Recientemente, se ha detectado una nueva oleada de ataques del ransomware BlackByte que explota una vulnerabilidad crítica en los hypervisores VMware ESXi. Esta amenaza cibernética destaca por su capacidad para desactivar protecciones de seguridad, aprovechando drivers vulnerables y comprometiendo infraestructuras clave en tiempo récord.
Detalles del Ataque
El ransomware BlackByte ha sido identificado como el actor detrás de una serie de ataques dirigidos a sistemas que utilizan VMware ESXi, explotando la vulnerabilidad CVE-2024-37085. Esta falla de seguridad, que permite a los atacantes eludir la autenticación en el hypervisor, ha sido instrumental para que BlackByte acceda a servidores vCenter, escale privilegios y modifique configuraciones críticas de los servidores afectados.
Uno de los aspectos más alarmantes es la rapidez con la que BlackByte incorporó esta vulnerabilidad a su arsenal, demostrando su capacidad para adaptarse y evolucionar ante nuevas oportunidades de ataque. Los atacantes aprovecharon credenciales válidas, posiblemente obtenidas mediante ataques de fuerza bruta, para infiltrarse en las redes de sus víctimas, utilizando VPNs para reducir la visibilidad de su actividad y eludir las defensas tradicionales.
Técnicas Avanzadas
BlackByte ha refinado su enfoque mediante el uso de una técnica conocida como “Bring Your Own Vulnerable Driver” (BYOVD), donde emplea drivers vulnerables para desactivar procesos de seguridad. En su reciente campaña, el ransomware desplegó cuatro drivers específicos para este fin, todos ellos con un patrón de nomenclatura similar, lo que resalta la sofisticación de su metodología.
Además, el grupo ha evolucionado sus herramientas y técnicas, migrando su código a lenguajes como C/C++ en su versión más reciente del encriptador, BlackByteNT. Esto no solo mejora la resistencia del malware contra la detección, sino que también dificulta su análisis y desmantelamiento por parte de los investigadores de seguridad.
Impacto y Recomendaciones
El impacto de esta amenaza es significativo, afectando principalmente a sectores como servicios profesionales, científicos y técnicos, manufactura y educación. Sin embargo, se estima que solo el 20-30% de las víctimas han sido reportadas públicamente, lo que sugiere que la actividad del grupo es más amplia de lo que se conoce.
Para mitigar el riesgo, se recomienda a las organizaciones que utilicen VMware ESXi que apliquen las actualizaciones de seguridad más recientes, refuercen sus controles de acceso y monitoricen cualquier actividad sospechosa relacionada con el uso de VPNs. Además, la implementación de soluciones avanzadas de detección y respuesta puede ser clave para identificar y bloquear estas amenazas en etapas tempranas.
Conclusión
El ransomware BlackByte sigue demostrando su capacidad para adaptarse y explotar vulnerabilidades recién descubiertas con una velocidad alarmante. Las organizaciones deben mantenerse vigilantes y proactivas en la protección de sus infraestructuras, ya que los cibercriminales continúan refinando sus tácticas en la lucha por mantenerse un paso adelante de las defensas de seguridad.
