Los ocho odiosos : Guía de Kaspersky sobre las TTP de los grupos de ransomware modernos

Hoy en día, el análisis del ransomware recibe mucha cobertura en los informes comerciales y públicos, y cada año los proveedores publican docenas de artículos relacionados con este fenómeno. Estos informes ofrecen análisis sobre familias de malware específicas o nuevas muestras, describen las actividades de un grupo de ransomware en concreto, dan consejos generales sobre cómo impedir que el ransomware cumpla su cometido, etc. Los analistas de malware y los profesionales de la seguridad pueden aprender mucho de estos informes, pero gran parte de su contenido no tiene un uso inmediato o práctico. Los expertos de Kaspersky hemos adoptado un enfoque diferente al publicar el informe Common TTPs of modern ransomware. Queremos que el lector se familiarice con las diferentes etapas del uso del ransomware, con cómo los ciberdelincuentes utilizan las RAT y otros instrumentos en las distintas etapas y qué pretenden conseguir. El informe también ofrece una guía visual para defenderse de los ataques selectivos de ransomware, tomando como ejemplo los grupos más prolíficos, y pone a disposición del lector las reglas de detección SIGMA que hemos creado.

¿De qué grupos de ransomware estamos hablando?

Para el informe hemos seleccionado los ocho grupos de ransomware más comunes:

1. Conti/Ryuk
2. Pysa
3. Clop (TA505)
4. Hive
5. Lockbit2.0
6. RagnarLocker
7. BlackByte
8. BlackCat

Hemos analizamos en detalle los ataques perpetrados por estos grupos y usado las técnicas y tácticas descritas en MITRE ATT&CK para identificar un gran número de TTP compartidas. Al rastrear todos los grupos y detectar sus ataques, vimos que sus principales técnicas siguen siendo las mismas a lo largo de la cadena de “cyber kill”. Los patrones de ataque revelados no son casuales, porque esta clase de ataque requiere que los hackers pasen por ciertas etapas, como la penetración en la red corporativa o en la computadora de la víctima, la entrega de malware, y las etapas posteriores: descubrimiento, secuestro de cuentas, borrado de las copias de seguridad, eliminación de las instantáneas y, finalmente, la consecución de sus objetivos.
Para destacar los componentes comunes y las TTP compartidas por los grupos de ransomware en los diferentes patrones de ataque, hemos creado un diagrama de las “cyber kill chain” comunes, que proporciona una representación visual de las técnicas y tácticas utilizadas por los diferentes operadores de ransomware.

Tras recoger los datos de los incidentes relacionados con los grupos de ransomware, podemos identificar las TTP características de cada uno de ellos y superponerlas a la “cyber kill chain” compartida. Las flechas indican la secuencia de técnicas específicas y los colores marcan los grupos individuales que se sabe que usan estas técnicas.

¿A quién va dirigido el informe?

Este informe está dirigido a analistas de SOC, equipos de caza de amenazas, analistas de inteligencia de ciberamenazas, especialistas en análisis forense digital y especialistas en ciberseguridad que participan en el proceso de respuesta a incidentes o quieren proteger el entorno del que son responsables frente a ataques selectivos de ransomware. Nuestro principal objetivo es ayudar a entender cómo operan los grupos de ransomware y cómo defenderse de sus ataques.
Puede utilizar este informe como una fuente de conocimientos acerca de las principales técnicas utilizadas por los grupos de ransomware, para escribir reglas de caza y para auditar sus soluciones de seguridad.

El informe contiene

• Las tácticas, técnicas y procedimientos (TTP) de ocho grupos modernos de ransomware: Conti/Ryuk, Pysa, Clop (TA505), Hive, Lockbit2.0, RagnarLocker, BlackByte y BlackCat
• Una descripción de cómo los diferentes grupos comparten más de la mitad de los componentes y TTP comunes, y de cómo las etapas principales del ataque se ejecutan de forma idéntica en todos los grupos
• Un diagrama de la “cyber kill chain” que combina las intersecciones visibles y los elementos comunes de los grupos de ransomware seleccionados y permite predecir los siguientes pasos de los actores de la amenaza
• Un análisis detallado de cada técnica con ejemplos del uso que le dan varios grupos y una lista completa de mitigaciones
• Reglas SIGMA basadas en las TTP descritas, que pueden aplicarse a las soluciones SIEM

Common TTPs of modern ransomware(Inglés, PDF)