Cuba Ransomware
La Oficina Federal de Investigaciones (FBI), la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) han publicado una alerta en conjunto para difundir detalles de Cuba Ransomware identificados a través de investigaciones del FBI.
Si bien este ransomware es conocido por la industria como "Cuba ransomware", no hay indicios de que los actores del ransomware Cuba tengan alguna conexión o afiliación con la República de Cuba.
Desde diciembre de 2021 el FBI ha observado que los actores continúan apuntando a entidades en los siguientes cinco sectores de infraestructura crítica: servicios financieros, instalaciones gubernamentales, atención médica y salud pública, fabricación crítica, y Tecnología de la Información.
Asimismo se ha identificado que los actores del ransomware Cuba tienen 101 entidades comprometidas en todo el mundo, con mayoría en Estados Unidos y han exigido USD 145 millones y recibido USD 60 millones en pagos de rescate, con tendencia al aumento desde que fue detectado.
Este año, los actores del ransomware de Cuba han aumentado sus TTP, y los informes de terceros y de código abierto han identificado un posible vínculo entre los actores del ransomware de Cuba, los actores del troyano de acceso remoto (RAT) RomCom y los actores del ransomware Industrial Spy.
TTP usados por Cuba Ransomware
- Vulnerabilidades conocidas en software comercial
- Campañas de phishing
- Credenciales comprometidas
- Herramientas legítimas de protocolo de escritorio remoto
Después de obtener el acceso inicial, los actores distribuyeron el ransomware Cuba en sistemas comprometidos a través de Hancitor, un cargador conocido por colocar o ejecutar ladrones, como troyanos de acceso remoto (RAT) y otros tipos de ransomware, en las redes de las víctimas.
Los actores del ransomware Cuba han explotado CVE y han utilizado herramientas para elevar los privilegios en los sistemas comprometidos.
Sugerimos tomar estas acciones para defenderse proactivamente contra este tipo de ataques:
- Priorizar la reparación de vulnerabilidades explotadas conocidas.
- Capacitar a los usuarios para que reconozcan y denuncien los intentos de phishing.
- Habilitar y hacer cumplir la autenticación multifactor resistente al phishing.
Para más información sobre acciones de mitigación y prevención, contacte con nuestros expertos.
Fuente: https://www.cisa.gov/uscert/ncas/alerts/aa22-335a
Imagen: https://visualhunt.com
