El ransomware ‘MedusaLocker’ desplegó una variante conocida como ‘BabyLockerKZ’, así lo informaron investigadores de la empresa Cisco Talos, al advertir que esta nueva versión utiliza herramientas de ataque conocidas públicamente y binarios ‘living-off-the-land’ (LoLBins), un conjunto de herramientas construidas por el mismo desarrollador (posiblemente el atacante) para ayudar en el robo de credenciales y el movimiento lateral en organizaciones comprometidas.

De acuerdo con los especialistas, estas herramientas son en su mayoría “envoltorios de herramientas disponibles públicamente” que incluyen funcionalidades adicionales para agilizar el proceso de ataque y proporcionan interfaces gráficas o de línea de comandos.

Las técnicas distinguibles –incluyendo el almacenamiento consistente del mismo conjunto de herramientas en la misma ubicación en los sistemas comprometidos– el uso de herramientas que tienen la ruta PDB con la cadena ‘paid_memes’ y el uso de una herramienta de movimiento lateral llamada ‘checker’, utilizadas en el ataque, permitieron echar un vistazo más profundo para tratar de entender más sobre este actor de amenaza.

Origen y propagación de la variante ‘BabyLockerKZ’

De acuerdo con los investigadores de Cisco Talos, el mismo desarrollador creó la nueva variante de MedusaLocker utilizada en el ataque inicial. Esta variante que utiliza las mismas URL de chats y sitios de filtraciones contiene varias diferencias con respecto al ransomware MedusaLocker original, como una clave de ejecución automática diferente o un conjunto adicional de claves públicas y privadas almacenadas en el registro. Basándose en el nombre de la clave de ejecución automática, los atacantes llaman a esta variante ‘BabyLockerKZ’.

La información recopilada por Talos sobre las herramientas empleadas habitualmente por el actor de la amenaza permiten estimar el número y los países de origen de las víctimas. Aunque es improbable que esto capte todas las actividades del adversario, proporciona una visión de una ventana específica de actividad.

El atacante lleva activo al menos desde octubre de 2022. En ese momento, los objetivos se encontraban principalmente en países europeos como Francia, Alemania, España o Italia. Durante el segundo trimestre de 2023, el volumen de ataques por mes casi se duplicó, y el grupo cambió su enfoque hacia países de Latinoamérica como Brasil, México, Argentina y Colombia, como se muestra en el siguiente gráfico. Los ataques mantuvieron un volumen constante de alrededor de 200 IP únicas comprometidas al mes hasta el primer trimestre de 2024, cuando los ataques disminuyeron.

El actor ha comprometido constantemente un gran número de organizaciones, a menudo más de 100 por mes, desde al menos 2022. Esto revela la naturaleza profesional y altamente agresiva de los ataques y es coherente con la actividad que esperaríamos de un IAB o afiliado de ransomware.

Tácticas, técnicas y procedimientos (TTPs) y herramientas del atacante

Durante el ataque que llevó al despliegue de BabyLockerKZt, el adversario utilizó varias herramientas de ataque conocidas públicamente y otras que podrían ser exclusivas de este actor. El grupo utilizó con frecuencia las carpetas de usuario Música, Imágenes o Documentos de los sistemas comprometidos para almacenar las herramientas de ataque.

¿Cómo detectarlo y bloquearlo?

A continuación, se enumeran las formas en que las organizaciones pueden detectar y bloquear esta amenaza, según Cisco Talos:

• Los endpoints seguros son ideales para prevenir la ejecución del malware.
• El escaneo web impide el acceso a sitios web maliciosos y detecta el malware utilizado en estos ataques.
• La protección avanzada para resguardar bandejas de entrada puede bloquear correos electrónicos maliciosos enviados por actores de amenazas como parte de su campaña.
• Los firewalls pueden detectar actividad maliciosa asociada a esta amenaza.
• Los analíticos de red y de nube revisan el tráfico de red y alertan a los usuarios de actividades potencialmente no deseadas en todos los dispositivos conectados.
• El análisis seguro de malware identifica binarios maliciosos e incorpora protección a lo largo y ancho de la red.
• Las puertas de enlace seguro a internet (SIG) bloquean la conexión de los usuarios a dominios, IP y URL maliciosos, tanto si los usuarios están dentro como fuera de la red corporativa.
• Los dispositivos web seguros bloquean automáticamente los sitios potencialmente peligrosos y comprueba los sitios sospechosos antes de que los usuarios accedan a ellos.
• Adicionalmente, implementar la autenticación multifactor a los usuarios para garantizar que sólo acceden a la red las personas autorizadas.