El ransomware CrazyHunter ha surgido como una amenaza crítica y en evolución que se dirige específicamente a organizaciones de atención médica e infraestructura médica sensible. Este malware, desarrollado en Go, representa una escalada significativa en la sofisticación del ransomware, empleando métodos de cifrado avanzados y mecanismos de entrega diseñados para eludir las defensas de seguridad modernas.

CrazyHunter ransomware ha emergido como una amenaza crítica y en evolución que se dirige específicamente a organizaciones sanitarias e infraestructura médica sensible. Este malware, desarrollado en Go, representa una escalada significativa en la sofisticación del ransomware, empleando métodos de encriptación avanzados y mecanismos de entrega diseñados para eludir las defensas de seguridad modernas.

 Las instituciones sanitarias en Taiwán han experimentado ataques repetidos, con al menos seis organizaciones conocidas que han caído víctimas de esta agresiva campaña. El enfoque del ransomware en el sector sanitario es particularmente preocupante debido a la naturaleza crítica de los servicios médicos, donde el tiempo de inactividad del sistema puede afectar directamente la atención al paciente, y las organizaciones poseen grandes cantidades de información sensible del paciente que las convierte en objetivos valiosos para la extorsión. La metodología de ataque demuestra sofisticación táctica y madurez operativa. CrazyHunter opera a través de un proceso multi-etapa cuidadosamente orquestado que comienza con el compromiso inicial a través de la explotación de Active Directory, aprovechando contraseñas débiles de cuentas de dominio como punto de entrada. Una vez dentro de una red, los atacantes emplean SharpGPOAbuse para distribuir la carga útil del ransomware a través de Objetos de Política de Grupo, lo que permite una rápida propagación a través de los sistemas conectados.

 El malware luego ejecuta una secuencia coordinada de operaciones diseñadas para deshabilitar sistemas de seguridad, encriptar archivos críticos y mantener el secreto operativo durante todo el ciclo de vida del ataque. Lo que hace que CrazyHunter sea particularmente peligroso es su capacidad para evadir las soluciones de seguridad tradicionales. El malware emplea múltiples componentes de deshabilitación de antivirus, sofisticadas técnicas de ejecución basadas en memoria y mecanismos de encriptación de copias de seguridad que garantizan una encriptación exitosa incluso si fallan los métodos de implementación primarios. 

Según los analistas de Inteligencia de Amenazas de Trellix, el ransomware CrazyHunter fue identificado y rastreado desde su aparición inicial, con investigadores de seguridad que señalan su rápido ciclo de desarrollo y notables avances en las técnicas de compromiso de la red. La amenaza opera con canales de negociación de rescate estructurados, incluidas direcciones de correo electrónico dedicadas, canales de comunicación de Telegram y una infraestructura de red anónima, lo que indica una operación criminal organizada con procesos establecidos de participación de las víctimas. La infraestructura técnica que respalda a CrazyHunter revela decisiones de diseño intencionales destinadas a maximizar la efectividad al tiempo que se minimiza la detección. 

 El malware utiliza un enfoque de "trae tu propio controlador vulnerable", explotando una versión legítima pero vulnerable del controlador antimalware Zemana 2.18.371.0 para elevar los privilegios y finalizar los procesos del software de seguridad. Esta técnica permite a los atacantes registrar su código malicioso como un llamador de procesos autorizado utilizando códigos IOCTL específicos, luego finalizar sistemáticamente las soluciones antivirus conocidas a través de solicitudes de finalización de procesos. Las operaciones de registro e finalización de controladores utilizan códigos de comunicación específicos diseñados para eludir el monitoreo de seguridad tradicional. 

 Mecanismos de encriptación y estrategia de protección de datos CrazyHunter emplea una arquitectura de encriptación híbrida que combina métodos criptográficos simétricos y asimétricos para garantizar la protección de los archivos y la eficacia del rescate. El malware utiliza el cifrado de flujo ChaCha20 como su algoritmo de encriptación principal, operando con una estrategia de encriptación parcial distintiva en lugar de una encriptación completa del archivo. Cada archivo encriptado tiene un byte encriptado seguido de dos bytes no encriptados, creando una relación de encriptación de 1:2. Este patrón deliberado acelera significativamente el proceso de encriptación, lo que permite el compromiso rápido de grandes volúmenes de archivos al tiempo que potencialmente evita la detección de soluciones de seguridad que monitorean los patrones de entrada-salida del disco. 

 El mecanismo de encriptación protege sus claves criptográficas a través del Esquema de encriptación integrada de curva elíptica, un método de encriptación asimétrica que ofrece una seguridad sólida con longitudes de clave más cortas en comparación con los algoritmos RSA tradicionales. El malware genera claves ChaCha20 y nonce únicos para cada archivo, luego encripta estos mecanismos de protección utilizando la clave pública ECIES del atacante. La clave y el nonce encriptados se anteponen a cada archivo, lo que hace que la desencriptación sea imposible sin acceder a la clave privada correspondiente en poder exclusivo de los operadores criminales. Los archivos encriptados reciben una extensión .Hunter y un formato estructurado que contiene la clave ECIES encriptada, el nonce ECIES encriptado y el contenido del archivo parcialmente encriptado en orden secuencial. Esta base técnica garantiza que las víctimas no puedan recuperar los datos encriptados por medios convencionales, lo que crea las condiciones para una negociación y un pago del rescate exitosos. Estoy aquí para ayudarte y espero que esta traducción te sea útil.

Fuentes:
https://cybersecuritynews.com/crazyhunter-ransomware-attacking-healthcare-sector/