La empresa española de ingeniería y tecnología para los sectores de la defensa, la seguridad, la energía y las telecomunicaciones Amper ha sufrido un ciberataque en el que los ciberdelicuentes se habrían apoderado de 650 gigas de datos relativos a proyectos, usuarios y también de sus empleados (nóminas y datos financieros).
Empresa de ingeniería y tecnología para la defensa, la seguridad, la energía y las telecomunicaciones
Si bien Amper todavía no ha confirmado la magnitud del ciberataque, este habría sido perpetrado por el grupo organizado de ciberdelincuentes conocido como Black Basta, nombre por el que se conoce también a su propio 'ransomware'.
“Emergió por primera vez en la primavera de 2022, operando bajo el modelo de 'ransomware' como servicio (RaaS). Esta organización rápidamente se estableció como uno de los actores de amenaza más destacados en el ámbito del RaaS a nivel mundial”, según la información facilitada por el Instituto Nacional de Ciberseguridad de España (Incibe) en su web.
Más de 500 organizaciones en todo el mundo, desde pequeñas empresas hasta grandes corporaciones, han sido afectadas por Black Basta, que ha demostrado ser una amenaza significativa. El alcance del ataque ha generado inquietud y ha cuestionado la solidez de nuestra infraestructura digital.
Su capacidad para eludir las defensas tradicionales y el cifrado de datos críticos hace que Black Basta sea particularmente preocupante en comparación con otros ramsomware.
Las cadenas de ataques que han involucrado ransomware se han apoyado en herramientas como el escáner de red SoftPerfect, BITSAdmin, balizas de Cobalt Strike, ConnectWise ScreenConnect y PsExec para el movimiento lateral, así como en Mimikatz para la escalada de privilegios y RClone para la filtración de datos previa al cifrado.
Además, se han utilizado otros métodos para obtener privilegios elevados, como la explotación de vulnerabilidades de seguridad como ZeroLogon (CVE-2020-1472), NoPac (CVE-2021-42278 y CVE-2021-42287) y PrintNightmare (CVE-2021-34527).
Infección y propagación
Black Basta empleaba técnicas de phishing para infiltrarse en las redes de sus objetivos, aprovechando métodos que evitan la detección por parte de soluciones antivirus, como el envío de correos electrónicos que incitan a las víctimas a descargar un archivo ZIP que contenía una imagen ISO, una estrategia diseñada para eludir los mecanismos de seguridad, ya que los archivos ISO no son comúnmente bloqueados o marcados como peligrosos por los sistemas de seguridad. El proceso de infección se sirve de diferentes métodos y vulnerabilidades para llevarse a cabo:
- Acceso inicial con Qakbot (CVE-2022-30190): en el escenario típico observado en sistemas Windows, la imagen ISO contiene una DLL maliciosa infectada con Qakbot, un troyano bien conocido, también identificado como Qbot o Pinkslipbot. Algunas muestras de IOC revelaron un hijacking del proceso de la calculadora de Windows (calc.exe). Este método podría permitir a los atacantes ejecutar código malicioso en el sistema de la víctima con una apariencia de legitimidad, reduciendo las posibilidades de detección. Una vez que la víctima lo instala en el sistema, el malware es capaz de realizar diferentes acciones maliciosas, como monitorizar, registrar pulsaciones de teclas, recolectar credenciales de acceso y propagarse a otros sistemas de la red mediante técnicas de movimiento lateral. Una vez dentro del sistema, utiliza nombres engañosos dentro de la unidad raíz como “C:\Dell” o “C:\Intel” para desplegar parte del arsenal malicioso.
- Escalada de privilegios (CVE-2020-1472, CVE-2021-42287 y CVE-2021-34527): El escaneo de redes se lleva a cabo utilizando herramientas como SoftPerfect, netscan.exe y los servicios WMI, para identificar y deshabilitar diferentes productos de seguridad. Una vez que Black Basta infecta un sistema, inicia su fase de propagación, realizando un análisis detallado de la red mediante el uso de comandos como net view, arp, ipconfig o netstat para mapear los potenciales objetivos adicionales. Posteriormente, se sirve de herramientas de extracción de credenciales, como Mimikatz para adquirir contraseñas y hashes NTLM, lo que le permite realizar una escalada de privilegios.
