de la empresa. Entonces, en su lugar, instaló su propia segunda instancia de ConnectWise en la red.

"Es bastante brillante, porque dijeron: 'Ya sabemos que ConnectWise está en esta organización objetivo en particular. Así que traeremos el nuestro y nadie realmente notará que hay otra instancia'".

La Magnitud de la Amenaza de LockBit

Las organizaciones que disfrutan de los beneficios de los RMMs, sin aplicar controles de seguridad adecuados para prevenir su abuso, pueden exponer no solo a sí mismas, sino también a socios y clientes, como demuestra el ataque de MSP de LockBit en febrero.

El MSP en cuestión había dejado su panel de inicio de sesión de ConnectWise expuesto a Internet. La justificación, especularon los investigadores, era facilitar que los administradores de TI de sus clientes accedieran al servicio. Pero mediante fuerza bruta o simplemente comprándolas en la Dark Web, los atacantes obtuvieron las credenciales necesarias para abrirse camino. En cinco minutos de intrusión, LockBit comenzó a dejar caer sus binarios de ransomware en múltiples puntos finales.

"Pueden entrar prácticamente sin obstáculos cuando acceden a esas herramientas y obtienen credenciales de administrador", lamenta Keplinger. De hecho, antes de que se detuviera, el grupo había utilizado las capacidades de acceso remoto del RMM para llegar a clientes en sectores de fabricación, servicios empresariales, hospitalidad y transporte.

Las empresas pueden fortalecerse contra este tipo de abuso aplicando autenticación multifactor y controles de acceso estrictos a estas potentes herramientas. Y, agrega Keplinger, "la monitorización de puntos finales es probablemente la mayor diferencia que está deteniendo y previniendo estos ataques".

"Son muy exitosos", advierte sobre LockBit, para aquellos que aún no estén convencidos. "Muy omnipresentes y muy destructivos".

Fuente y créditos: LockBit Is Using RMMs to Spread Its Ransomware (darkreading.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.