NUEVA ACTVIDAD DE RANSOMWARE MAUI Y H0LYGH0ST

10/02/2023

BOLETÍN NRO 2023-088

Según un comunicado conjunto por parte de autoridades norteamericanas y surcoreanas, ciberdelincuentes de Corea del Norte están atacando infraestructura crítica y entidades de salud para obtener beneficios económicos y financiar sus objetivos estratégicos nacionales con el uso de ransomware.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: CVE-2021-44228, CVE-2021-20038, CVE-2022-24990                                    Severidad:   CRÍTICA

Los ciberdelincuentes utilizan infraestructura de terceros para poder llevar a cabos sus ataques y estos parezcan desde lugares comunes para camuflarse como una organización criminal más, con el uso de VPN y VPS. 

Para obtener acceso a sus victimas utilizan varias vulnerabilidades ya conocidas como la que afecta a la librería de Log4j de Apache y ejecución de código remoto en productos de SonicWall.

Una vez se tenga acceso a la computadora objetivo, el malware ejecuta una secuencia de comandos con el objetivo de realizar reconocimiento, cargar y descargar archivos y ejecutar comandos Shell, mediante la conexión con servidor remoto controlado por los ciberdelincuentes.

Esta operación continua con el despliegue de ransomware desarrollado de manera privada como Maui y H0lyGh0st, sobre estos ransomware ya se han emitido boletines los cuales puede revisar para más información Boletín SecureSoft-Nro. 2022-376 y Boletín SecureSoft-Nro. 2022-433. También estan utilizado herramientas de encriptación como BitLocker, Jigsaw, LockBit 2.0, Ryuk, My Little Ransomware, entre otros.

La comunicación con sus víctimas se lleva a cabo mediante el uso de cuentas de Protonmail para poder negociar el rescate que se deberá pagar en las billeteras de Bitcoin para desencriptar los archivos afectados. Cuando se trata de entidades de salud, estas son amenazadas con filtrar su información patentada a sus competidores.

Indicadores de Compromiso

Para acceder a la lista completa de IOC hacer click aquí.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Ransomware Attacks on Critical Infrastructure Fund DPRK Malicious Cyber Activities
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​