Technology Solutions

 
 El ransomware SamSam ataca a entidades financieras peruanas

El ransomware SamSam ataca a entidades financieras peruanas

 

Desde Hispasec tenemos conocimiento de los ataques sufridos por entidades financieras peruanas, ataques que han tenido como objetivo principal la instalación del ransomware SamSam (también conocido como Samsa o Samas).

Ransomware Samsam

SamSam no es más que la herramienta principal de un ataque dirigido a entidades concretas. No es un malware de distribución masiva, sino que es ejecutado de forma manual dentro de la red de la organización víctima. Para ello, el atacante necesita encontrar previamente una forma de acceder a la red. Las primeras versiones del ataque usaban exploits conocidos contra servicios de la organización expuestos a Internet, pero las últimas versiones han optado por atacar usando fuerza bruta (probando contraseñas una tras otra) contra un servicio en concreto: el servicio RDP (Remote Desktop Protocol), usado para permitir el acceso remoto a otro ordenador compartiendo la pantalla.

Características principales del ransomware

Una característica del malware que impide su análisis en profundidad es que su parte principal viene cifrada con una clave que sólo conoce el atacante. Evidentemente, para su ejecución es necesario descifrarla, pero lo hace el atacante proporcionando la contraseña al ejecutarlo manualmente. Por tanto, para poder analizar el malware en profundidad, sería necesario pillar al atacante in fraganti y capturar la contraseña, ya que apenas se ejecuta el malware se borra la contraseña usada para descifrarlo.

El resto de partes son piezas de apoyo que ayudan a descifrar y lanzar el malware de forma automática. Adicionalmente, el ataque hace uso de diversas herramientas de apoyo, entre otras una herramienta de administración remota (RAT) con capacidad para realizar cualquier acción en el sistema y herramientas públicas de terceros para realizar el reconocimiento de la red y moverse lateralmente en ésta (es decir, saltar de un punto de la red a otro). De nuevo, recordamos que estamos ante un ataque dirigido, donde un atacante entra en la red por algún medio externo al ransomware, y una vez dentro, reconoce y ataca manualmente otros puntos de la red, para finalmente ejecutar el ransomware en los puntos de la red que considere dignos de secuestrar.

Flujo del ataque

A continuación se describe las fases del ataque que tienen como objetivo final la ejecución del ransomware SamSam. Se presupone que la entidad ya ha sido seleccionada por el atacante. Para ello, puede haber sido elegida manualmente por su importancia y valor, o bien haber sido elegida tras buscar organizaciones con redes con una seguridad débil. Para esto último, los atacantes se suelen valer de herramientas como el buscador Shodan, que permiten buscar qué puntos de Internet corren ciertos servicios que se conocen vulnerables, para intentar explotarlos luego. También existen listas de servicios vulnerables previamente confeccionadas puestas a la venta por otros criminales.

1. Intrusión en la red

Se conocen tres métodos por los cuales el atacante accede a la red en este paso:

  1. Ataque de fuerza bruta sobre el servicio RDP de Windows, que corre en el puerto 3389, buscando credenciales débiles.
  2. Aprovechando vulnerabilidades de servicios expuestos a Internet. En el pasado aprovecharon vulnerabilidades en el servidor de aplicaciones JBoss.
  3. Ingeniería social, especialmente a través de correos adjuntos infectados. Se desconocen los detalles de esta forma de entrada.

Una vez completado este punto, el atacante puede ejecutar código en la máquina afectada, si bien dependiendo de la configuración del sistema comprometido o del nivel de la cuenta de usuario comprometida, estaríamos hablando de ejecución a nivel de usuario sin privilegios o a nivel de administrador. Si el atacante no ha conseguido privilegios de administrador, procede al siguiente paso:

2. Elevación de privilegios

Tras conseguir entrar en la red con una cuenta de usuario sin privilegios, el atacante tiene que escalar privilegios y obtener acceso como controlador de dominio. Para ello hace uso de distintas herramientas y exploits, herramientas la mayoría de código abierto y gratuitas, y también creadas por el mismo atacante. No se ha documentado una relación directa entre un exploit en particular y estos ataques en esta fase. Se sabe que en esta fase el atacante ha podido estar días, por ejemplo debido al uso de herramientas que aprovechan la entrada de un controlador de dominio al sistema para robarle el acceso.

