Recientemente un grupo de investigadores ha descubierto un nuevo grupo de actores de amenaza, los mismos se autodenominan como “Memento” y por el tipo de incidentes a los que han estado involucrados, sus acciones han demostrado que tienen la única finalidad de obtener beneficios económicos.
Memento, ha destacado por su nuevo método para burlar la funcionalidad que impide a los atacantes cifrar archivos, al utilizar el ya conocido software de compresión de archivos WinRAR, abusando de la funcionalidad del software de crear una copia comprimida con contraseña, una vez finalizado el proceso de cifrado, el Ransomware procede a eliminar el archivo original
Según los expertos, el vector de ataque inicial utilizada por Memento es mediante la explotación de una vulnerabilidad crítica en vSphere Client de VMware (CVE-2021-21972), abordada por la marca el 23 de febrero, la cual permite a los atacantes ejecutar código remoto de forma arbitraria y con privilegios de sistema.
Los investigadores también mencionaron que “Memento” demostró bastante paciencia, por motivo que en los incidentes analizados los atacantes duraron un largo tiempo dentro de la red sin ser detectados, antes de ejecutar el ataque de cifrado, incluso en algunos de ellos lanzaron al menos dos diferentes miners de criptomonedas en los servidores donde lograron su acceso inicial, algo bastante común entre los diferentes atacantes que utilizan exploits similares.
Cuando los atacantes logran obtener el control del dispositivo, es utilizado para la instalación del malware “PyInstaller”, lo que les permite crear paquetes en todas las dependencias utilizando Python, un ejemplo ello, sería una de las herramientas desplegadas durante su proceso de movilización lateral, el cual es Keylogger de código abierto basado en Python.
Las dos herramientas lanzadas a los sistemas comprometidos durante etapas iniciales de infección, fueron wmiexec (para ejecutar comandos) y secretsdump (para obtener credenciales de cuentas), continuando con el reconocimiento y movimiento lateral, los atacantes instalan NMAP (para escanear la red), Plink SSH (para establecer tuneles SSH), Npcap (para capturar paquetes de red) y Mimikatz (para robar credenciales administrativas).
COMENTARIOS