Intentos de implementación de ransomware mediante TeamViewer

Los analistas del SOC de Huntress alertaron recientemente a clientes sobre dos endpoints distintos identificados con un impacto mínimo de ransomware; es decir, solo se cifró un número limitado de archivos señuelo de ransomware. En ninguno de los dos casos hubo indicios de que el actor de amenazas realizara actividades de reconocimiento más allá del endpoint afectado, ni que intentara moverse lateralmente hacia otros endpoints dentro de la infraestructura.

En uno de los incidentes, las acciones del actor de amenazas fueron frenadas por el software de seguridad instalado. Según los nombres de archivo observados, los incidentes parecen similares a lo descrito en el blog de VMWare del 15 de octubre de 2022, titulado “LockBit 3.0 Ransomware Unlocked”.

Acceso inicial

Una investigación de cada endpoint reveló que el acceso inicial a cada uno se logró mediante TeamViewer. La última entrada del archivo de registro connections_incoming.txt de TeamViewer mostró el acceso del actor de amenazas a cada endpoint.

Entrada de registro del endpoint A:
WIN-8GPEJ3VGB8U 21-12-2023 16:22:15 21-12-2023 16:29:51 user RemoteControl {GUID}

Entrada de registro del endpoint B:
WIN-8GPEJ3VGB8U 21-12-2023 20:03:23 21-12-2023 20:13:31 user RemoteControl {GUID}

Ambas entradas de registro fueron sumamente valiosas, ya que no solo demuestran que un endpoint de origen con el mismo nombre se conectó a ambos endpoints, sino que también indican la hora y la duración de la sesión de inicio de sesión. Como se puede ver, la sesión de inicio de sesión del endpoint A duró aproximadamente 7½ minutos, mientras que la del endpoint B duró poco más de 10 minutos.

Para el endpoint A, las entradas del registro connections_incoming.txt de TeamViewer mostraron accesos repetidos por parte de varias personas específicas, que Huntress determinó que eran administradores legítimos. Los accesos ocurrieron desde múltiples endpoints (según los nombres de endpoint que figuran en los registros), incluidos algunos con “-HOME” en el nombre.

Para el endpoint B, las entradas del registro connections_incoming.txt se remontaban hasta 2018, pero también mostraron que, antes del acceso del actor de amenazas, la última sesión de inicio de sesión al endpoint mediante TeamViewer había ocurrido más de tres meses antes.

Los analistas de Huntress han observado anteriormente a actores de amenazas acceder a endpoints mediante TeamViewer, para implementar un minero de criptomoneda, y durante un incidente en el que curl.exe se usó para exfiltración de datos.

Intentos de implementación de ransomware

En ambos endpoints, la implementación inicial del ransomware comenzó con un archivo por lotes de DOS ejecutado desde el escritorio del usuario:

C:\Users\user\Desktop\PP.bat

Este archivo por lotes, a su vez, ejecutó el siguiente comando rundll32.exe:

rundll32 C:\Users\user\Desktop\LB3_Rundll32_pass.dll,gdll -pass <32-char password>

El impacto del ransomware en el endpoint A no solo fue limitado, sino que se limitó únicamente a ese endpoint.

Sin embargo, en el endpoint B, el software de seguridad instalado frenó el avance del actor de amenazas y lo obligó a realizar intentos alternativos para cifrar archivos en el endpoint. Tras mensajes de registro que indicaban que el archivo DLL mencionado había sido puesto en cuarentena, el actor de amenazas intentó varias veces ejecutar el siguiente archivo antes de que también fuera puesto en cuarentena por el software de seguridad:

C:\Users\user\Desktop\LB3.exe

El software de seguridad instalado puso en cuarentena el siguiente archivo antes de cualquier intento aparente de ejecutarlo:

C:\Users\user\Desktop\ZZZZZZZ

Después de este punto en los registros, no se observó ninguna actividad adicional del actor de amenazas durante la sesión de inicio de sesión.

Conclusión

Las medidas de seguridad básicas se basan en un inventario de activos, no solo de endpoints físicos y virtuales, sino también de aplicaciones instaladas. Esto, junto con incidentes anteriores observados por los analistas del SOC de Huntress, demuestra claramente que los actores de amenazas buscan cualquier medio disponible para acceder a endpoints individuales, causar estragos y, posiblemente, extender su alcance más allá dentro de la infraestructura.