Ataques de Ransomware Makop a Empresas Indias: Entrega de GuLoader y Escalamiento de Privilegios

Resumen

Makop ransomware, una variante dentro de la familia Phobos, está atacando organizaciones mediante el abuso de servicios de Protocolo de Escritorio Remoto (RDP) expuestos y aprovechando utilidades comerciales para el descubrimiento, movimiento lateral y escalada de privilegios. La campaña incorpora nuevos elementos, incluyendo el descargador GuLoader y varios exploits de escalada de privilegios locales. Los adversarios despliegan el binario del ransomware en los directorios de usuario bajo nombres de archivo engañosos. La amenaza se dirige principalmente a empresas indias, con actividad observada también en Brasil y Alemania.

Investigación

La Unidad de Investigación de Amenazas de Acronis examinó casos recientes de Makop y mapeó una cadena de ataque repetible que comienza con intentos de fuerza bruta RDP, seguido de escaneo de red, volcado de credenciales y la ejecución de varios exploits de elevación de privilegios impulsados por CVE. Se observó que GuLoader entrega cargas útiles de seguimiento como AgentTesla y FormBook. Los investigadores también documentaron las herramientas de eliminación de AV, controladores vulnerables y desinstaladores personalizados utilizados para neutralizar soluciones de seguridad.

Mitigación

Las defensas recomendadas incluyen la implementación de autenticación multifactor para RDP, la eliminación de cualquier punto final RDP expuesto a internet, la aplicación de parches para todos los CVE referenciados, la monitorización de binarios de cargadores conocidos y utilidades eliminadoras de AV, y el uso de detección en puntos finales para bloquear la ejecución sospechosa de scripts. Mantener las firmas de Windows Defender actualizadas y restringir el uso de controladores no firmados o no confiables reduce aún más la exposición a las técnicas observadas.

Respuesta

Una vez que se detecta actividad, aísle inmediatamente el host afectado, termine los procesos GuLoader o descargadores sospechosos, y capture memoria volátil para análisis. Realice una revisión exhaustiva de posibles volcados de credenciales, bloquee hashes y nombres de archivo maliciosos conocidos, y remedie los CVE explotados. Siempre que sea posible, restaure datos cifrados desde copias de seguridad verificadas y alerte a los equipos apropiados de respuesta a incidentes y gestión.

Ejecución de Simulación

Prerequisito: El Chequeo Pre‑vuelo de Telemetría y Línea de Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:

  1. Preparación: El atacante obtiene una versión maliciosa de ThrottleStop.sys que está instrumentada para explotar CVE‑2025‑7771 para escalada de privilegios.
  2. Implementación: El controlador se copia en el directorio de controladores del sistema (C:WindowsSystem32drivers).
  3. Ejecución: Usando sc.exe, el atacante crea y comienza un servicio que carga el controlador malicioso, elevando así el proceso a SYSTEM.
  4. Post‑escalada: Con el token elevado, el atacante puede suplantar cuentas de alto privilegio (T1134.005), pero ese paso está fuera del alcance de esta regla.

• Script de Prueba de Regresión:

  # ----------------------------------------------------------------
  # Simulate ThrottleStop.sys exploitation (CVE-2025-7771)
  # ----------------------------------------------------------------
  $driverPath = "$env:SystemRootSystem32driversThrottleStop.sys"
  
  # 1. Drop the malicious driver (here we use a placeholder copy)
  Write-Host "[*] Copying malicious ThrottleStop.sys to $driverPath"
  # In a real test, replace the source with the actual malicious binary
  Copy-Item -Path ".malicious_ThrottleStop.sys" -Destination $driverPath -Force
  
  # 2. Register the driver as a kernel service
  Write-Host "[*] Creating service for the driver"
  sc.exe create ThrottleStopSvc binPath= "$driverPath" type= kernel start= demand | Out-Null
  
  # 3. Start the driver (triggers Sysmon ImageLoad)
  Write-Host "[*] Starting the driver service"
  sc.exe start ThrottleStopSvc | Out-Null
  
  Write-Host "[+] Driver loaded – should trigger detection rule."
  # ----------------------------------------------------------------

• Comandos de Limpieza:

  # Stop and delete the malicious driver service
  sc.exe stop ThrottleStopSvc | Out-Null
  sc.exe delete ThrottleStopSvc | Out-Null
  
  # Remove the driver file
  Remove-Item -Path "$env:SystemRootSystem32driversThrottleStop.sys" -Force
  
  Write-Host "[*] Cleanup complete."