Una novedosa familia de ransomware, bautizada como «3AM», ha emergido después de ser detectada en un incidente único. En este suceso, un afiliado no identificado desplegó esta cepa después de que fracasara en su intento de propagar LockBit (atribuido a Bitwise Spider o Syrphid) en la red objetivo.

Lo más destacable de 3AM es que está programado en Rust, lo que lo convierte en una entidad de malware completamente inédita. El modus operandi de este ransomware comienza antes de cifrar archivos, y es que 3AM intenta detener varios servicios que se ejecutan en el sistema infectado de varios productos de seguridad y copias de seguridad de proveedores como Veeam, Acronis, Ivanti, McAfee o Symantec. Una vez que se completa el proceso de cifrado, los archivos tienen la extensión .THREEAMTIME y el malware también intenta eliminar las copias de seguridad de Volume Shadow que podrían utilizarse para recuperar los datos.

La extorsión del ransomware 3AM sigue la tendencia común de robar datos antes de cifrarlos y dejar una nota de rescate (de donde proviene la denominación «3AM») amenazando con vender la información robada a menos que el atacante reciba un pago. A continuación, se muestra una copia editada del texto de la nota de rescate adjunta en un archivo llamado ‘RECOVER-FILES.txt‘ que está presente en cada carpeta que el malware escanea:

"Hello. "3 am" The time of mysticism, isn't it?

All your files are mysteriously encrypted, and the systems "show no signs of
life", the backups disappeared. But we can correct this very quickly and return
all your files and operation of the systems to original state.

All your attempts to restore data by himself will definitely lead to their
damage and the impossibility of recovery. We are not recommended to you to
do it on our own!!! (or do at your own peril and risk).


There is another important point: we stole a fairly large amount of sensitive
data from your local network: financial documents; personal information of your
employees, customers, partners; work documentation, postal correspondence and much more.

We prefer to keep it secret, we have no goal to destroy your business.
Therefore can be no leakage on our part.

We propose to reach an agreement and conclude a deal.


Otherwise, your data will be sold to DarkNet/DarkWeb. One can only guess how
they will be used.

Please contact us as soon as possible, using Tor-browser:
http://threeamxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.onion/recovery

Access key:
xxx"

RECOVER-FILES.txt (https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/3am-ransomware-lockbit)

La operación cuenta con un sitio de negociación muy básico en la red Tor que solo proporciona acceso a una ventana de chat de negociación basada en una clave de acceso proporcionada en la nota de rescate.

En el incidente detectado por Symantec, se informa que el atacante logró implementar el ransomware en tres máquinas de la red de la organización, aunque se encontró con obstáculos en dos de ellas.

Este ataque se distingue por el uso de varios componentes de Cobalt Strike en la fase de post-explotación y el uso de PsExec en la escalada de privilegios, seguido por la ejecución de comandos de reconocimiento (por ejemplo, whoami, netstat, quser y net share) y comandos destinados a identificar otros servidores para su movimiento lateral (por ejemplo, quser o net view). La vía exacta de entrada empleada en el ataque no se encuentra totalmente esclarecida.

Adicionalmente, se observó la creación de un nuevo usuario para asegurar la persistencia, así como el uso de la herramienta Wput para transferir archivos de las víctimas a un servidor FTP controlado por el atacante.

El ejecutable de 3AM, escrito en Rust y de 64 bits, ha sido diseñado para reconocer una serie de comandos destinados a detener programas relacionados con la seguridad y las copias de seguridad, cifrar archivos siguiendo criterios específicos y eliminar las copias de seguridad en sombra de volumen:

• «-k» – 32 caracteres en Base64, la «clave de acceso» en la nota de rescate.
• «-p» – desconocido
• «-h» – desconocido
• «-m» – método, donde el código verifica uno de dos valores antes de ejecutar la lógica de cifrado: «local» o «net»
• «-s» – determina desplazamientos dentro de los archivos para controlar la velocidad de cifrado, expresada como dígitos decimales.

Aunque los orígenes precisos de este ransomware permanecen desconocidos, existen pruebas que sugieren que el afiliado que lo empleó podría estar orientando sus acciones hacia otras entidades, como se mencionó en una publicación compartida en Reddit el 9 de septiembre de 2023.

«Nosotros mismos no hemos encontrado evidencia que indique que este actor de amenazas haya utilizado 3AM de nuevo, pero no nos sorprendería ver informes adicionales sobre su uso. Si un afiliado experimentado de LockBit lo está utilizando como alternativa, sugiere que los atacantes lo ven como una amenaza creíble».

Afirmó Dick O’Brien, analista principal de inteligencia de Symantec.

Symantec subraya que los afiliados de ransomware han ido adquiriendo cada vez más independencia respecto a los operadores de ransomware.

Aunque con frecuencia surgen nuevas familias de ransomware, la mayoría de ellas desaparecen tan rápido como aparecen o no logran ganar un alcance significativo. Sin embargo, el hecho de que 3AM haya sido empleado como un recurso de respaldo por un afiliado de LockBit sugiere que podría resultar de interés para los atacantes y podría resurgir en el futuro.

Más información:

• https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/3am-ransomware-lockbit
• https://www.reddit.com/r/hacking/comments/16domi3/anyone_recognize_this_ransomware/