El FBI y la CISA lanzan IoC para el ransomware Phobos

El FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) han publicado detalles sobre las tácticas y técnicas que los actores de amenazas están utilizando para implementar la cepa de ransomware Phobos en las redes objetivo.

La asesor es parte de un esfuerzo continuo para detener el ransomware por parte de las dos entidades que trabajan en colaboración con el Centro de análisis e intercambio de información multiestatal (MS-ISAC). Es similar a varias alertas que han emitido en los últimos meses sobre amenazas de ransomware particularmente perniciosas.

Al igual que los avisos anteriores, el último incluye indicadores de compromiso que los administradores de TI y de seguridad pueden utilizar para detectar y responder rápidamente a posibles infecciones de Phobos.

Una amenaza relativamente prolífica

El ransomware Phobos apareció por primera vez en 2019. Desde entonces, sus autores han estado utilizando un modelo de ransomware como servicio para distribuir el malware, lo que ha ayudado a establecer a Phobos como una de las cepas de ransomware más ampliamente distribuidas en los últimos años. Una variante de Phobos denominada 8Base clasificada en la lista de Black Fog de Las 10 amenazas de ransomware más activas en 2023. Las víctimas de Fobos a lo largo de los años incluyen gobiernos estatales, de condado y municipales, así como organizaciones de los sectores de atención médica, educación e infraestructura crítica.

En un incidente reciente, un actor de amenazas afiliado a Phobos Sistemas infectados en unos 100 hospitales de Rumanía. con una variante de Phobos llamada Backmydata, apuntando primero a un sistema central de información de salud al que estaban conectados.

El aviso del FBI-CISA identificó que los actores de amenazas de Phobos utilizan diferentes tácticas para obtener acceso inicial a las redes de las víctimas. Una táctica común ha sido utilizar correos electrónicos de phishing para lanzar la carga útil en las redes de las víctimas de manera oportunista. Otra ha sido incorporar un cuentagotas conocido como SmokeLoader en los archivos adjuntos de correo electrónico y usarlo para descargar Phobos en los sistemas pertenecientes a las víctimas que abren el archivo adjunto.

Además, los investigadores también han observado a los actores de Phobos escaneando Internet en busca de puertos RDP expuestos en los que luego han utilizado herramientas de código abierto de fuerza bruta para adivinar contraseñas para obtener acceso. "Si los actores de Phobos obtienen una autenticación RDP exitosa en el entorno objetivo, realizan una investigación de código abierto para crear un perfil de víctima y conectar las direcciones IP objetivo a sus empresas asociadas", señala el aviso. "Los actores de amenazas que aprovechan Phobos han implementado en particular herramientas de acceso remoto para establecer una conexión remota dentro de la red comprometida".

Escalada de privilegios y persistencia

Una vez en una red, los actores de amenazas Phobos a menudo ejecutan ejecutables como 1saas.exe o cmd.exe para escalar privilegios y realizar varias funciones del shell de Windows, incluidas aquellas para tomar el control de los sistemas. Además, han aprovechado las funciones API integradas de Windows para evitar el control de acceso, robar tokens de autenticación y crear nuevos procesos para elevar los privilegios, según el aviso. "Los actores de Phobos intentan autenticarse utilizando hashes de contraseñas almacenados en caché en las máquinas víctimas hasta que alcanzan el acceso de administrador de dominio", señala el aviso.

Los mecanismos de persistencia del ransomware incluyen el uso de carpetas de inicio de Windows y el uso de claves de registro de Windows para eliminar o deshabilitar funciones que permiten el acceso a copias de seguridad o ayudan en la recuperación del sistema.

Antes de cifrar sistemas en una red, los actores de Phobos generalmente extraían datos de ella y luego utilizaban la amenaza de filtrar esos datos como una ventaja adicional para extraer el pago de las víctimas. En muchos casos, los actores de la amenaza se han dirigido a registros financieros, documentos legales, información técnica y relacionada con la red, y bases de datos para software de gestión de contraseñas, según el aviso. Después de la fase de robo de datos, los actores buscan y eliminan cualquier copia de seguridad de datos que las víctimas puedan tener para asegurarse de que no puedan recuperarlos sin pagar la clave de descifrado.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
• PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
• PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
• PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
• Fuente: https://www.darkreading.com/cyberattacks-data-breaches/fbi-cisa-release-iocs-for-phobos-ransomware