#StopRansomware: Snatch Ransomware

Desde mediados de 2021, los actores de amenazas de Snatch han evolucionado constantemente sus tácticas para aprovechar las tendencias actuales en el espacio de los ciberdelincuentes y han aprovechado los éxitos de las operaciones de otras variantes de ransomware. Los actores de amenazas de Snatch se han dirigido a una amplia gama de sectores de infraestructura crítica, incluidos los sectores de Base Industrial de Defensa (DIB), Alimentación y Agricultura y Tecnología de la Información. Los actores de amenazas de Snatch realizan operaciones de ransomware que implican la exfiltración de datos y la doble extorsión. Después de la exfiltración de datos, que a menudo implica comunicaciones directas con las víctimas que exigen un rescate, los actores de amenazas de Snatch pueden amenazar a las víctimas con una doble extorsión, donde los datos de las víctimas se publicarán en el blog de extorsión de Snatch si el rescate no se paga.

TÉCNICAS

Apareciendo por primera vez en 2018, Snatch opera un modelo de ransomware como servicio (RaaS) y se cobró su primera víctima con sede en los Estados Unidos en 2019. Originalmente, el grupo fue referido como Team Truniger, basado en el apodo de un miembro clave del grupo, Truniger, que anteriormente operaba como un afiliado de GandCrab. Los actores de amenazas de Snatch utilizan una variante de ransomware personalizada notable por reiniciar los dispositivos en modo seguro [T1562.009], lo que permite que el ransomware eluda la detección por antivirus o protección de punto final, y luego cifrar archivos cuando se ejecutan pocos servicios.

Se ha observado que los actores de amenazas de Snatch compran datos previamente robados de otras variantes de ransomware en un intento de explotar aún más a las víctimas para que paguen un rescate para evitar que sus datos se publiquen en el blog de extorsión de Snatch.

Nota: Desde noviembre de 2021, un sitio de extorsión que opera bajo el nombre de Snatch sirvió como centro de intercambio de datos exfiltrados o robados de las empresas víctimas en Clearnet y TOR alojados por un servicio de alojamiento a prueba de balas. En agosto de 2023, las personas que afirmaban estar asociadas con el blog dieron una entrevista a los medios alegando que el blog no estaba asociado con el ransomware Snatch y “ninguno de nuestros objetivos ha sido atacado por Ransomware Snatch …”, a pesar de que múltiples datos confirmados de víctimas de Snatch aparecen en el blog junto con víctimas asociadas con otros grupos de ransomware, especialmente Nokoyawa y Conti.

Acceso inicial y persistencia

Los actores de amenazas emplean varios métodos diferentes para obtener acceso y mantener la persistencia en la red de una víctima. Los afiliados de Snatch se basan principalmente en explotar las debilidades en el Protocolo de Escritorio Remoto (RDP) [T1133]. En algunos casos, los afiliados de Snatch han buscado credenciales comprometidas de foros / mercados criminales [T1078].

Los actores de amenazas de Snatch ganan persistencia en la red de una víctima al comprometer una cuenta de administrador [T1078.002] a un servidor de comando y control (C2) ubicado en un servicio de alojamiento a prueba de balas ruso [T1583.003]. Por tráfico IP de los registros de eventos proporcionados por víctimas recientes, los actores de amenazas de Snatch iniciaron conexiones RDP desde un servicio de alojamiento a prueba de balas ruso y a través de otros servicios de red privada virtual (VPN) [T1133 ].

Descubrimiento de datos y movimiento lateral

Se observó que los actores de amenazas usaban diferentes TTP para descubrir datos, moverse lateralmente y buscar datos para filtrar. Los actores de amenazas de Snatch usan para configurar, consultar, detener, iniciar, eliminar y agregar servicios del sistema mediante la línea de comandos de Windows. Además de, los actores de amenazas de Snatch también usan herramientas como Metasploit y Cobalt Strike [S0154 ].

Antes de implementar el ransomware, se observó que los actores de amenazas de Snatch pasaban hasta tres meses en el sistema de una víctima. Dentro de este período de tiempo, los actores de amenazas de Snatch explotaron la red de la víctima [T1590] para la mayor implementación posible de ransomware y la búsqueda de archivos y carpetas [T1005] seguido de cifrado de archivos [T1486].

