Ryuk Ransomware utilizado en ataques que abusan del error MSHTML de Windows
Trabajando en conjunto con Security RiskIQ, los investigadores de seguridad de Microsoft anunciaron que la vulnerabilidad recientemente detallada y parcheada CVE-2021-40444 ha sido explotada activamente por los actores de amenazas que luego implementaron el infame ransomware Ryuk en sistemas comprometidos.
Ya cubrimos la vulnerabilidad CVE-2021-40444 que Microsoft detalló en la sesión regular del martes de parches de este mes. El error se refiere a una vulnerabilidad de ejecución remota de código, desencadenada en el motor MSHTML de Windows, cuando una víctima abre un archivo de Office cargado de malware creado especialmente. Los archivos deben contener un control ActiveX malicioso para permitir que los piratas informáticos abusen del error.
RiskIQ cree que el ataque es obra del equipo de ciberdelincuentes Wizard Spider. La infraestructura utilizada en los últimos sistemas de orientación de campañas maliciosas que hasta ahora no tienen parches para CVE-2021-40444 se superponía y mostraba patrones similares a la infraestructura que Wizard Spider ha usado en el pasado en campañas anteriores utilizando la carga útil de ransomware Ryuk.
Según los investigadores, los piratas informáticos solo explotan el error MSHTML como primer paso para afianzarse en un sistema. A partir de este momento, implementan los cargadores de balizas Cobalt Strike que se adhieren al resto de lo que probablemente sea la infraestructura del servidor Wizard Spider.
Este nuevo ataque ayudó a recordar a la comunidad de seguridad de información que todavía hay otras bandas de ransomware, además del grupo REvil y DarkSide. Durante los últimos meses, todos los titulares relacionados con los ataques de ransomware siempre se centraron en los dos últimos actores de amenazas, quienes supuestamente se tomaron unas largas vacaciones. Queda por ver si la pandilla de ransomware Ryuk está tratando de volverse más relevante nuevamente y llenar el espacio dejado por REvil y DarkSide.
El hecho de que ya se haya demostrado que la vulnerabilidad CVE-2021-40444 se explota para ataques tan peligrosos como este muestra lo increíblemente importante que es mantener las redes y todos los dispositivos conectados a ellos parcheados con las últimas actualizaciones de los editores el mismo día que la nueva. el parche está fuera. El parche para la vulnerabilidad MSHTML ya está disponible y cualquier otro ataque exitoso que abuse de él debería ser completamente evitable.
