Introducción:
Originado en marzo de 2023, Abyss Locker, una operación de ransomware de reciente creación, ha atacado rápidamente a empresas, convirtiéndose en una amenaza significativa en diversos sectores, como sistemas de control industrial (ICS), empresas y organizaciones del sector público. Representa una amenaza significativa tanto para sistemas Windows como Linux.
Esta escalada está vinculada a la introducción de un cifrador Linux a medida, meticulosamente diseñado para infiltrarse en los entornos virtualizados ESXi de VMware. Esta estrategia amplía el alcance de Abyss Locker y amplifica su impacto en diversos sectores.
El ransomware Abyss, aparentemente asociado con la infraestructura del ransomware HelloKitty, ha experimentado una modificación notable en su algoritmo de cifrado, pasando de AES a salsa_20. Esta adaptabilidad pone de manifiesto las sofisticadas tácticas del grupo y supone un mayor riesgo para la ciberseguridad.
Análisis técnico:
En primer lugar, crea un archivo de registro y luego actúa sobre la lista codificada de servicios y procesos.
Figura: Lista de servicios que se van a cancelar
Finaliza los siguientes servicios :
Figura : Servicios que se darán por terminados
El ransomware se asegura de finalizar una lista específica de procesos antes de comenzar sus operaciones, evitando así cualquier interferencia de estos procesos con el acceso y el cifrado de archivos en el sistema de la víctima.
Se eliminan los siguientes procesos:
Figura : Procesos que deben ser eliminados
Figura: Comparación del proceso de lista con el proceso en ejecución.
Figura: El proceso finaliza con una llamada a la API de terminación de proceso.
Utiliza los siguientes comandos para eliminar la copia de sombra y deshabilitar las opciones de arranque de recuperación
- vssadmin.exe eliminar sombras /all /quiet
- wmic COPIA DE SOMBRA ELIMINAR
- bcdedit / set{ predeterminado } recuperación habilitada No
- bcdedit / set{ default } bootstatuspolicy Ignorar todos los fallos
Figura: Uso de CMD
Creación de mutex por Abyss :
Comprueba si existe algún mutex llamado “ DontWorryBeHappy ”. En caso contrario, creará un mutex con el mismo nombre.
Fig.: Creación de Mutex
Exclusión de carpetas, archivos y extensiones por Abyss:
El ransomware emplea una rutina de subprocesos para cifrar los datos de la víctima, comprobando simultáneamente los archivos y extensiones excluidos dentro del mismo subproceso. Esta doble funcionalidad se evidencia en la función de cifrado que se muestra en la figura siguiente.
Figura: Recorriendo archivos y extensiones para su exclusión.
El ransomware Abyss tiene codificada la carpeta, los archivos y las extensiones que deben excluirse en el momento del cifrado , como se menciona en las siguientes figuras :
Fig.: Carpeta excluida de la rutina de cifrado
Figura: Archivos excluidos de la rutina de cifrado
Figura: Extensión excluida de la rutina de cifrado
Encriptación:
Los subprocesos de cifrado se crean en función de la cantidad de procesadores existentes, con un límite máximo de 64 subprocesos.
Fig.: Hilo de cifrado
Utiliza el mecanismo de cifrado salsa_20 para cifrar las muestras.
Fig.: Uso de Salsa_20 para cifrado
Nota de rescate:
Coloca la nota de rescate en el escritorio, y cada directorio se llama «WhatHappened.txt». Contiene el enlace Tor para comunicarse con los atacantes.
Fig.: Nota de rescate
Fig.: Anexo. Abismo como extensión.
Tras el cifrado , también estableció el fondo de pantalla del escritorio como nota de rescate.
Consejos para prevenir este tipo de ataques.
Actualice periódicamente su sistema operativo, aplicaciones y software para corregir cualquier vulnerabilidad conocida que los atacantes suelen explotar.
Utilice software de seguridad que pueda proteger el sistema de las últimas amenazas.
Tenga cuidado con los archivos adjuntos en los correos electrónicos, especialmente si provienen de remitentes desconocidos. Evite hacer clic en enlaces sospechosos o descargar archivos de fuentes no confiables.
Seqrite Protección:
Ransom.Rook.S32195182
Conclusión:
El ransomware Abyss Locker, que surgió en julio de 2023, se remonta al código fuente del ransomware HelloKitty, revelando un linaje anterior a su lanzamiento oficial. Utiliza el algoritmo sala20 para cifrar archivos.
Siguiendo el comportamiento típico del ransomware, Abyss Locker se infiltra en redes corporativas, realiza exfiltraciones de datos con fines de extorsión y encripta dispositivos, lo que representa una amenaza significativa para los sistemas que ejecutan sistemas operativos Linux y Windows.
TTP de MITRE ATT&CK:
COI:
3B55904D3B37C810FC230B991A257939
2E4C626E67DF46B2A7258E73C04C4F73
B1095D0837DD11B5280FCB29B5A1BB84
18BAEDF43F4A68455E8D36B657AFF03C
D75E1C01C59B63D73F22E84A8A8819BF
6FF538DFD4B6A6FA796EA74EED50C80E
E93EDA81803040E70D64168C8A83228F
2442FF56720D1887CB46DD37ED732407
4704CD96029606D6F501826D41805486
0B53120151A20A46EDF3EF85B8AC450F
Escrito por
Soumen Birmania
Coautor:
Vaibhav Krushna Billade