Evasión y ejecución de la defensa

Durante las primeras etapas de la implementación de ransomware, los actores de amenazas de Snatch intentan deshabilitar el software antivirus [T1562.001] y ejecutar un ejecutable como un archivo llamado o alguna variación del mismo. En víctimas recientes, el nombre del ejecutable del ransomware consistía en una cadena de caracteres hexadecimales que coinciden con el hash del archivo en un esfuerzo por vencer la detección basada en reglas [T1036]. Tras el inicio, el ransomware Snatch consulta la carga útil y modifica las claves de registro [T1012 (enlace es externo)][T1112]. En algunos casos, el programa intenta eliminar todas las instantáneas de volumen de un sistema [T1490]. Después de la ejecución de los archivos por lotes, el ejecutable elimina los archivos por lotes del sistema de archivos de la víctima [T1070.004].safe.exeSHA-256.bat

El ejecutable del ransomware Snatch agrega una serie de caracteres hexadecimales a cada nombre de archivo y carpeta que cifra, único para cada infección, y deja un archivo de texto titulado en cada carpeta. Los actores de amenazas Snatch se comunican con sus víctimas a través del correo electrónico y la plataforma de comunicación Tox basada en identificadores dejados en notas de rescate o a través de su blog de extorsión. Desde noviembre de 2021, algunas víctimas informaron haber recibido una llamada falsa de una mujer desconocida que afirmaba estar asociada con Snatch y las dirigió al sitio de extorsión del grupo. En algunos casos, las víctimas de Snatch tenían una variante de ransomware diferente implementada en sus sistemas, pero recibieron una nota de rescate de los actores de amenazas de Snatch. Como resultado, los datos de las víctimas se publican en el blog de ransomware que involucra las diferentes variantes de ransomware y en el blog de extorsión de los actores de amenazas Snatch.HOW TO RESTORE YOUR FILES.TXT

Indicadores de compromiso (IOC)

Los IOC de Snatch detallados en esta sección se obtuvieron a través de investigaciones del FBI desde septiembre de 2022 hasta junio de 2023.

Desde 2019, los actores de amenazas de Snatch han utilizado numerosas direcciones de correo electrónico para enviar correos electrónicos a las víctimas. Las direcciones de correo electrónico utilizadas por los actores de amenazas de Snatch son aleatorias, pero generalmente se originan en uno de los siguientes dominios enumerados en las Tablas 1 y 2:

La Tabla 2 muestra una lista de dominios de correo electrónico legítimos que ofrecen servicios de correo electrónico cifrados que han sido utilizados por los actores de amenazas d Snatch. Estos dominios de correo electrónico están disponibles públicamente y son legales. El uso de estos dominios de correo electrónico por parte de un actor de amenazas no debe atribuirse a los dominios de correo electrónico, en ausencia de hechos articulables específicos que tiendan a mostrar que se utilizan bajo la dirección o bajo el control de un actor de amenazas.

Tabla 3: Direcciones de correo electrónico de Snatch reportadas por víctimas recientes

RECOMENDACIONES

• Implemente un plan de recuperación que mantenga y conserve múltiples copias de datos confidenciales o de propiedad y servidores en una ubicación segura, segmentada y separada físicamente (es decir, disco duro, dispositivo de almacenamiento o la nube).

• Implemente la segmentación de la red y mantenga copias de seguridad fuera de línea de los datos para garantizar una interrupción limitada de la organización.

• Realice copias de seguridad de los datos con regularidad y proteja con contraseña las copias de seguridad almacenadas sin conexión. Asegúrese de que las copias de los datos críticos no sean accesibles para su modificación o eliminación desde el sistema donde residen los datos.

• Mantenga actualizado todos los sistemas operativos, y software.
• Instale, actualice periódicamente y habilite la detección en tiempo real del software antivirus en todos los hosts.

• Audite las cuentas de usuarios con privilegios administrativos y configure los controles de acceso, con el principio de privilegios mínimos.

• Desactive los puertos no utilizados.
• Deshabilite las actividades y permisos de línea de comandos y scripting.
• Asegúrese de que todos los datos de copia de seguridad estén encriptados, sean inmutables
• Examine el tráfico de red entrante y saliente, en busca de actividad sospechosa dentro de su red.