NUEVA ACTIVIDAD DEL RANSOMWARE ICEFIRE

10/03/2023

BOLETÍN NRO 2023-158

Recientemente una variante de ransomware basada en Windows conocida hasta ahora como IceFire ha ampliado sus objetivos para atacar redes empresariales Linux pertenecientes a varias organizaciones del sector de los medios de comunicación y el entretenimiento de todo el mundo.

Servicios Afectados

• Sistemas operativos Windows
• Sistemas operativos Linux
• IBM Aspera Faspex 4.4.2 Patch Level 1 y anteriores

Detalles Tecnicos

CVE: CVE-2022-47986		Severidad:   CRÍTICA
Amenaza: IceFire		Categoría: Ransomware

Las intrusiones implican la explotación de una vulnerabilidad de deserialización recientemente revelada en el software de intercambio de archivos IBM Aspera Faspex (CVE-2022-47986), según una empresa de ciberseguridad.

El CVE-2022-47986 es una vulnerabilidad en IBM Aspera Faspex 4.4.2 Patch Level 1 y anteriores, donde este fallo podría permitir que un atacante remoto ejecute código arbitrario en el sistema, causado por una falla de deserialización de YAML. Al enviar una llamada API obsoleta especialmente diseñada, un atacante podría aprovechar esta vulnerabilidad para ejecutar código arbitrario en el sistema.

Este cambio es un movimiento significativo que los alinea con otros grupos de ransomware que también atacan sistemas Linux, indica un investigador de seguridad.

La mayoría de los ataques observados se han dirigido contra empresas situadas en Turquía, Irán, Pakistán y los Emiratos Árabes Unidos, países que no suelen ser objetivo de los grupos de ransomware.

IceFire fue detectado por primera vez en marzo de 2022, pero no fue hasta agosto cuando se dio a conocer a las víctimas a través de su sitio de filtraciones en la Dark Web.

El binario del ransomware dirigido a Linux es un archivo ELF de 64 bits que se instala en hosts CentOS que ejecutan una versión vulnerable del software de servidor de archivos IBM Aspera Faspex. También es capaz de evitar el cifrado de ciertas rutas para que la máquina infectada siga siendo operativa.

Indicadores de Compromiso

IP

159[.]65[.]217[.]216

Dominio

7kstc545azxeahkduxmefgwqkrrhq3mzohkzqvrv7aekob7z3iwkqvyd[.]onion

URL

hxxp[:]//159[.]65[.]217[.]216[:]8080/demo

Hash

MD5: 01de715b0f9e3725ef453d31acaaf598

SHA-256: e9cc7fdfa3cf40ff9c3db0248a79f4817b170f2660aa2b2ed6c551eae1c38e0b

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: IceFire Ransomware Exploits IBM Aspera Faspex to Attack Linux-Powered Enterprise Networks
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​