El grupo de ransomware Anubis está explotando la vulnerabilidad Citrix Bleed 2 y usando herramientas de administración legítimas para infiltrarse en empresas, principalmente en EE. UU. Se destaca por presionar a las víctimas con una función de borrado irreversible de datos. El texto también menciona otras amenazas como The Gentlemen, que usa un backdoor en Go, y la alianza entre VECT y TeamPCP para industrializar ataques a la cadena de suministro.

Se ha observado que los actores de amenazas asociados con la operación de ransomware Anubis han estado explotando la vulnerabilidad Citrix Bleed 2 (CVE-2025-5777) para obtener acceso inicial.

"Aunque las tácticas difieren entre los afiliados, surgieron patrones comunes en la metodología mediante el uso de herramientas legítimas de Gestión y Monitoreo Remoto (RMM), acceso a credenciales y procedimientos manuales utilizados para el movimiento lateral", afirmó Arctic Wolf en un informe publicado esta semana.

"Los afiliados de Anubis abusaron repetidamente de herramientas legítimas de administración y acceso remoto, incluyendo ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC y Total Software Deployment, para confundirse con la actividad normal de TI mientras mantenían el control de los sistemas de las víctimas".

Anubis es un grupo de ransomware como servicio (RaaS) que apareció por primera vez a finales de 2024 como una marca renovada del ransomware Sphinx. La operación de ransomware fue anunciada formalmente en el foro clandestino Ransomware and Advanced Malware Protection (RAMP) en febrero de 2025. Según datos de Ransomware.Live, el grupo de cibercrimen ha reclamado 91 víctimas en su sitio de filtración de datos, con 11 víctimas reportadas solo en junio de 2026.

Algunos de los sectores prominentes atacados incluyen la salud, servicios empresariales, manufactura, tecnología y servicios financieros. Más del 50% de las víctimas se encuentran en los EE. UU., seguidos por el Reino Unido, Australia, Francia y Canadá.

En un informe publicado en julio de 2025, Rubrik Zero Labs señaló que Anubis anuncia repartos de beneficios atractivos, ofreciendo a los afiliados el 80% de los montos del rescate pagados, y lo combina con una función irreversible de borrado de datos que aumenta la presión sobre las víctimas para que paguen.

"Cuando se activa el módulo /WIPEMODE de Anubis, los archivos permanecen en los directorios pero se reducen a un tamaño de 0 KB, independientemente del pago del rescate", señaló Rubrik en su informe en aquel momento. "Saber que los actores de amenazas pueden devolver los entornos de las víctimas a este estado de tierra quemada con un solo comando aumenta significativamente la presión sobre las víctimas para que paguen antes de que el borrador se active completamente".

Las intrusiones de ransomware, observadas este año, implican tanto el uso de credenciales de VPN válidas como la explotación de CVE-2025-5777 (puntuación CVSS: 9.3), un fallo crítico que afecta a Citrix NetScaler ADC y Gateway que podría ser abusado por un atacante para omitir la autenticación cuando el dispositivo está configurado como un servidor virtual Gateway o AAA.

Se desconoce la fuente exacta de las credenciales de VPN utilizadas en estas intrusiones. Sin embargo, es posible que fueran obtenidas tras un compromiso previo, o a través de corredores de acceso inicial (IABs), relleno de credenciales (credential stuffing) o actividad de robadores de información.

"Además de la explotación de CitrixBleed 2, se observaron inicios de sesión válidos de VPN Cisco AnyConnect desde varios ASN de hosting, incluidos AS20473 — The Constant Company y AS55286 — ServerMania", explicó Arctic Wolf. "La autenticación maliciosa de VPN fue seguida por una actividad de inicio de sesión que involucraba RDP y SMB, lo que llevó al acceso de credenciales, la creación del servicio PsExec, el despliegue de RMM y, finalmente, la invocación de herramientas de transferencia en la nube para la exfiltración".

El movimiento lateral se facilita a través de RDP y PsExec, lo que luego conduce al despliegue de varias herramientas RMM legítimas para el acceso persistente, otorgando a los atacantes la capacidad de transferir archivos y ejecutar código remotamente, mientras pasan desapercibidos. Algunas intrusiones también configuran un Túnel de Cloudflare (también conocido como cloudflared) para establecer túneles hacia los entornos de las víctimas.

La siguiente fase de los ataques implica la recopilación de credenciales para facilitar un acceso más profundo al entorno comprometido, tras lo cual se instalan herramientas como S3 Browser, rclone, s5cmd, WinSCP y PuTTY para la transferencia o exfiltración de datos antes del despliegue del ransomware. En paralelo, se toman medidas para dañar las defensas del sistema y complicar el análisis posterior al incidente.

