Cerber es una cepa de ransomware diseñada para bloquear el acceso de las víctimas a sus propios datos mediante el cifrado de archivos y la exigencia de pagos en criptomonedas como rescate. Se hizo conocido por su capacidad de distribuirse como ransomware como servicio (RaaS), lo que permite que incluso atacantes sin conocimientos técnicos ejecuten ataques. Sus funciones clave incluyen cifrado avanzado, propagación sigilosa y la presentación de notas de rescate en varios idiomas. Cerber ha causado interrupciones considerables en distintas industrias, incluidas la salud, la educación y las finanzas.
Cerber se descubrió por primera vez a principios de 2016 y rápidamente se convirtió en una de las amenazas de ransomware más prolíficas. El malware fue identificado inicialmente por investigadores de ciberseguridad que analizaban casos inusuales de cifrado de archivos reportados por víctimas afectadas.
Las identidades y el número de personas detrás de Cerber siguen siendo desconocidos. Sin embargo, se cree que es obra de un grupo altamente capacitado, dado sus métodos avanzados de cifrado y la sofisticación de su plataforma de ransomware como servicio.
Cerber apunta principalmente a sistemas basados en Windows, explotando vulnerabilidades tanto en redes individuales como empresariales. Se ha distribuido en una variedad de industrias y sectores, incluidas pequeñas empresas, infraestructura crítica y servicios en la cloud. Su amplio rango de objetivos refleja su capacidad de implementación a gran escala.
Cerber se propaga principalmente a través de correos de phishing que contienen archivos adjuntos o enlaces maliciosos. También se propaga mediante kits de exploits, descargas automáticas y servicios de protocolo de escritorio remoto (RDP) comprometidos, aprovechando debilidades en las configuraciones de seguridad para entregar su payload.
Cerber comienza su ataque infiltrándose en el sistema y ejecutando su payload, que cifra los archivos con sólidos algoritmos de cifrado AES y RSA. El ransomware añade extensiones de archivo aleatorias a los archivos cifrados, lo que dificulta identificar el tipo de archivo original. Elimina las copias ocultas y desactiva los mecanismos de recuperación para impedir la restauración. Cerber también emplea técnicas de evasión sofisticadas, como la detección de sandbox y la capacidad de permanecer inactivo hasta que el sistema cumpla ciertos criterios.
MITRE ATT&CK IDs:
Acceso inicial (T1566.001): Spear phishing por correo electrónico.
Ejecución (T1047): Ejecución de scripts para desplegar payloads.
Persistencia (T1547.001): Modificación del registro de autoarranque.
Evasión de defensas (T1027): Archivos ofuscados o todos los artefactos.
Impacto (T1486): Cifrado de archivos con algoritmos AES/RSA.
IPs asociadas a servidores C2 de Cerber.
Hashes SHA-256 de archivos de ransomware.
URLs vinculadas a ubicaciones de descarga de payloads.
Los signos comunes de una infección incluyen la incapacidad repentina de acceder a archivos, extensiones de archivo inusuales en los documentos y notas de rescate mostradas como archivos de texto, HTML o en el escritorio. Las víctimas también pueden notar un rendimiento más lento del sistema y actividad de red saliente inesperada.
Abordar una infección de Cerber implica aislar los sistemas afectados de la red para evitar que se siga propagando. Usa herramientas confiables de Detección y respuesta para endpoints (EDR), como Huntress, para identificar y poner en cuarentena archivos maliciosos. Restaura los datos desde copias de seguridad limpias y evita pagar el rescate, ya que esto refuerza la actividad criminal.
Cerber sigue evolucionando y han surgido variantes a lo largo de los años, impulsadas por su amplio uso a través de RaaS. Si bien su actividad ha disminuido en comparación con cepas de ransomware más nuevas, las campañas basadas en Cerber todavía representan riesgos, especialmente para los sistemas sin protección.
Para reducir el riesgo de infecciones por Cerber, las organizaciones deben exigir la autenticación multifactor (MFA), aplicar parches a los sistemas con regularidad y usar soluciones de detección y respuesta administradas (MDR) como Huntress para contar con monitoreo las 24 horas. Educa a los empleados sobre los riesgos de phishing y mejora la higiene cibernética general para fortalecer las defensas en todos los niveles.
