Es ya muy conocido que los servicios de Escritorio Remoto (Remote Desktop Protocol o RDP por sus siglas en inglés) son utilizados ampliamente por los cibercriminales como puerta de entrada en sus ataques, tanto por las vulnerabilidades existentes en sistemas Windows como por la poca robustez de las credenciales usadas por muchos de los usuarios y las insuficientes defensas usadas en muchas infraestructuras, quedando expuestos ante cualquier ataque por fuerza bruta. A pesar de esto, cientos de miles de equipos siguen teniendo expuestos servicios de RDP en Internet sin ningún tipo de protección.

•  Respecto a los ataques por RDP, pueden evitarse de una forma muy sencilla que muchos administradores de sistemas parecen olvidar dando pie a los problemas que luego lamentan relacionados con el ransomware.
• un nuevo grupo de ransomware que comenzó sus operaciones el pasado mes de agosto de este año 2022 se ha especializado precisamente en cifrar objetivos Windows con los servicios RDP expuestos. Este nuevo ransomware es conocido como «VENUS» y no tiene nada que ver con el ya conocido ransomware «VenusLocker» escrito en .NET que viene operando desde 2016.
  

Los actores de amenazas detrás del relativamente nuevo Venus Ransomware están atacando los servicios de escritorio remoto (RDP) expuestos públicamente para cifrar los dispositivos de Windows.

Venus Ransomware parece haber comenzado a operar a mediados de agosto de 2022 (muestra de septiembre) y desde entonces ha cifrado víctimas en todo el mundo. Sin embargo, hubo otro ransomware que usaba la misma extensión de archivo cifrado desde 2021, pero no está claro si están relacionados.

BleepingComputer publicó datos obtenidos a través de MalwareHunterTeam, quien fue contactado por el analista de seguridad Linuxct en busca de información al respecto. Linuxct dijo que los atacantes obtuvieron acceso a la red corporativa de la víctima a través del protocolo de escritorio remoto de Windows.

Otra víctima en los foros de BleepingComputer también informó que RDP se usaba para el acceso inicial a su red, incluso cuando se usaba un número de puerto no estándar para el servicio.

Cómo cifra Venus los dispositivos Windows

Cuando se ejecuta, el ransomware Venus intentará finalizar treinta y nueve procesos asociados con servidores de bases de datos y aplicaciones de Microsoft Office.

taskkill, msftesql.exe, sqlagent.exe, sqlbrowser.exe, sqlservr.exe, sqlwriter.exe, oracle.exe, ocssd.exe, dbsnmp.exe, synctime.exe, mydesktopqos.exe, agntsvc.exe, isqlplussvc.exe, xfssvccon.exe, mydesktopservice.exe, ocautoupds.exe, agntsvc.exe, agntsvc.exe, agntsvc.exe, encsvc.exe, firefoxconfig.exe, tbirdconfig.exe, ocomm.exe, mysqld.exe, mysqld-nt.exe, mysqld-opt.exe, dbeng50.exe, sqbcoreservice.exe, excel.exe, infopath.exe, msaccess.exe, mspub.exe, onenote.exe, outlook.exe, powerpnt.exe, sqlservr.exe, thebat64.exe, thunderbird.exe, winword.exe, wordpad.exe

El ransomware también elimina los registros de eventos y los volúmenes de instantáneas y deshabilita la prevención de ejecución de datos mediante el siguiente comando: 

wbadmin delete catalog -quiet && vssadmin.exe delete shadows /all /quiet && bcdedit.exe /set {current} nx AlwaysOff && wmic SHADOWCOPY DELETE

Una vez comienza a cifrar los archivos del equipo, les agrega al nombre de los mismos la extension .venus, cambiando por ejemplo un archivo llamado «notas.doc» a «notas.doc.venus». En cada archivo cifrado, el malware añade al código del mismo un marcador con el texto «goodgamer» y un corto fragmento de código adicional del que no se ha podido identificar cuál es su función todavía.

El ransomware comparte una dirección TOX y una dirección de correo electrónico que se pueden usar para contactar al atacante para negociar el pago de un rescate. Al final de la nota de rescate hay un blob codificado en Base64, que probablemente sea la clave de descifrado cifrada.

En este momento, el ransomware Venus está bastante activo, con nuevos envíos cargados a ID Ransomware diariamente. 

El grupo que opera este malware parece tener como objetivo los servicios de escritorio remoto expuestos públicamente, incluso aquellos que se ejecutan en puertos TCP no estándar. Es una creencia muy extendida entre administradores con poca experiencia en ciberseguridad que si utilizan un puerto distinto al estándar del RDP (puerto 3389) estarán seguros ante escaneos o ataques dirigidos a este servicio, cosa que no es cierta. Servicios de búsqueda de dispositivos como Shodan tiene identificados casi medio millón de equipos con este servicio expuesto y accesible desde Internet (honeypots incluidos).

Dado que el ransomware parece tener como objetivo los servicios de escritorio remoto expuestos públicamente, incluso aquellos que se ejecutan en puertos TCP no estándar, es vital proteger estos servicios con un firewall. Idealmente, ningún Servicio de escritorio remoto debe estar expuesto públicamente en Internet y solo debe ser accesible a través de una VPN.

Fuentes:
https://blog.segu-info.com.ar/2022/10/venus-nuevo-ransomware-que-se-aprovecha.html

https://unaaldia.hispasec.com/2022/10/nuevo-ransomware-venus-especializado-en-ataques-por-rdp-esta-causando-estragos-por-todo-el-mundo.html