El ransomware ScRansom ataca a pequeñas y medianas empresas

ScRansom Ransomware es una de las infecciones más peligrosas. Es una cepa de ransomware personalizada desarrollada por un actor de amenazas conocido como CosmicBeetle. ScRansom Ransomware está causando estragos en pequeñas y medianas empresas (PYMES) en Europa, Asia, África y Sudamérica.

ScRansom se ha convertido en un arma sofisticada en manos de los cibercriminales, que buscan explotar las debilidades de una amplia gama de industrias. A medida que continúa propagándose, el ransomware ScRansom plantea importantes preocupaciones para el panorama de la ciberseguridad. A continuación, analizamos en detalle qué es ScRansom, cómo funciona y qué pretende lograr.

Entendiendo el ransomware ScRansom

ScRansom es una cepa relativamente nueva de ransomware, que ha reemplazado a una variante anterior llamada Scarab , implementada previamente por CosmicBeetle. Esta nueva cepa se ha infiltrado y atacado a empresas de diversos sectores, incluidos la fabricación, la atención médica, los productos farmacéuticos, la tecnología e incluso los gobiernos regionales. CosmicBeetle, también conocido por el alias NONAME , se ha establecido como un actor destacado en el mundo del cibercrimen, en particular a través de su conjunto de herramientas Spacecolon para entregar cargas útiles maliciosas.

Si bien no es el ransomware más sofisticado del mercado, ScRansom se actualiza y perfecciona continuamente. Según los investigadores de ciberseguridad, CosmicBeetle ha mejorado la eficacia del ransomware, en particular adoptando herramientas de otros grupos de ransomware y mejorando sus vectores de ataque. A pesar de su estado de desarrollo, ScRansom ha comprometido objetivos interesantes y valiosos.

Qué hacen los programas ransomware

Los programas ransomware como ScRansom están diseñados para infectar sistemas, cifrar archivos y exigir el pago de un rescate a las víctimas a cambio de claves de descifrado. Suelen implementarse mediante ataques de phishing, descifrado de contraseñas por fuerza bruta o aprovechamiento de vulnerabilidades conocidas del sistema. Una vez que el ransomware se encuentra dentro de una red, se propaga rápidamente, cifrando datos y archivos esenciales, lo que impide que las empresas operen de manera eficaz.

El objetivo de estos programas es simple: extorsionar a sus víctimas. En el caso de ScRansom, después de cifrar los archivos, los atacantes exigen un rescate para recuperar el acceso. Si las víctimas se niegan a pagar, a menudo se enfrentan al riesgo de perder los datos de forma permanente, ya que ScRansom tiene un modo "ERASE" que hace que los archivos sean irrecuperables sobrescribiéndolos con datos aleatorios. Esto hace que sea extremadamente difícil para las víctimas recuperar sus datos sin la clave de cifrado, a la que solo se puede acceder después de pagar el rescate.

Lo que quiere ScRansom

El objetivo principal de ScRansom, como la mayoría de las variedades de ransomware, es obtener ganancias económicas. CosmicBeetle pretende sacar provecho de los sistemas vulnerables exigiendo rescates a cambio de claves de descifrado. Sin embargo, los creadores de ScRansom han ido un paso más allá al intentar aprovechar la reputación de otros grupos de ransomware de alto perfil para presionar a las víctimas a pagar.

Una táctica notable es la de utilizar herramientas y técnicas de CosmicBeetle tomadas de grupos de ransomware más infames como LockBit. En algunos casos, han intentado hacer que sus ataques parezcan realizados por estos grupos más establecidos. De esta manera, buscan aumentar la probabilidad de que las víctimas paguen el rescate rápidamente, por temor a estar tratando con atacantes más peligrosos y conocidos.

Otro aspecto destacable de la estrategia de ScRansom es su posible conexión con RansomHub, otro grupo de ransomware. La evidencia indica que las cargas útiles de ScRansom y RansomHub se implementaron en los mismos sistemas objetivo en un corto período de tiempo, lo que sugiere cierto nivel de colaboración o técnicas compartidas entre los dos grupos.

Cómo ScRansom se infiltra en los sistemas

CosmicBeetle aprovecha una variedad de métodos de ataque para lanzar ScRansom, incluidos ataques de fuerza bruta y la explotación de vulnerabilidades conocidas. Estas vulnerabilidades, muchas de las cuales se han divulgado y parcheado públicamente, todavía son utilizadas activamente por los ciberdelincuentes para infiltrarse en sistemas que no han sido protegidos adecuadamente. Entre las vulnerabilidades más comúnmente explotadas por ScRansom se encuentran CVE-2017-0144, CVE-2020-1472, CVE-2021-42278, CVE-2021-42287, CVE-2022-42475 y CVE-2023-27532.

Una vez dentro de un sistema, el ransomware utiliza varias herramientas, como Reaper, Darkside y RealBlindingEDR, para desactivar las medidas de seguridad y evitar ser detectado. La capacidad de ScRansom para terminar los procesos de seguridad lo hace especialmente peligroso, ya que puede eludir muchas de las defensas que tienen las organizaciones para proteger sus sistemas.

La creciente amenaza de ScRansom

El auge de ScRansom pone de relieve la continua evolución del ransomware como herramienta de extorsión cibernética. Los atacantes desarrollan continuamente nuevas variedades y mejoran las existentes, por lo que las empresas de todos los tamaños deben permanecer alertas. Las PYMES, en particular, se han convertido en un objetivo principal debido a sus recursos y defensas de ciberseguridad, que suelen ser limitados.

Las frecuentes actualizaciones de CosmicBeetle a ScRansom demuestran su compromiso con la mejora de la eficacia del ransomware. El grupo incluso ha experimentado con el uso de herramientas como el generador de LockBit para mejorar sus capacidades, con la esperanza de emular el éxito de operaciones de ransomware más grandes y notorias. Este refinamiento constante sugiere que ScRansom podría convertirse en una amenaza aún más formidable en el futuro cercano.

Protección contra ScRansom y otros ransomware

Para protegerse contra ransomware como ScRansom, las empresas deben tomar medidas proactivas para proteger sus redes. Es fundamental aplicar parches regularmente a las vulnerabilidades conocidas, implementar políticas de contraseñas seguras y asegurarse de que los empleados conozcan los riesgos de phishing. Además, las soluciones de seguridad avanzadas, como las herramientas Endpoint Detection and Response (EDR), pueden ayudar a detectar y bloquear el ransomware antes de que pueda causar daños importantes.

A medida que el ransomware evoluciona, las empresas deben adaptarse y fortalecer sus defensas de ciberseguridad para evitar estas amenazas cada vez más sofisticadas. Si bien ScRansom puede que aún no sea la variedad de ransomware más avanzada, no se debe subestimar su potencial de crecimiento ni la persistencia de CosmicBeetle.