Vinculan al Ransomware Black Basta con los ciberdelincuentes rusos FIN7
Se han encontrado evidencias para relacionar al conocido ransomware Black Basta con los ciberdelincuentes rusos FIN7 (también conocido como Carbanak).
Por parte de SentinelLab, han realizado diferentes análisis a varias de las herramientas personalizadas utilizadas por este grupo de ciberdelincuentes que podrían enlazarlos, indicando que podrían trabajar juntos o compartir integrantes.
El ransomware Black Basta apareció en abril de 2022 aproximadamente y rápidamente comenzaron a hacerse nombre y realizar multitud de ataques exitosos contra diferentes compañías, lo que nos deja claro lo organizados que pueden llegar a estar.
En el informe completo de SentinelLabs podemos ver un análisis en profundidad de este grupo, así como sus herramientas, las cuales nos podrían indicar que fueron desarrolladas por uno o varios integrantes de FIN7.
En múltiples incidentes de Black Basta, los ciberdelincuentes hicieron uso de una herramienta para eliminar la seguridad personalizada. Esta herramienta se utilizó en incidentes después de que Black Basta apareciese, por lo que es muy probable que pertenezca a este grupo.
Indican desde la investigación de SentinelLab que todo esto les llevó a otra herramienta personalizada «WindefCheck.exe«, empaquetado con UPX que si lo desempaquetamos muestra un binario compilado en Visual Basic el cual simplemente mostraría una interfaz gráfica, clonando a la de seguridad de Windows, la cual mostrará que todos los sistemas están protegidos (cuando esto no es real al estar los sistemas deshabilitados).
El análisis de esta herramienta les llevó a obtener más muestras
empaquetadas con un empaquetador desconocido e identificando una de
ellas cómo el backdoor BIRDDOG (también conocido como SocksBot) y conectándose a un servidor C2 en la dirección IP 45[.]67[.]229[.]148. Este backdoor ha sido utilizado en múltiples ocasiones por el grupo FIN7.
Además, se observa que la dirección IP antes descrita está alojada en «pq.hosting», el proveedor de hosting elegido por FIN7.
A raíz de este descubrimiento se descubrieron otras muestras, las cuales después de desempaquetarlas se conectaban al dominio «jardinoks.com«.
Evalúan que es probable que el ciberdelincuente que desarrolla herramientas utilizadas por Black Basta sea el mismo con acceso al código fuente del empaquetador desconocido utilizado en las operaciones de FIN7, estableciendo así una conexión entre Black Basta y FIN7.
Black Basta cifra los datos de las víctimas mediante una combinación de ChaCha20 y RSA-4096. La clave de cifrado es generada utilizando la función de C++ rand_s, resultando en una salida hexadecimal aleatoria. Antes de comenzar todo el proceso, se iniciará el sistema en modo seguro para, a continuación, comenzar a cifrar todos los archivos del dispositivo. Para acelerar el proceso y mejorar su eficiencia, el ransomware cifra los primeros fragmentos de 64 bytes, quedando 128 bytes de datos sin cifrar. Una vez terminado, el archivo cambia su extensión a ‘.basta’, modificando automáticamente el icono del mismo.
Precisamente una de las vulnerabilidades antiguas del mecanismo de cifrado empleado por el ransomware Black Basta es una implementación defectuosa del algoritmo ChaCha, específicamente en la gestión del flujo de claves para la operación XOR en segmentos de 64 bytes de los datos objetivo, hasta el punto de que se ha desarrollado una herramienta de descifrado ‘Black Basta Buster’, que consiste en varios scripts de Python, aunque la recuperación de archivos no siempre es posible.
Fuentes:
https://www.securityartwork.es/2024/05/20/ransomware-black-basta/
https://www.incibe.es/incibe-cert/blog/black-basta-acciones-de-respuesta-y-recuperacion
No hay comentarios:
Publicar un comentario