3. Movimiento lateral

Con el objetivo de afectar el número máximo de sistemas, el atacante procede a escanear la red y comprometer los sistemas accesibles. Para ello, y con el acceso de administrador, accede de forma normal a un servidor de la compañía, desde el cual procede a escanear la red. Una vez seleccionados los posibles objetivos, accede a todos los que puede y realiza una prueba para ver si efectivamente puede acceder al sistema de archivos de ese sistema. El que esto sea realizado por parte del atacante de forma manual permite hacer el menor ruido posible.

4. Ejecución del malware

Tras establecerse como controlador de dominio desde un servidor de la compañía, el atacante procede a instalar y ejecutar el ransomware SamSam en los objetivos disponibles. Para ello, usa principalmente una herramienta legal llamada PsExec. La ejecución del malware se realiza de una forma atípica: se proporciona una contraseña como parámetro de línea de comandos al ejecutable del ransomware en el momento de ejecución. Esta contraseña se usa para descifrar el malware, que viene cifrado. De esta forma, el atacante mantiene en secreto el funcionamiento concreto del malware, ya que en un análisis post mortem del sistema víctima no se encuentra el código que ha provocado el desastre.

5. Espera del pago y soporte técnico

Tras infectar todos los sistemas objetivo de una forma coordinada (con segundos de diferencia entre ellos), al atacante sólo le queda limpiar todos los rastros que pueda y esperar a que la víctima pague. Tras completarse la ejecución del ransomware, como en casi todos los casos, el malware deja una nota de rescate. En ésta se especifica la cantidad de Bitcoins a pagar para obtener la contraseña de descifrado (con precios en dólares actualmente de unos 500 dólares por máquina y 4.000 por todas) y la dirección a la que realizar el pago. También se especifica una dirección de una web contenida en la red Tor (una red pública y gratuita que mantiene el anonimato de los usuarios, pero que requiere la instalación de software adicional para navegar por ella). En esa dirección se encuentra una forma de contactar con el atacante e incluso poder descifrar algunos archivos gratuitamente. Como el acceso a la red Tor no es conocido para la mayoría de los usuarios, el atacante incluye instrucciones accesibles para poder acceder a ella.

Precisamente uno de los puntos más llamativos de este ransomware es la calidad del "soporte técnico" que se ofrece por parte del atacante para solucionar problemas relacionados con el pago y el descifrado de los archivos, llegando hasta el punto de enviarse una decena de mensajes por parte del atacante para solucionar un problema particular de un usuario que ya había pagado. O disculparse por la tardanza al responder a un mensaje de un usuario. También es reseñable que el atacante parece haber proporcionado la clave de descifrado a todas las víctimas que han pagado, si bien desde Hispasec recomendamos nunca pagar el rescate, ya que contribuiríamos a alimentar este tipo de fraude.

Soluciones y contramedidas

Este malware tiene un sistema de cifrado para el que no se han documentado fallos. Por tanto, en este momento no hay solución más allá de pagar el rescate. Ahora pasamos a diferenciar entre la infección por ransomware y la intrusión a la red para explicar qué medidas se deben tomar con antelación para protegerse de estas amenazas:

Infección por ransomware

En el primer caso, infección por ransomware, existen una serie de medidas específicas para detectar que un malware de este tipo se encuentra ejecutándose y bloquearlo, pero existen otras medidas más básicas y generales de protegerse. Hablamos de las copias de seguridad y los entornos de usuario fácilmente restaurables. Las copias de seguridad son imprescindibles para casos como éste, pero son igualmente vitales en casos de rotura del almacenamiento principal de un sistema y otras catástrofes. Es especialmente interesante que estas copias no estén conectadas a red alguna, o que se encuentren en otro lugar físico.

