El ransomware Cheerscrypt basado en Linux cifra los sistemas Linux y Windows
En una investigación reciente, la firma de seguridad Sygnia encontró el ransomware basado en Linux, Cheerscrypt. Este ransomware se encontró utilizando los TTP del ransomware Night Sky.
Hay un grupo de amenazas común llamado Emperor Dragonfly (A.K.A. DEV-0401/BRONZE STARLIGHT) que está detrás de Cheerscrypt y Night Sky.
Emperador Dragonfly implementó varias herramientas de código abierto. Para proporcionar a los usuarios chinos estas herramientas, los desarrolladores chinos las escribieron desde cero en chino.
Confirma las afirmaciones que se han hecho de que los operadores originales del ransomware ‘Emperor Dragonfly’ son de China.
Además de cifrar archivos en sistemas basados en Windows, el ransomware Cheerscrypt también se dirige a las aplicaciones ESXi.
Relación entre Cheerscrypt y Night Sky
Es extremadamente evidente que los TTP que se utilizaron en este ataque tienen mucho en común con los utilizados por Night Sky.
Un enfoque principal del trabajo de Cheerscrypt es el cifrado de servidores ESXi y la carga útil final. Ya había información disponible que indicaba que Night Sky estaba vinculado a otro grupo de amenazas, pero Cheerscrypt aún no se había identificado.
Según el informe, los operadores de Cheerscrypt se presentan como pro-ucranianos, lo que proporcionó la única pista sobre su verdadera identidad. Esto se indica con la frase “Слава Україні!”, que significa “¡Gloria a Ucrania!”. y su sitio de fugas en la web oscura que muestra una bandera ucraniana.
La cadena de eliminación de ataques está segmentada en cuatro fases, y aquí están:
- Acceso inicial
- Estableciendo un punto de apoyo dentro de la red
- Movimiento lateral
- Exfiltración de datos y ejecución de ransomware.
A menudo es difícil identificar dos cepas de ransomware como parte del mismo actor de amenazas en el mundo de los afiliados de ransomware y el código fuente filtrado para el ransomware.
Puntos de detección
A continuación se enumeran algunos consejos de detección que pueden ayudarlo a buscar los rastros de Emperor Dragonfly en la red de la organización:
- Busque archivos binarios, scripts y ejecuciones de carpetas sospechosas.
- Busque evidencia de ejecuciones de SMBExec.
Busque evidencia de ejecuciones de WMIExec. - Supervise las autenticaciones de los usuarios y la actividad de fuentes inusuales.
Mitigaciones
Para defenderse de los TTP de Emperor Dragonfly, se pueden implementar las siguientes medidas:
- Identificar y parchear vulnerabilidades críticas.
- Limite el acceso a Internet saliente desde los servidores.
- Proteja la plataforma de virtualización.
- Limite el movimiento lateral a través de la red.
- Proteja las cuentas privilegiadas.
