La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) emitió el jueves un nuevo Cybersecurity Advisory (CSA) advirtiendo a las entidades del sector de infraestructuras críticas contra la actividad en curso de ransomware patrocinado por el Estado norcoreano.

Como parte de la campaña #StopRansomware, el nuevo aviso es el resultado de la colaboración entre la CISA, la Agencia de Seguridad Nacional (NSA), la Oficina Federal de Investigación (FBI), el Departamento de Salud y Servicios Humanos (HHS), el Servicio Nacional de Inteligencia (NIS) de la República de Corea (ROK) y la Agencia de Seguridad de Defensa (DSA) de la ROK.

El documento técnico se basa en un aviso de julio, que ofrecía una visión general de los grupos de ransomware patrocinados por el Estado de la República Popular Democrática de Corea (RPDC).

La última iteración del documento analiza ahora la actividad de los grupos Maui y H0lyGh0st. Las tácticas, técnicas y procedimientos (TTP) observables que se mencionan en el aviso de la CISA incluyen la adquisición de infraestructura, como dominios, personas y cuentas, así como la ofuscación de identidades.

Estos actores de la amenaza de la RPDC habrían adquirido redes privadas virtuales (VPN) y servidores privados virtuales (VPS) o direcciones IP de terceros países para ocultar su ubicación. Utilizaron varios exploits de vulnerabilidades comunes para obtener acceso y escalar privilegios de red. Entre ellas se incluyen CVE 2021-44228, CVE-2021-20038 y CVE-2022-24990.

Tras obtener el acceso inicial, se observó que estos ciberagentes de la RPDC utilizaban cargas útiles escenificadas con malware personalizado para realizar actividades de reconocimiento y ejecutar comandos shell, entre otras técnicas. Durante estas campañas se ha desplegado constantemente ransomware de desarrollo privado, con peticiones de rescate fijadas en Bitcoin.

Para protegerse contra estas amenazas, la recomendación del CISA aboga por varias medidas de mitigación, como limitar el acceso a los datos autenticando y cifrando las conexiones, utilizar conceptos de mínimo privilegio en las cuentas y crear defensas multicapa para redes y activos.