Adicionalmente, poder restaurar los equipos de los usuarios con un sistema de replicación de imagen de disco duro o un sistema de virtualización distribuido son las otras medidas que complementan a las copias de seguridad de los datos. Ambas medidas combinadas proporcionan una excelente protección contra la amenaza de un ransomware. Incluso en uno de los peores casos: entra un ransomware de propagación automática e infecta los sistemas de todos los usuarios de la red usando un exploit desconocido. Si tienes copias de seguridad diarias, habrás perdido como mucho un día de información. Y si los entornos de tus usuarios son fácilmente restaurables, en unas horas puedes estar funcionando de nuevo con equipos limpios.

Intrusión en la red

Finalmente, queda comentar contramedidas contra intrusiones en la red. En este tipo de casos, empresas grandes con mucho que perder y redes bastante complejas, no se puede ofrecer una serie de contramedidas generales y pensar que eso es suficiente. Es necesario invertir en seguridad informática, tanto en personal como en equipos, y apoyar firmemente desde dirección la implementación y respeto de la política de seguridad diseñada por personal cualificado. En este caso en particular, dados los tres tipos de entradas que se conoce realiza el atacante, podemos comentar las medidas básicas de protección contra cada uno de ellos:

  1. Credenciales débiles: Forzar que todo método de autenticación basado en contraseña respete unos requisitos mínimos de longitud y variedad de caracteres en la contraseña.
  2. Servicios vulnerables expuestos a Internet: Lo primero es exponer el mínimo número de servicios posibles a Internet. Lo segundo es actualizar el software para protegerse al menos de vulnerabilidades conocidas. Finalmente, aislar en la medida de lo posible estos servicios del resto de la red interna.
  3. Ingeniería social: Cursos de conciención a todos los niveles de la compañía, siempre procurando que sean prácticos y amenos. Las políticas de seguridad deben ser razonables y no requerir un esfuerzo sobrehumano para ser respetadas, o los usuarios no las respetarán.

Feelpcs's News 
  • Don't Fall Victim to a Scam or Fraud  

    Here's a typical scam: someone claiming to be from a Company Provider may visit in person or call, even tricking your caller ID into displaying phone number. The imposter will threaten to disconnect service unless there's an immediate payment by pre-paid debit card or a wire transfer; Please be aware of this.

  • El ransomware SamSam ataca a entidades financieras peruanas  

    Desde Hispasec tenemos conocimiento de los ataques sufridos por entidades financieras peruanas, ataques que han tenido como objetivo principal la instalación del ransomware SamSam (también conocido como Samsa o Samas).

  • Destapada operación de blanqueo a través de juegos para móvil gracias a un MongoDB sin control de acceso  

    La organización utilizaba tarjetas de crédito robadas para comprar mejoras e ítems en los juegos para móvil de forma automatizada, que después revendían a cambio de dinero real en portales de compra-venta de recursos alternativos.

  • Cinco maneras de saber si tu empresa es vulnerable a ataques informáticos  

    Ninguna empresa está libre de ser víctima de un ataque informático y por ello la ciberseguridad ya no puede ser opcional en los negocios. Un ataque puede secuestrar información, detener durante días las actividades de una empresa, o alzarse con data confidencial de clientes, entre muchos otros perjuicios..

  • Más de 1'000,00 routers y dispositivos NAS afectados por VPNFilter  

    El equipo de investigadores de Cisco Talos se hacen eco de una nueva familia de malware muy destructiva: VPNFilter. Capaz de robar credenciales, exfiltrar información e incluso destruir el dispositivo afectado.

  • Un grupo de hackers crean una "llave maestra" que abre millones de habitaciones de hotel  

    A partir de hoy, piénselo dos veces antes de dejar pertenencias valiosas en su habitación de hotel. Esta puede ser desbloqueada por un extraño.

  • Who to trust: Different types of SSL certificates  

    A secure connection is encrypted and therefore safe; an unprotected one isn’t. Easy, right? But where do certificates come from, and what’s the difference between SSL and TLS? What does a digital certificate have to do with security, anyway?

