Ataque de ransomware a gran escala evitado por expertos en seguridad

Una empresa anónima estaba a punto de convertirse en el último titular negativo y sufrir un importante ataque de ransomware, pero los investigadores de seguridad lograron evitar la crisis en el último momento.

ZDNet informó sobre el incidente, que involucró a una gran empresa que incorporó expertos en seguridad de Sophos, después del descubrimiento de una gran cantidad de instancias de Cobalt Strike instaladas en las computadoras de la empresa. A primera vista, esto podría no parecer nada sospechoso, ya que Cobalt Strike es originalmente una herramienta de prueba de penetración legítima. Sin embargo, en el transcurso del año pasado, Cobalt Strike también ha aumentado su uso entre los círculos delictivos cibernéticos.

Después de que la compañía trajo inicialmente a Sophos a bordo para investigar la aparición de CobaltStrike en la red, los investigadores de seguridad descubrieron que se estaba trabajando y preparando toda la red para un ataque de ransomware a gran escala.

Los delincuentes planeaban usar el ransomware REvil y hacer el mayor daño posible, cifrando los datos en masa. Afortunadamente para el cliente de Sophos, los investigadores de seguridad lograron detectar los esfuerzos en curso para preparar la red para la carga útil del ransomware y lograron evitar la peor parte del ataque.

Solo se cifró una pequeña cantidad de sistemas y dispositivos desprotegidos, pero eso no afectó a la empresa de manera significativa. Los criminales detrás del intento de ataque dejaron una nota de rescate en esos pocos dispositivos que cifraron, y la demanda de rescate fue de $ 2.5 millones. Por supuesto, dado que el ataque a gran escala fue frustrado, nada de eso se pagó.

Sin embargo, lo que señalan ZDNet y la investigación de Sophos es que los malos actores detrás del ataque lograron infiltrar el software legítimo de acceso remoto ScreenConnect en más de cien máquinas de la empresa sin que nadie se diera cuenta y hiciera sonar la alarma.

El gerente del equipo de Sophos Rapid Response, Peter Mackenzie, citado por ZDnet, dijo que la forma más común de que los actores de amenazas se afiancen por primera vez en una red generalmente involucra a los usuarios de phishing o la explotación de vulnerabilidades de VPN o sistemas que no tienen habilitada la autenticación multifactor. en sus VPN.

REvil, el ransomware que casi golpeó a la empresa anónima en este afortunado giro de los acontecimientos, también se utilizó con éxito contra JBS, el mayor productor de carne fresca de res y cerdo de Estados Unidos, y en el caso de JBS, la empresa no tuvo tanta suerte. La banda de ransomware detrás de ese ataque logró exprimir la friolera de $ 11 millones de JBS.

Mackenzie también dio algunos consejos de seguridad, incluido lo que la industria de la seguridad en su conjunto ha estado tratando de enseñar a las empresas y negocios. Las principales recomendaciones incluyen mantener el software de seguridad actualizado instalado y administrado desde un concentrador centralizado en todos los dispositivos de red y mantener cada sistema actualizado con los últimos parches para todo el software que se está ejecutando.