Sophos, líder mundial en soluciones de seguridad innovadoras para derrotar los ciberataques, comparte hoy detalles de un nuevo grupo de ransomware llamado Mad Liberator en una publicación titulada «No se enoje, sea sabio». El grupo, que apareció por primera vez en julio de 2024, utiliza una táctica de ingeniería social inusual para obtener acceso al entorno de las víctimas.
Una reciente investigación del equipo de Sophos dedicado a la respuesta a incidentes X-Ops, Mad Liberator ataca a las víctimas mediante herramientas de acceso remoto, como Anydesk, instaladas en terminales y servidores, para solicitar acceso y tomar el control del dispositivo. Esta es una herramienta para controlar y acceder a computadoras de forma remota para soporte técnico, trabajo remoto o colaborar en proyectos, pero presumiblemente cualquier programa de acceso remoto se adaptaría a los propósitos de esta organización criminal.
Lo inusual de este enfoque es que los investigadores de Sophos X-Ops no encontraron indicios de contacto entre el atacante y la víctima antes de que la víctima recibiera un escritorio de conexión de Anydesk no solicitado.
Una vez que el atacante envía una solicitud de conexión de Anydesk:
- Las víctimas reciben una ventana emergente que les pide que autoricen la conexión. Para los usuarios cuyas organizaciones utilizan Anydesk, esto puede no parecer inusual
- Una vez que se establece una conexión, el atacante transfiere un binario al dispositivo de la víctima. Este archivo muestra una pantalla que imita una actualización de Windows; mientras tanto, el atacante deshabilita la entrada del teclado y el mouse del usuario, lo que lo hace inconsciente (y no puede detener) de la actividad El atacante está actuando en segundo plano
- Luego, el atacante accede a la cuenta OneDrive de la víctima y utiliza la función Anydesk FileTransfer para robar y exfiltrar archivos de la empresa, antes de buscar otros dispositivos en la misma subred que puedan ser explotados
- Si bien la víctima no es consciente de esta operación en segundo plano, el atacante comparte numerosas notas de rescate en las que anuncia que los datos han sido robados y cómo pagar el rescate para evitar la divulgación de los archivos robados
¿Qué hacer para protegerse?
Para evitar convertirse en una víctima del grupo de ciberatacantes Mad Liberator u otros ataques similares, Sophos recomienda seguir estos pasos:
- Desconfíe de solicitudes de acceso remoto no solicitadas: no acepte conexiones de herramientas como Anydesk si no ha sido programada previamente.
- Revise las políticas de seguridad de su organización: asegúrese de que solo personal autorizado pueda acceder a herramientas de acceso remoto.
- Mantenga su software actualizado: las actualizaciones regulares pueden cerrar brechas de seguridad que los atacantes podrían explotar.
- Utilice soluciones de seguridad avanzadas: herramientas como las que ofrece Sophos pueden detectar y neutralizar amenazas antes de que causen daño.