El FBI y CISA advierten sobre el aumento de los riesgos de ataques de Royal ransomware

EL FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA), han publicado conjuntamente un nuevo aviso sobre el grupo de ciberdelincuentes denominado como Royal Ransomware, que se dio a conocer el año pasado.

“Después de obtener acceso a las redes de las víctimas, los actores desactivan el software de antivirus y filtran grandes cantidades de datos antes de desplegar finalmente el ransomware y cifrar los sistemas”, dijo CISA.

Se cree que el grupo delictivo de ransomware, que se ha dirigido a organizaciones estadounidenses e internacionales desde septiembre de 2022, ha evolucionado a partir de iteraciones anteriores que se denominaron Zeon.

Además, se dice que es operado por actores de amenazas experimentados que solían formar parte de Conti Team One, reveló la compañía de ciberseguridad Trend Micro en diciembre de 2022.

Royal ransomware, emplea el phishing de devolución de llamadas como un medio para entregar su ransomware a las víctimas, una técnica ampliamente adoptada por los grupos criminales de la empresa Conti el año pasado después de su cierre.

También emplean otros modos de acceso inicial que incluyen el protocolo de escritorio remoto (RDP), la explotación de aplicaciones públicas y a través de agentes de acceso inicial (IAB).

Las demandas de rescate hechas por Royal varían de $ 1 millón a $ 11 millones, con ataques dirigidos a una variedad de sectores críticos, incluidas las comunicaciones, la educación, la atención médica y la comunicación.

“El ransomware Royal utiliza un enfoque de cifrado parcial único que permite al actor de amenazas elegir un porcentaje específico de datos en un archivo para cifrar”, señaló CISA. “Este enfoque permite al actor reducir el porcentaje de cifrado para archivos más grandes, lo que ayuda a evadir la detección”.

La agencia de ciberseguridad dijo que se han utilizado múltiples servidores de comando y control (C2) asociados con Qakbot en intrusiones de ransomware de Royal, aunque actualmente no se ha determinado si el malware se basa exclusivamente en la infraestructura de Qakbot.

Las intrusiones también se caracterizan por el uso de Cobalt Strike y PsExec para el movimiento lateral, así como por confiar en el servicio de instantáneas de volumen de Windows para eliminar instantáneas y evitar la recuperación del sistema. Cobalt Strike se reutiliza aún más para la agregación y exfiltración de datos.

A partir de febrero de 2023, Royal ransomware es capaz de dirigirse a entornos Windows y Linux y se ha relacionado directamente con 19 ataques solamente en el mes de enero de 2023, lo que lo coloca detrás de LockBit, ALPHV y Vice Society.

INDICADORES DE COMPROMISO (IOC)

Consulte la tabla 1 y 2 para conocer los IOC de ransomware Royal que el FBI obtuvo durante las actividades de respuesta a amenazas a partir de enero de 2023.

Nota: Algunas de las direcciones IP observadas tienen varios meses de antigüedad. El FBI y CISA recomiendan examinar o investigar estas direcciones IP antes de tomar medidas prospectivas, como el bloqueo.

REcomendaciones

• Implementar un plan de recuperación, mantener y retener múltiples copias de datos y servidores confidenciales, en una ubicación físicamente separada, segmentada y segura.
• Requerir las cuentas de usuario con inicio de sesión y contraseña (por ejemplo, cuentas de servicio, cuentas de administrador y cuentas de administrador de dominio) que cumplan con los estándares de NIST para desarrollar y administrar políticas de contraseñas.
  • Utilice contraseñas más largas que consten de al menos 8 caracteres
  • Almacene contraseñas en formato hash utilizando administradores de contraseñas reconocidos en la industria.
  • Evite reutilizar contraseñas.
  • Implemente bloqueos de cuenta después de varios intentos fallidos de inicio de sesión.
  • Deshabilite las pistas de contraseña.
  • Requiera credenciales de administrador para instalar software.
• Utilice factor de doble autenticación para todos los servicios en la medida de lo posible, especialmente para correo, VPN, y cuentas que accedan a sistemas críticos.
• Mantenga actualizado todos los sistemas operativos, y software.
• Segmentos de red La segmentación de la red puede ayudar a prevenir la propagación del ransomware.
• Instale, actualice y habilite la detección en tiempo real del AV.
• Audite las cuentas de usuarios con privilegios administrativos y configure los controles de acceso, con el principio de privilegios mínimos.
• Desactive los puertos no utilizados.
• Deshabilite las actividades y permisos de línea de comandos y scripting.
• Asegúrese de que todos los datos de copia de seguridad estén encriptados, sean inmutables