Detecta Ataques de Ransomware ALPHA SPIDER: TTPs Utilizadas por los Operadores de ALPHV, también conocidos como BlackCat RaaS
Tabla de contenidos:
El ransomware sigue siendo una de las principales amenazas para las organizaciones a nivel mundial, con un aumento constante en el volumen y la sofisticación de los ataques. Entre los actores clave en el ámbito del ransomware, el grupo ALPHA SPIDER destaca al atribuirse una serie de recientes ataques de alto perfil dirigidos contra el procesador de software de pagos del sector salud de EE.UU., Change, y el gigante de la industria del juego MGM. Dado que ALPHA SPIDER representa una amenaza significativa debido a su gran presencia en el ámbito cibernético, el Departamento de Justicia de EE.UU. anunció una operación de aplicación de la ley internacional destinada a incautar las operaciones de ALPHV (también conocido como BlackCat) lo que fue seguido por un aviso detallado de CISA dentro de la iniciativa #StopRansomware.
Detecta ataques de ransomware ALPHA SPIDER (también conocido como ALPHV, BlackCat)
Después de su primera aparición a inicios de la década de 2020, ALPHA SPIDER se autodeclaró rápidamente como un nuevo líder en el ransomware como servicio (RaaS), atrayendo mucha atención debido a sus múltiples objetivos de alto perfil, capacidades maliciosas sofisticadas y ofertas generosas para los afiliados.
Para adelantarse a los potenciales ataques de ALPHV, los defensores cibernéticos requieren herramientas avanzadas de detección de amenazas y caza enriquecidas con algoritmos de detección curados que aborden las TTPs de los adversarios. La plataforma SOC Prime agrega un conjunto de reglas Sigma relevantes compatibles con 28 tecnologías SIEM, EDR, XDR y Data Lake para identificar actividad maliciosa asociada con ALPHV, también conocido como BlackCat.
Solo pulsa el botón Explorar Detecciones a continuación e inmediatamente profundiza en la extensa pila de detección para identificar TTPs relacionadas con las últimas campañas de ALPHA SPIDER. Todas las reglas están mapeadas al marco MITRE ATT&CK v14.1 y enriquecidas con inteligencia de amenazas detallada.
Para agilizar la investigación de amenazas y mejorar las operaciones del SOC, los profesionales de seguridad pueden acceder a una colección más amplia de reglas Sigma que aborden la actividad maliciosa relacionada buscando en SOC Prime por etiquetas “ALPHV” y “BlackCat”.
Análisis del ataque de ransomware Alphv/BlackCat
Los nefastos operadores del ransomware ALPHV (BlackCat, ALPHA SPIDER) han estado en el punto de mira en el ámbito de la amenaza cibernética desde finales del otoño de 2021, fijando su atención en una amplia gama de verticales industriales y enriqueciendo continuamente su kit de herramientas adversarias. Se cree que BlackCat es la próxima generación de las bandas de ransomware DarkSide or y BlackMatter, lo que indica un nivel sofisticado de experiencia y habilidades de sus afiliados. Durante el último año, se ha observado a los hackers de ALPHV empleando un conjunto de nuevas técnicas adversarias y métodos innovadores como componentes de sus actividades de ransomware.
El RaaS de ALPHV destaca por estar escrito en el lenguaje de programación Rust y proporciona una variedad de capacidades destinadas a atraer a afiliados avanzados. Estas incluyen variantes de ransomware que apuntan a varios sistemas operativos, una variante altamente personalizable para la evasión de detección, una base de datos searchable alojada en un dominio web claro, un sitio de filtraciones dedicado y la integración de un mezclador de Bitcoin en los paneles de afiliados. Según la última investigación de CrowdStrike, los operadores de Alphv han aprovechado versiones de Linux de Cobalt Strike y SystemBC para llevar a cabo reconocimiento de servidores VMware ESXi antes de iniciar el despliegue de ransomware.
ALPHV/BlackCat es una pandilla de ransomware muy prolífica que se ha atribuido una serie de ataques de alto perfil, como aquellos contra el gigante del juego MGM Resorts y el proveedor de software de pagos para el sector salud Change Healthcare. El último ataque realizado el mes pasado resultó en grandes interrupciones de servicio para las organizaciones de salud como las farmacias.
En la etapa inicial del ataque, los afiliados de ALPHV explotan un par de vulnerabilidades identificadas como CVE-2021-44529 y CVE-2021-40347 para obtener acceso inicial y persistencia dentro de la red objetivo. Más adelante, los adversarios emplean Nmap, la nefasta utilidad de escaneo de redes, para llevar a cabo operaciones de descubrimiento de redes, junto con scripts específicos de Nmap para realizar un escaneo de vulnerabilidades dirigido. También se les ha observado intentando armarse de otra vulnerabilidad RCE rastreada como CVE-2021-21972 y profundizando en actividades adicionales de reconocimiento de red. Además, ALPHV abusó de la herramienta de respaldo Veeam tras su movimiento lateral inicial y aprovechó el script de PowerShell Veeam Credential Recovery para robar credenciales de usuario directamente de la base de datos Veeam.
Con el creciente volumen de ataques de ransomware dirigidos al sector salud, la OCR del Departamento de Salud y Servicios Humanos de EE.UU. publicó recientemente una carta abordando el incidente de ciberseguridad que afecta a Change Healthcare, junto con numerosas otras entidades del sector salud, que tiene como objetivo reforzar la conciencia sobre ciberseguridad en este sector industrial altamente vulnerable a los ataques de ransomware. Durante la última mitad de la década, ha habido un aumento del 264% en ataques de ransomware reportados a la OCR, lo que alimenta la necesidad de fortalecer las capacidades defensivas proactivas dentro de las organizaciones de salud de EE.UU.
Con un número creciente de tendencias y ataques más sofisticados, el ransomware ha sido el principal desafío para la mayoría de las organizaciones desde 2021, incluidas las grandes empresas. Aprovechando Attack Detective, la detección de ataques de ransomware y la identificación oportuna de potenciales intrusiones se está volviendo más rápida, fácil y eficiente. Confíe en el sistema que garantiza visibilidad integral de su superficie de ataque y ofrece algoritmos de detección basados en comportamiento o IOCs adaptados a su solución de seguridad en uso sin mover sus datos, respaldado por ATT&CK actuando como un algoritmo de correlación central.