NUEVO RANSOMWARE RAPTURE

04/05/2023

BOLETÍN NRO 2023-275

Se ha descubierto un nuevo ransomware que intenta atacar a las víctimas dejando huellas digitales mínimas. Denominado como Rapture, este ransomware presenta varias similitudes con otras familias de malware, principalmente con el ransomware Paradise.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: ---                                    Severidad:   CRÍTICA Amenaza: Rapture                                  Categoría: Ransomware Este malware, detectado en marzo y abril, tiene un ciclo operativo muy corto. Su cadena de infección, desde la fase de descubrimiento hasta la petición del rescate, dura solo entre tres y cinco días. El ataque comienza con un escaneado del sistema, que incluye una comprobación de la versión de PowerShell, las instalaciones del applet Log4j y las políticas de firewall configuradas. Tras el reconocimiento, se inicia la primera fase del ataque descargando un script de PowerShell y ejecutándolo para instalar Cobalt Strike en la máquina de la víctima. A continuación, intenta acceder a la red, probablemente a través de sitios web y servidores públicos. Además, intenta elevar privilegios e inyectar código malicioso en un proceso existente (svchost[.]exe) para lanzar más malware de Cobalt Strike. Por último, establece una conexión con el C2 y distribuye otros payloads necesarios para el ataque. Los investigadores observaron que la arquitectura y el funcionamiento de Rapture guardan varias similitudes con otros programas maliciosos conocidos. Durante la ejecución del malware, el volcado de memoria utiliza un archivo de configuración de claves RSA, similar al utilizado por el ransomware Paradise. El framework .NET 4.0 es un requisito previo para la correcta ejecución de Rapture. Este comportamiento indica más similitudes con Paradise, que también se ejecuta usando .NET. La nota de rescate dejada por Rapture parece estar adaptada de la del ransomware Zeppelin. Sin embargo, los investigadores están indican de que Rapture no es una variante de ninguna familia de malware existente; se trata de una amenaza completamente diferente. Indicadores de Compromiso IP 45[.]80[.]69[.]193 195[.]123[.]234[.]101 193[.]233[.]134[.]57 193[.]168[.]49[.]8 Dominio buff[.]data win32ax[.]inc Hash MD5: ddec50fc00e3be31cedb24bc7bfa9fb8 SHA-256: c417a89cdc86ea6d674d2dc629ae1872b4054ac43e948e8ed60d3f3f47178598

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: New Rapture Ransomware Bears Notable Similarities with Paradise
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​