Una nueva cepa de ransomware conocida como ELENOR-corp, identificada como la versión 7.5 del ransomware Mimic, se ha utilizado en una serie de ataques dirigidos al sector sanitario.
La campaña presenta una gama de capacidades avanzadas, como la exfiltración de datos, el acceso persistente y estrategias antiforenses diseñadas para obstaculizar los esfuerzos de recuperación y maximizar los daños.
Esta última versión de Mimic introduce varias funciones novedosas. En primer lugar, garantiza el acceso desde la línea de comandos independientemente de las restricciones del sistema. Este paso es crucial para aprovechar la técnica de omisión de claves persistentes, que permite la ejecución remota de comandos sin credenciales de usuario. También desmonta forzosamente las unidades virtuales, impidiendo el almacenamiento oculto de datos en entornos montados.
La implementación del ransomware se acompaña de entradas de registro persistentes y una solicitud de rescate visible en la pantalla de inicio de sesión de Windows. Si se utiliza .NET 4.0, una interfaz gráfica de usuario (gui40.exe) permite a los atacantes ajustar los parámetros de cifrado. El ejecutable está ofuscado para evadir la detección y complicar el análisis.
Una característica destacada de ELENOR-corp es la agresiva manipulación de evidencias. Elimina registros, historiales de indexación de archivos y entradas de registro, y utiliza comandos fsutil para sobrescribir y eliminar sus propios binarios, lo que limita la recuperación forense.
El malware también modifica la configuración de energía para aumentar la velocidad de cifrado al desactivar los modos de suspensión e hibernación.
Para facilitar la rápida propagación por las redes, ELENOR-corp habilita sesiones RDP paralelas y anula las restricciones de inicio de sesión simultáneo.
Los recursos compartidos de red, tanto públicos como ocultos, se analizan mediante enumeración recursiva y funciones de socket de bajo nivel. Se añaden los recursos compartidos objetivo para el cifrado, excluyendo específicamente algunos recursos administrativos.
La eliminación de copias de seguridad es otra táctica clave. Al borrar el catálogo de copias de seguridad de Windows y la Papelera de reciclaje, ELENOR-corp garantiza que las víctimas no puedan restaurar los datos sin una intervención manual significativa.