Investigadores de seguridad han alertado sobre la existencia de una nueva cepa de ransomware que se ha implementado para llevar a cabo ciberataques dirigidos al sector público y a organizaciones de aviación en Oriente Medio.
Este malware actúa con sigilo y varios pasos encadenados. Primero se disfraza de un programa legítimo, como un archivo llamado Edge.exe, que sirve para cargar en segundo plano un componente oculto (msedge.dll). Este “ayudante” busca en el equipo un archivo que aparenta ser un simple registro técnico (DumpStack.log), pero que en realidad contiene, bien cifrada, la carga útil del ransomware.
Cuando la ha localizado, la desempaqueta y la inyecta dentro de un proceso básico de Windows, como svchost.exe, para pasar inadvertido.
El ransomware, previamente a cifrar los archivos, se encarga de desactivar el antivirus y deshabilitar otros servicios de seguridad. También elimina las copias de seguridad y vacían la papelera de reciclaje para dificultar la recuperación de los archivos.
En su nota de rescate la operación incluye el nombre de la organización, una lista de datos cifrados e instrucciones de pago, personalizando estos detalles para cada víctima. Esto mostraría una intención deliberada.
¿Vínculos con China o solo inspiración?
Por otro lado, este grupo de actores de amenazas se sirve de métodos similares a la banda de origen chino Earth Baxia, a la que se conoce por atacar agencias gubernamentales en la región de Asia-Pacífico, según señala Trend Micro.
Esto puede indicar vínculos entre ambas operaciones o, simplemente, que los atacantes están llevando a cabo una imitación deliberada o un desarrollo independiente de técnicas similares. Por ello, no puede realizarse una atribución definitiva.
En campañas anteriores, Earth Baxia se ha dirigido a entidades gubernamentales en Taiwán y otras naciones de Asia-Pacífico, incluyendo Filipinas, Corea del Sur, Vietnam y Tailandia, a menudo utilizando correos electrónicos de phishing para enviar malware. Sus principales objetivos han incluido hasta la fecha organismos gubernamentales, empresas de telecomunicaciones y el sector energético.
«Este caso ejemplifica una tendencia preocupante: la adopción de técnicas de nivel APT por parte de los operadores de ransomware», señala la empresa de seguridad, advirtiendo que la campaña representa un riesgo comercial significativo. El ataque puede causar interrupciones críticas, pérdida de datos y elevados costos asociados a la recuperación y negociación.
