Investigaciones recientes han revelado inquietantes similitudes entre el ransomware CACTUS y Black Basta, uno de los grupos más activos en los últimos años. Aunque parecen actores distintos, el análisis de sus tácticas sugiere que podrían compartir afiliados o ser parte de una misma operación bajo una nueva identidad. Desde sus métodos de acceso hasta sus técnicas de evasión y extorsión, CACTUS replica el modelo de Black Basta, lo que ha encendido las alarmas en la comunidad de ciberseguridad.
Vinculación entre CACTUS y Black Basta
Más allá de las coincidencias superficiales, el análisis técnico revela que CACTUS no solo imita a Black Basta, sino que adopta sus estrategias clave. Desde el acceso inicial hasta la doble extorsión y el uso de herramientas personalizadas, ambos operan de manera casi idéntica. Esto plantea la posibilidad de que CACTUS sea una evolución de Black Basta o que antiguos afiliados estén reutilizando las mismas tácticas bajo otro nombre.
Similitudes en tácticas de ataque
Los expertos han identificado múltiples puntos en común entre ambos grupos, incluyendo:
- Acceso inicial: Uso de credenciales comprometidas y vulnerabilidades en VPNs para infiltrarse en redes corporativas.
- Evasión de seguridad: Desactivación de antivirus y herramientas de detección antes de ejecutar la carga maliciosa.
- Cifrado de datos y extorsión: Bloqueo de información y amenazas de filtración para presionar a las víctimas a pagar.
- Herramientas personalizadas: Desarrollo de malware diseñado para evadir detección y maximizar el impacto.
- Movimiento lateral: Propagación dentro de la red comprometida para ampliar el alcance del ataque.
Uso de ingeniería social
Además de técnicas avanzadas, ambos grupos utilizan estrategias de manipulación para engañar a empleados y administradores:
- Correos de phishing personalizados para inducir la descarga de archivos maliciosos.
- Suplantación de identidad en llamadas para obtener credenciales o acceso remoto.
- Ataques a proveedores de servicios, comprometiendo sus sistemas para acceder a múltiples clientes.
Esta combinación de tácticas refuerza la hipótesis de que CACTUS podría ser una evolución directa de Black Basta.
Proceso del ataque
En el último año, Black Basta ha intensificado el uso de phishing para engañar a las víctimas y hacerles instalar Quick Assist, una herramienta legítima de soporte remoto. Una vez dentro, los atacantes despliegan un cargador malicioso llamado REEDBED a través de OneDriveStandaloneUpdater.exe, permitiendo ejecutar un módulo de encriptación.
Por su parte, CACTUS ha modificado su acceso inicial tras la desarticulación de la infraestructura de QakBot, anteriormente usada por Black Basta. Ahora emplea QBACKCONNECT, lo que sugiere colaboración entre ambos grupos. También utiliza TotalExec, un script de PowerShell para automatizar la ejecución del encriptador, una táctica ya vista en Black Basta.
Recomendaciones
- Capacitación en seguridad: Simulaciones periódicas para concienciar sobre phishing e ingeniería social.
- Filtrado de correos: Implementar soluciones avanzadas para bloquear amenazas.
- Autenticación multifactor (MFA): Proteger accesos remotos y evitar el uso de credenciales robadas.
- Actualización de seguridad: Mantener herramientas de detección configuradas y actualizadas.
- Restricción de soporte remoto: Limitar y monitorear el uso de herramientas como Quick Assist.
- Segmentación de red: Aplicar medidas para evitar el movimiento lateral de amenazas.
- Prevención de exfiltración de datos: Detectar y bloquear intentos de robo de información.
- Colaboración en ciberseguridad: Mantener comunicación con expertos y autoridades sobre nuevas amenazas.
