Kyber Ransomware Doble Problema: Ataques a Windows y ESXi Explicados

Resumen

Kyber es una amenaza de ransomware multiplataforma diseñada para cifrar datos tanto en sistemas VMware ESXi como en servidores de archivos Windows. Los operadores dependen de utilidades nativas como esxcli, PowerShell, y vssadmin para apagar máquinas virtuales, eliminar copias sombra y distribuir notas de rescate en entornos afectados. En marzo de 2026, los investigadores recuperaron dos muestras relacionadas: un binario ELF que apunta a ESXi y un archivo PE basado en Rust creado para Windows. Ambas variantes estaban vinculadas a través de una infraestructura Tor compartida y un identificador de campaña común.

Investigación

Rapid7 obtuvo las cargas útiles tanto de ESXi como de Windows y realizó un análisis estático para comprender mejor su comportamiento. La investigación mostró que el malware utiliza rutinas de cifrado personalizadas construidas alrededor de ChaCha8 con envoltura de clave RSA-4096, mientras que la versión de Windows también incorpora un esquema de cifrado híbrido Kyber1024 y AES-CTR. Los investigadores documentaron las extensiones de archivos objetivo, la colocación de notas de rescate, el comportamiento de terminación de servicios y un mutex distintivo vinculado a una URL de Boomplay.

Mitigación

Las defensas recomendadas incluyen fortalecer el acceso a ESXi deshabilitando SSH donde sea posible y aplicando autenticación multifactorial, además de restringir el acceso a utilidades nativas como vssadmin, wmic, y reg. Las organizaciones deben asegurar copias de seguridad con inmutabilidad y monitorear de cerca los cambios en los archivos de gestión de VMware así como la aparición de la extensión de archivo .#~~~ . Las detecciones adicionales deben centrarse en el mutex identificado y los nombres de archivo específicos de las notas de rescate asociadas con la campaña.

Respuesta

Si se detecta actividad de Kyber, aísle el sistema afectado de inmediato, conserve las muestras de malware y comience la recuperación utilizando copias de seguridad inmutables. Los equipos de seguridad deben bloquear el acceso a los servicios ocultos de Tor vinculados al ID de campaña, eliminar el mutex y eliminar cualquier archivo de notas de rescate desplegado por el malware. Luego se debe realizar una revisión forense completa para examinar los eventos de terminación de servicios, cambios en el registro y actividad del sistema relacionada antes de reconstruir las máquinas virtuales o hosts afectados a partir de imágenes limpias.

Ejecución de Simulación

Prerrequisito: El Chequeo Prevuelo de Telemetría y Línea Base debe haber sido aprobado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:
  El atacante simulado ha obtenido derechos de administrador local en el host comprometido y desea evitar la recuperación del sistema después de cifrar los archivos. Siguiendo el comportamiento del ransomware Kyber, el atacante primero enumera todas las copias sombra de volumen existentes a través de WMI y elimina cada una usando una línea única de PowerShell. Como último recurso (o para asegurar la completitud), el atacante también ejecuta vssadmin.exe Delete Shadows /all /quiet. Ambos comandos generan un CommandLine campo que coincide exactamente con la regla Sigma, provocando una alerta.

• Script de Prueba de Regresión:

  # ----------------------------------------------
  # Simulación estilo Kyber anti recuperación
  # ----------------------------------------------
  
  # 1. Eliminación de VSS en PowerShell (coincidencia exacta)
  $psCmd = 'powershell -ep bypass -nop -c "Get-WmiObject -Class Win32_ShadowCopy | ForEach-Object { $_.Delete() }"'
  Write-Host "Ejecutando eliminación de VSS de PowerShell..."
  Invoke-Expression $psCmd
  
  # 2. Eliminación de vssadmin (coincidencia exacta)
  $vssCmd = 'vssadmin.exe Delete Shadows /all /quiet'
  Write-Host "Ejecutando eliminación de vssadmin..."
  & $vssCmd
  
  Write-Host "Simulación completa."

• Comandos de Limpieza:

  # No hay artefactos persistentes creados por este script.
  # Restablezca la política de ejecución de PowerShell a su estado original si se modificó:
  Set-ExecutionPolicy -Scope Process -ExecutionPolicy Restricted -Force
  Write-Host "Limpieza terminada."