Tras unos meses donde los ataques de ransomware son cada vez
más populares, los investigadores de ciberseguridad han descubierto un nuevo software
en Rusia, el cual ha estado tratando activamente de realizar ataques a desarrolladores
de software, banks, grandes redes corporativas de laboratorios médicos y
fabricantes.
OldGremlin, el nombre en código que se le ha atribuido a la
banda de ransomware, ha estado desde marzo lanzando campañas intentado
conseguir ataques con éxito, incluyendo un ataque exitoso contra un laboratorio
de diagnóstico clínico que sucedió el 11 in August.
Según informo la firma de ciberseguridad de Singapur Group-IB
en un informe la semana pasada, el grupo de momento solo se ha dirigido a empresas
rusas, como bien hicieron en su comienzo Silence y Cobalt. In addition, añadió que
están usando Rusia como un campo de pruebas, para posteriormente cambiar a
otras geografías.
OldGremlin utiliza TinyNode y TinyPosh para crear puertas
traseras, para posteriormente utilizar el ransomware TinyCryptor (also
conocido como decr1pt) para cifrar archivos en el sistema infectado y mantener
como rehén para pedir un rescate monetario.
In addition, el grupo utilizo el nombre de un importante grupo de
medios con sede en Moscú llamado RBC en una campaña de phishing vía correo
although everything points to a Trojan sent by email. En el correo con asunto “Factura” indicaba al destinatario la
necesidad del pago de una factura urgente en una URL la cual es maliciosa, y al
hacer clic, descarga el malware TinyNode.
Una vez infectado con TinyNode el atacante accede al
dispositivo de forma remota, para moverse a través de la red utilizando Cobalt Strike,
with the aim of obtaining authentication data from the domain administrator.
In one of the variants, the cybercriminals used
COVID-themed phishing campaigns targeting financial companies, posing as
a Russian microfinance organization.
Another of the variants used in a campaign in 19 of
August, the cybercriminals used spear-phishing with a message
exploiting the ongoing protests in Belarus, demonstrating once again that
the attackers are experts at using social engineering to their advantage.
According to Group-IB, this group is believed to have been behind
nine campaigns between May and August.