Indicadores de compromiso de Ransomware Cuba

AS-096-2022

Fecha: 14/Dic/2022

Notificado por: Correo CISA

Resumen:

A principios de noviembre de 2021, el FBI ha identificado, que los actores maliciosos del ransomware denominado Cuba comprometieron al menos 49 entidades en cinco sectores de infraestructura crítica, incluidos los sectores financiero, gubernamental, sanitario, manufacturero y de tecnología de la información.

El nombre del Cuba no tiene nada que ver con actores del país del mismo nombre.

El ransomware Cuba se distribuye a través del malware Hancitor, que ejecuta troyanos como el RAT que permiten el acceso remoto en las redes de las víctimas. Los actores del malware Hancitor usan correos electrónicos de Phishing, vulnerabilidades de Microsoft Exchange, credenciales comprometidas o herramientas legítimas de Protocolo de escritorio remoto (RDP) para obtener el acceso inicial a la red de una víctima.

Posteriormente, los actores de ransomware de Cuba utilizan Servicios de Windows, como PowerShell, PsExec y otros servicios no especificados, y, a continuación, aprovechan los privilegios de administrador de Windows para ejecutar su ransomware y otros procesos en forma remota. Los actores de ransomware Cuba comprometen la red de una víctima a través del cifrado de archivos de destino con la extensión ".cuba". Los actores maliciosos de ransomware de Cuba han exigido al menos en EE.UU. $ 74 millones y recibieron alrededor de US $ 43.9 millones en pagos de rescate.

Detalles técnicos:

El ransomware Cuba, tras el compromiso, instala y ejecuta CobaltStrike como servicio en la red de la víctima a través de PowerShell. Una vez instalado, el ransomware descarga dos archivos ejecutables,  "pones.exe" y "krots.exe", para la adquisición de contraseñas, lo que permite a los actores del ransomware Cuba, escribir en el sistema de archivos temporales (TMP).

El archivo TMP incluye programación de aplicaciones con llamadas a la interfaz (API) relacionadas con la inyección de memoria que, una vez ejecutada, se elimina del sistema. Tras la eliminación del archivo TMP, la red comprometida comienza a comunicarse con un repositorio de malware ubicado en la URL  teoresp.com con sede en Montenegro.

Los actores de ransomware Cuba usan el malware MimiKatz para robar credenciales y luego usan RDP para iniciar sesión en el host de red comprometido con una cuenta de usuario específica. Luego usan el servidor CobaltStrike para comunicarse con la cuenta de usuario comprometida.

Una vez iniciadas las funciones del script de PowerShell se asigna espacio de memoria para ejecutar una carga útil codificada con Base 64, que es utilizada para llegar al servidor de comando y control remoto (C2), lo que finalmente servirá para desplegar el ransomware. El servidor C2 remoto se encuentra en la url maliciosa: kurvalarva.com.

Indicadores de compromiso:

Direcciones IP Asociados con el Ransomware Cuba:

• 37.120.193.123
• 40.115.162.72
• 157.245.70.127
• 31.44.184.82
• 185.153.199.176

Información requerida:

El FBI está buscando cualquier información que pueda compartirse, para incluir registros que muestren la comunicación hacia y desde direcciones IP extranjeras, información de billetera Bitcoin, el archivo descifrador y/o una muestra benigna de un archivo cifrado.

Recomendaciones:

• Contraseñas seguras y únicas: Todas las cuentas con inicios de sesión con contraseña (por ejemplo, cuenta de servicio, cuentas de administrador y cuentas de administrador de dominio) tengan contraseñas seguras y únicas.
• Las contraseñas no deben reutilizarse en varias cuentas ni almacenarse en el sistema donde un adversario puede tener acceso. Nota: Los dispositivos con cuentas administrativas locales deben implementar una política de contraseñas que requiera contraseñas seguras y únicas para cada cuenta administrativa individual.
• Multifactor: Requerir autenticación multifactor para todos los servicios en la medida de lo posible, especialmente para correo web, redes privadas virtuales y cuentas que acceden a sistemas críticos. 
• Actualización de Sistemas Operativos y software: Mantenga actualizados todos los sistemas operativos y software. La aplicación oportuna de parches es uno de los pasos más eficientes y rentables que una organización puede tomar para minimizar su exposición a las amenazas de ciberseguridad.
• Privilegios mínimos: Elimine los accesos innecesarios a recursos compartidos administrativos, especialmente ADMIN$ y C$. Si ADMIN$ y C$ se consideran operacionalmente necesarios, restrinja los privilegios solo a los servicios necesarios o cuentas de usuario necesarias  y realice un monitoreo continuo para detectar actividades anómalas.
• Firewall basado en host: Usar un firewall basado en host para permitir solo conexiones a recursos compartidos administrativos a través del bloque de mensajes del servidor (SMB) desde un conjunto limitado de equipos administradores.

Limitar las técnicas comunes de detección de sistemas y redes mediante las siguientes acciones:

• Segmentar las redes: La segmentación de la red puede ayudar a prevenir la propagación del ransomware al controlar los flujos de tráfico entre varias subredes y el acceso a ellas restringiendo el movimiento lateral del adversario.
• Monitoreo de red: Identifique, detecte e investigue la actividad anormal y el posible recorrido del ransomware con una herramienta de monitoreo de red. Para ayudar a detectar el ransomware. Las herramientas de detección y respuesta de endpoints (EDR) son particularmente útiles para detectar conexiones laterales, ya que tienen información sobre conexiones de red comunes y poco comunes para cada host.
• Implementar el acceso basado en el tiempo para las cuentas establecidas en el nivel de administrador y superior. Por ejemplo, el método de acceso Just-in-Time (JIT) proporciona acceso privilegiado cuando sea necesario y puede admitir la aplicación del principio de privilegios mínimos (así como el modelo de confianza cero).
• Deshabilitar permisos en línea de comandos y scripting. La escalada de privilegios y el movimiento lateral a menudo dependen de las utilidades de software que se ejecutan desde la línea de comandos. Si los actores de amenazas no pueden ejecutar estas herramientas, tendrán dificultades para escalar privilegios y/o moverse lateralmente.
• Respaldos: Mantenga copias de seguridad de datos sin conexión y mantenga regularmente copias de seguridad y restauración. Esta práctica asegurará que la organización no se vea severamente interrumpida. Asegúrese de que todos los datos de copia de seguridad estén encriptados, sean inmutables (es decir, no se puedan alterar ni eliminar) y cubran toda la infraestructura de datos de la organización.

Referencia:

https://www.ic3.gov/Media/News/2021/211203-2.pdf