  • Guía básica para entender de una vez qué es eso del ‘blockchain’  

    Cadena de bloques. ¿Harto de escuchar que el 'blockchain' va a suponer una revolución? Te explicamos por qué puede ser clave en el futuro

  • Seguridad: Cómo evitar que te pirateen el móvil  

    Guía básica contra virus y otras amenazas móviles. Para que no te timen. O para solucionarlo si ya has picado.

  • Alteryx data leak exposes 123 million households: What you need to know 

    More than 120 million U.S. households had information exposed in a data leak, potentially raising the risk of identity theft for the impacted American families.

  • Nueva campaña de vales regalo que recolecta tu tarjeta de crédito 

    Spam publicitando una nueva campaña fraudulenta, que está afectando a gran cantidad de firmas; utilizándolas como señuelo para recolectar los datos privados de los visitantes, e incluso, para estafarlos recabando sus datos bancarios

  • Mirai IoT Botnet: 5 Fast Facts You Need to Know 

    1. IoT Botnet ‘Mirai’ Targets Vulnerable ‘Smart’ IoT Technology and Turns Them into ‘Bots’
    2. ‘Mirai’ Took Out Amazon, Spotify, Twitter and More Websites in a DDOS Attack
    3. ‘Mirai’s Author Has an Avi of Anime Character Anna Nishikinomiya and Mirai Means “Future” in Japanese
    4. You Can Wipe Off the Malware From an IoT System But Recurrence is Likely
    5. Source Code for ‘Mirai’ Botnet was Released Publicly Which Opens the Door for Future Botnet Attacks

  • 5 reglas de oro para usuarios de redes sociales 

    .-No alimentar a los trolls .-No se debe publicar o volver a publicar nada ilegal .-No volver a publicar estafas .-Piense en las reacciones de los lectores .-No haga que sus datos privados sean publicos.

  • El "Cómo se hizo" del reportaje de "Soy Noticia" 

    Nacho Medina comprueba cómo pueden acceder a sus datos sin que se dé cuenta

  • Our Rising Dependency on Cyberphysical  

    Critical services we rely on are increasingly dependent upon cyberphysical interactivity. The scope of these critical services continues to broaden and deepen across industries, especially as the functionality and speed of devices is more widely understood.

  • What is spyware? 

    Because of its popularity, the internet has become an ideal target for advertising. As a result, spyware, or adware, has become increasingly prevalent. When troubleshooting problems with your computer, you may discover that the source of the problem is spyware software that has been installed on your machine without your knowledge.

  • Understanding Hidden Threats: Rootkits and Botnets 

    Attackers are continually finding new ways to access computer systems. The use of hidden methods such as rootkits and botnets has increased, and you may be a victim without even realizing it.

  • Phishing: Still a concern 

    Businesses often don’t realize how vulnerable their confidential data is until it’s exposed by a hack. By now, many are aware of external threats to data security and (hopefully) prepare accordingly, but breaches can still occur—despite taking the necessary security precautions. And with phishing, threats don’t need to sneak in the back door; sometimes they walk right through the front.

  • "Backoff" malware variants: Unskal, Saluchtra, Dexter and IeEnablerCby 

    Unskal
    Saluchtra
    Dexter
    IeEnablerCby

  • Avoiding Social Engineering and Phishing Attacks 

    What is a social engineering attack?
    What is a phishing attack?
    How do you avoid being a victim?
    What do you do if you think you are a victim?

  • The Dos and Don'ts of Online Safety 

    20 ways to keep your internet identity safe from hackers

  • Si no actualizas Java, estás infectado 

    Los applets de Java, unidos a una máquina virtual JRE vulnerable, son hoy por hoy la combinación perfecta para que los atacantes infecten a sus víctimas. No importa qué hábitos se sigan en el sistema: no tener actualizado JRE, es garantía de infección. Veamos por qué y cómo protegerse.

  • Descubren al espía "más complejo" del mundo 

    ¿Quién necesita a James Bond teniendo a Flame? Un malware que según expertos rusos lleva más de dos años robando todo tipo de información sensible bajo las órdenes de un gobierno no identificado.

