HardBit ransomware sigue evolucionando como una seria amenaza para organizaciones en todo el mundo. La última versión, HardBit 4.0, surgió como una variante mejorada de una cepa que ha estado activa desde 2022, trayendo consigo características más avanzadas y técnicas mejoradas para evitar la detección. Esta nueva iteración representa un paso significativo adelante en la capacidad del ransomware para evadir medidas de seguridad manteniendo el control sobre los sistemas infectados. A diferencia de muchos grupos de ransomware competidores, los operadores de HardBit actualmente no mantienen un sitio web público de filtración de datos para tácticas de doble extorsión, en su lugar, se centran únicamente en las demandas de rescate basadas en el cifrado. La cadena de ataque comienza con actores de amenazas que atacan puntos de entrada vulnerables en la infraestructura de red. Los analistas de Picus Security identificaron que los actores de HardBit 4.0 establecen acceso inicial a través de ataques de fuerza bruta contra los servicios de Protocolo de Escritorio Remoto (RDP) y Bloque de Mensajes del Servidor (SMB). Una vez que obtienen acceso a un sistema, los atacantes se concentran inmediatamente en recopilar credenciales para moverse lateralmente a través de la red y expandir su presencia. Los investigadores de Picus Security señalaron que el malware emplea una estrategia de implementación multietapa que hace que la detección sea particularmente desafiante. El método de distribución se basa en Neshta, un virus infectante de archivos que ha existido desde 2003, que ahora sirve como un mecanismo de propagación específicamente diseñado para entregar y ejecutar HardBit 4.0. Este enfoque elude la detección antivirus tradicional porque Neshta modifica archivos ejecutables y establece persistencia a través de la manipulación del registro. El dropper de Neshta opera a través de un proceso de cuatro pasos que demuestra sofisticación técnica. Cuando se ejecuta, primero lee su propio archivo binario y extrae la carga útil de HardBit de compensaciones de memoria específicas.

Movimiento Lateral

El dropper luego descifra el encabezado y el cuerpo de HardBit, escribe el binario de ransomware reconstruido en el directorio temporal del sistema y, finalmente, lanza el malware a través de funciones de ejecución legítimas de Windows. Para asegurar que el malware persista en los reinicios, Neshta se copia al directorio raíz del sistema como un archivo oculto y modifica las claves del registro para que cada vez que un usuario intente ejecutar cualquier archivo ejecutable, el malware se ejecute automáticamente primero. Más allá del acceso persistente, HardBit 4.0 implementa tácticas agresivas de evasión de defensa que atacan directamente al software de seguridad. El malware modifica varias entradas del Registro de Windows para deshabilitar características críticas de Windows Defender, incluyendo Monitoreo en Tiempo Real, Protección contra Manipulaciones y capacidades Anti-Spyware. Además, el binario está ofuscado utilizando una versión modificada del protector ConfuserEx, lo que dificulta la ingeniería inversa y el análisis para los profesionales de la seguridad. Una característica única que distingue a HardBit 4.0 implica un mecanismo de protección con contraseña que requiere que los atacantes proporcionen claves de autorización específicas en tiempo de ejecución, evitando la detonación accidental o automatizada de sandbox que podría exponer el comportamiento del malware a los investigadores de seguridad. Las organizaciones pueden mejorar sus defensas contra HardBit 4.0 monitoreando la actividad sospechosa de RDP y SMB, implementando prácticas sólidas de gestión de credenciales y manteniendo sistemas de respaldo actualizados aislados del acceso a la red para asegurar que las opciones de recuperación permanezcan indisponibles para los atacantes.


Fuentes:
https://cybersecuritynews.com/hardbit-4-0-ransomware-actors-attack-open-rdp/