"Estas técnicas incluyeron la desactivación de la protección en tiempo real de Windows Defender, actividad de SophosUninstall, artefactos relacionados con PCHunter y la limpieza o manipulación de registros en múltiples sistemas", explicó la empresa de ciberseguridad. "En al menos una intrusión, un encriptador de Anubis fue eliminado después de la ejecución, reduciendo la disponibilidad de artefactos de la carga útil en el disco para análisis posteriores".

El backdoor en Go y el exploit 0-day detallados de The Gentlemen

La revelación llega mientras Kaspersky detallaba la explotación de vulnerabilidades conocidas y credenciales de inicio de sesión robadas o débiles por parte del grupo RaaS The Gentlemen para vulnerar objetivos, así como el uso de un backdoor basado en Go para permitir la ejecución remota de comandos después del reconocimiento, el movimiento lateral a través de Directivas de Grupo o PsExec, y la evasión de defensas utilizando la técnica de traer tu propio controlador vulnerable (BYOVD).

El implante está diseñado para recopilar información del sistema, exfiltrarla a un servidor externo ("81.177.215[.]15:9443") a través de una conexión TCP bidireccional y esperar respuestas del operador que luego se ejecutan en el host usando "cmd.exe" si el byte de respuesta es "c". Si el byte es "s", se establece una conexión de proxy SOCKS.

"Esta funcionalidad probablemente permite al equipo rojo de The Gentlemen pivotar dentro de la red objetivo y ampliar su cobertura de escaneo", dijo Kaspersky en su análisis. "Dadas las capacidades del implante del backdoor, como el establecimiento de comunicación bidireccional, la ejecución de comandos, la configuración de un proxy SOCKS y la recopilación de información, está claro que también puede usarse para expandir la cadena de ataque según sea necesario".

Según Expel, el grupo RaaS también ha convertido en arma una vulnerabilidad de día cero en un controlador de un proveedor tercero poco conocido como parte de su arsenal BYOVD para obtener acceso a nivel de kernel, omitir las protecciones de seguridad de Windows y eliminar procesos de seguridad protegidos asociados con Microsoft, ESET, Palo Alto Networks y SentinelOne. El controlador en cuestión es ktapi.sys, que forma parte de una API desarrollada por Kontron.

"Aún no está claro cómo los actores de amenazas entraron en posesión del archivo o obtuvieron conocimiento de su vulnerabilidad", dijo Marcus Hutchins en su blog. "BYOVD sigue siendo una amenaza enorme para las empresas, permitiendo a los atacantes desactivar sistemas de seguridad de endpoints de última generación en segundos. Incluso usar la versión más reciente de Windows, con todas las mitigaciones de exploits activadas, no proporciona una protección completa".

La asociación de ransomware entre VECT y TeamPCP

Los hallazgos también siguen una investigación de la Unidad de Contra Amenazas de Sophos sobre la asociación entre VECT y TeamPCP que fue anunciada en marzo de 2026 para combinar el robo de credenciales impulsado por ataques a la cadena de suministro con el despliegue de ransomware.

"La asociación formal entre TeamPCP y VECT permite a VECT desplegar ransomware en todas las organizaciones comprometidas en los ataques de la cadena de suministro de Trivy y LiteLLM", dijo Sophos en un informe compartido. "Antes de la asociación con VECT, TeamPCP operaba otra operación de ransomware bajo la marca CipherForce. CipherForce enumeró seis víctimas en su sitio de filtraciones en febrero de 2026 y cambió su marca a un sitio de filtraciones de TeamPCP en mayo".



Análisis recientes de Check Point y JUMPSEC han encontrado que VECT contiene fallos de implementación que causan que cualquier archivo mayor de 128 KB sea destruido permanentemente en lugar de ser encriptado, lo que llevó a TeamPCP a emitir una declaración afirmando que nunca habían utilizado el encriptador de VECT en sus ataques. "Poseemos CipherForce, nuestro propio locker privado", afirmó el grupo.

"La alianza Vect/TeamPCP representa un cambio significativo en el panorama de amenazas de ransomware, incluso teniendo en cuenta las deficiencias técnicas que socavan su eficacia operativa", dijo Sophos en su publicación.

"La convergencia del robo de credenciales de la cadena de suministro a gran escala, una operación RaaS en maduración y la movilización masiva de foros clandestinos constituye un modelo sin precedentes de despliegue de ransomware industrializado que reduce significativamente la barrera de entrada para el cibercrimen".

Fuente:
THN