  • Nuevos troyanos Spyeye orientados exclusivamente a entidades de Panamá y Honduras 

    Existen decenas de miles de versiones de Spyeye que atacan a cientos de entidades bancarias. Pero en nuestro laboratorio no habíamos visto aún una muestra orientada exclusivamente a bancos de Latinoamérica. Hasta ahora, estas entidades han sido atacadas por troyanos mucho más simples, pero parece que ya han entrado en el peligroso circuito de los troyanos más sofisticados.

  • Usted está en venta 

    Hasta hace poco, el software era un producto conocido, que se vendía en las tiendas en cajas envueltas en plástico transparente y, para comprarlo, sólo tenía que dar su número de tarjeta de crédito o unos cuantos billetes.

  • Microsoft publicará 16 boletines de seguridad el próximo martes 

    Siguiendo con su ciclo habitual de publicación de parches de seguridad los segundos martes de cada mes, Microsoft publicará el próximo 14 de junio 16 boletines de seguridad, correspondientes a los boletines MS11-037 y MS11-052, con un número indeterminado de vulnerabilidades cada uno, pero que completarán 34 vulnerabilidades.

  • Que es Virus Informatico, Malware, Trojan Horse ? 

    Un tipico caso de virus informatico:

  • Cómo elegir un router, el dispositivo clave para armar una red Wi-Fi en casa 

    Una red inalámbrica hogareña permite acceder a Internet a través de notebooks, netbooks, tabletas o celulares desde cualquier ambiente de la casa. Y esto es posible gracias a los routers, equipos que se conectan al módem y son el corazón de las redes sin cables (Wi-Fi). Aquí, algunos datos y sugerencias que quieren ser útiles a la hora de elegir un router para el hogar.

  • RSA: Ataque de Virus - Ejemplo "Para Prevenir Incidentes" 

    El pasado 18 de marzo RSA confesó que había sufrido un ataque dirigido en el que le robaron información relativa a su famoso producto SecurID. En estos momentos ya se sabe cómo accedieron a la información los atacantes y, de paso, que RSA tardó varios días en hacer público el incidente.

  • Vídeo: Kit de creación de phishing "especial" 

    Nuevas formar de alterar paginas webs para recabar email e informacion de usuarios en Internet. Tener mucho cuidado antes de ingresar datos en Internet, muchas paginas de bancos son clonadas.

  • El código de una tarjeta de crédito se puede comprar por dos dólares 

    Los ciberdelincuentes venden las claves a terceros para evitar riesgos - Los especialistas detectan una media de 63.000 nuevas amenazas al día.

  • Virus y Actualizaciones de windows y software afines 

    Resumen del Año 2010 - Virus y Actualizaciones de windows y software afines

  • 10 estrategias principales de seguridad 

    ¿Es un admirador del código malicioso, el spam o el phishing? ¿Lee o sigue listas extensas y complejas de pasos y precauciones? Si su respuesta es no para alguna de estas preguntas o para ambas, revise estas diez estrategias básicas que le permitirán mantener las cosas nocivas lejos de la computadora de su hogar y oficina.

  • Cuidado con los falsos antivirus 

    Dentro del rogueware ha habido siempre varias tendencias. La más conocida sea quizás la de los falsos antivirus, pero existen otras. En estos momentos hemos detectado una nueva campaña muy elaborada de rogueware que simula ser una herramienta de sistema.

  • Peligro de phishing en iPhone 

    Nitesh Dhanjani, investigador de seguridad ha publicado en su blog una vulnerabilidad por la cual un atacante podría engañar al usuario haciéndole creer que están en páginas de confianza como bancos, tiendas online u otras páginas de carácter sensible, cuando en realidad no lo están..

  • Manual para protegerse de los últimos engaños en Internet 

    Los hackers ya se mueven en las redes sociales. En Facebook y Twitter abundan los perfiles falsos y las páginas con programas engañosos. Buscan robar las claves de acceso de los usuarios a los servicios. Consejos para evitar caer en las trampas.

How can we help
  • Virus Removal Experts
  • All Desktop & Notebook Repairs
  • Screens, Motherboards, Hard drives
  • Soldering Jobs
  • Networking
  • Custom Builds
  • Website Design
What We Do