La empresa española de ingeniería y tecnología para los sectores de la defensa, la seguridad, la energía y las telecomunicaciones Amper ha sufrido un ciberataque en el que los ciberdelicuentes se habrían apoderado de 650 gigas de datos relativos a proyectos, usuarios y también de sus empleados (nóminas y datos financieros).

 

 

 Empresa de ingeniería y tecnología para la defensa, la seguridad, la energía y las telecomunicaciones

Si bien Amper todavía no ha confirmado la magnitud del ciberataque, este habría sido perpetrado por el grupo organizado de ciberdelincuentes conocido como Black Basta, nombre por el que se conoce también a su propio 'ransomware'. 

 

“Emergió por primera vez en la primavera de 2022, operando bajo el modelo de 'ransomware' como servicio (RaaS). Esta organización rápidamente se estableció como uno de los actores de amenaza más destacados en el ámbito del RaaS a nivel mundial”, según la información facilitada por el Instituto Nacional de Ciberseguridad de España (Incibe) en su web. 

Más de 500 organizaciones en todo el mundo, desde pequeñas empresas hasta grandes corporaciones, han sido afectadas por Black Basta, que ha demostrado ser una amenaza significativa. El alcance del ataque ha generado inquietud y ha cuestionado la solidez de nuestra infraestructura digital.

Su capacidad para eludir las defensas tradicionales y el cifrado de datos críticos hace que Black Basta sea particularmente preocupante en comparación con otros ramsomware.

Las cadenas de ataques que han involucrado ransomware se han apoyado en herramientas como el escáner de red SoftPerfect, BITSAdmin, balizas de Cobalt Strike, ConnectWise ScreenConnect y PsExec para el movimiento lateral, así como en Mimikatz para la escalada de privilegios y RClone para la filtración de datos previa al cifrado.

Además, se han utilizado otros métodos para obtener privilegios elevados, como la explotación de vulnerabilidades de seguridad como ZeroLogon (CVE-2020-1472), NoPac (CVE-2021-42278 y CVE-2021-42287) y PrintNightmare (CVE-2021-34527). 

Infección y propagación

Black Basta empleaba técnicas de phishing para infiltrarse en las redes de sus objetivos, aprovechando métodos que evitan la detección por parte de soluciones antivirus, como el envío de correos electrónicos que incitan a las víctimas a descargar un archivo ZIP que contenía una imagen ISO, una estrategia diseñada para eludir los mecanismos de seguridad, ya que los archivos ISO no son comúnmente bloqueados o marcados como peligrosos por los sistemas de seguridad. El proceso de infección se sirve de diferentes métodos y vulnerabilidades para llevarse a cabo: 

• Acceso inicial con Qakbot (CVE-2022-30190): en el escenario típico observado en sistemas Windows, la imagen ISO contiene una DLL maliciosa infectada con Qakbot, un troyano bien conocido, también identificado como Qbot o Pinkslipbot. Algunas muestras de IOC revelaron un hijacking del proceso de la calculadora de Windows (calc.exe). Este método podría permitir a los atacantes ejecutar código malicioso en el sistema de la víctima con una apariencia de legitimidad, reduciendo las posibilidades de detección. Una vez que la víctima lo instala en el sistema, el malware es capaz de realizar diferentes acciones maliciosas, como monitorizar, registrar pulsaciones de teclas, recolectar credenciales de acceso y propagarse a otros sistemas de la red mediante técnicas de movimiento lateral. Una vez dentro del sistema, utiliza nombres engañosos dentro de la unidad raíz como “C:\Dell” o “C:\Intel” para desplegar parte del arsenal malicioso.
• Escalada de privilegios (CVE-2020-1472, CVE-2021-42287 y CVE-2021-34527): El escaneo de redes se lleva a cabo utilizando herramientas como SoftPerfect, netscan.exe y los servicios WMI, para identificar y deshabilitar diferentes productos de seguridad. Una vez que Black Basta infecta un sistema, inicia su fase de propagación, realizando un análisis detallado de la red mediante el uso de comandos como net view, arp, ipconfig o netstat para mapear los potenciales objetivos adicionales. Posteriormente, se sirve de herramientas de extracción de credenciales, como Mimikatz para adquirir contraseñas y hashes NTLM, lo que le permite realizar una escalada de privilegios. 

Vinculan al Ransomware Black Basta con los ciberdelincuentes rusos FIN7

Fuentes:

https://www.eldiario.es/tecnologia/grupo-amper-sufre-ciberataque-le-roban-650-gigas-datos-proyectos-empleados_1_11459146.html

https://www.securityartwork.es/2024/05/20/ransomware-black-basta/

https://www.incibe.es/incibe-cert/blog/black-basta-acciones-de-respuesta-y-recuperacion

rel="nofollow" target="_blank"https://unaaldia.hispasec.com/2022/11/vinculan-ransomware-black-basta-con-los-ciberdelincuentes-rusos-fin7.html