Contenido

• ¿Qué es el ransomware LockFile?
• ¿Cómo afecta LockFile Ransomware a las organizaciones?
• ¿Cómo proteger su organización de LockFile Ransomware?
• Para concluir

Los investigadores de seguridad han encontrado un nuevo ransomware, conocido como LockFile, que se dirige a organizaciones con vulnerabilidades de ProxyShell. Los actores de amenazas están utilizando los detalles técnicos para explotar las vulnerabilidades ‘ProxyShell’ y ‘PetitPotam’ y obtener acceso al controlador de dominio (DC) y luego a toda la red empresarial. Según el investigador de seguridad. kevin beaumont estas vulnerabilidades son peores que ProxyLogon, que se considera una de las vulnerabilidades más graves encontradas en la historia de MS Exchange.

¿Qué es el ransomware LockFile?

LockFile es una nueva variante de ransomware que se detectó por primera vez el 20 de julio de 2021 cuando se produjo un ataque a una organización con sede en EE. UU. Los ataques posteriores a al menos diez organizaciones más fueron seguidos hasta el 20 de agosto. Aunque los actores de amenazas detrás de LockFile están apuntando a servidores Exchange vulnerables en todo el mundo, la mayoría de sus víctimas son de los Estados Unidos y Asia. Según Symantec (parte de Broadcom Inc), LockFile ha afectado a las organizaciones en varios sectores, como servicios financieros, fabricación, servicios comerciales, legal, viajes, ingeniería, turismo, etc.

La nota de rescate del ransomware LockFile es similar a la nota diseñada por el grupo de amenazas LockBit. También se refiere al grupo Conti en el correo electrónico que utilizan.

¿Cómo afecta LockFile Ransomware a las organizaciones?

Los actores de amenazas detrás del ransomware LockFile acceden al servidor de Exchange local mediante el error ProxyShell y luego utilizan la vulnerabilidad PetitPotam para acceder al controlador de dominio. La vulnerabilidad de PetitPotam fue parcheada parcialmente por Microsoft la semana pasada. Una vez que se establece el acceso al controlador de dominio de las organizaciones, instalan herramientas en el controlador de dominio, como:

• Explotación para CVE-2021-36942 (PetitPotam)
• Dos archivos: active_desktop_launcher.exe y active_desktop_render.dll que encripta los sistemas y dispositivos en la red

Una vez que los actores de amenazas están en su red y controlan el controlador de dominio, implementan el ransomware LockFile y algunos archivos por lotes y ejecutables en el controlador de dominio.

De acuerdo a Symantec “Los archivos se copian en el ‘ sysvoldominioscripts ‘, que se usa para implementar scripts en clientes de red cuando se autentican en el controlador de dominio. Esto significa que cualquier cliente que se autentique en el dominio después de copiar estos archivos los ejecutará”.

Actualizar : Los actores de amenazas detrás del ransomware LockFile ahora están aprovechando una nueva técnica llamada cifrado intermitente para acelerar el proceso de cifrado de datos. Esta técnica fue utilizada anteriormente por ransomware, como DarkSide, LickBit 2.0 y BlackMatter. En lugar de cifrar los primeros bloques, el ransomware LockFile cifra cada 16 bytes del archivo. Esto hace que el archivo o los datos sean parcialmente legibles, lo que puede engañar al software para que no detecte el ransomware.

¿Cómo proteger su organización de LockFile Ransomware?

Las organizaciones que utilizan los servicios de certificados de Active Directory (AD CS) con los siguientes servicios son potencialmente vulnerables al ataque de PetitPotam.

• Inscripción web de la autoridad de certificación
• Servicio web de inscripción de certificados

Sin embargo, Microsoft tiene métodos compartidos para mitigar el ataque de PetitPotam. Después de mitigar los riesgos, siga estos pasos para parchear su Exchange Server y proteger su organización contra LockFile y otros ataques maliciosos.

Paso 1: Ejecute la secuencia de comandos del Comprobador de estado de Exchange Server

Descargue el script del verificador de estado de Exchange Server o Comprobador de salud.ps1 desde GitHub y ejecútelo en su Exchange Server 2013, 2016 o 2019. Los pasos son los siguientes:

• Abra Exchange Management Shell (EMS) y vaya a la ubicación de la carpeta donde se descargó el script HealthChecker.ps1.
• Luego ejecute el siguiente comando para ejecutar el script en el servidor,
  .HealthChecker.ps1

• También puede ejecutar el script para un servidor específico utilizando el parámetro -Server.

.HealthChecker.ps1 -Servidor Exch01

• Si el resultado es un error y la secuencia de comandos no se ejecuta, ejecute el siguiente comando en EMS y luego ejecute la secuencia de comandos HealthChecker.ps1.

Set-ExecutionPolicy -Alcance Proceso -ExecutionPolicy Bypass

Si la secuencia de comandos muestra las vulnerabilidades, debe parchearlas descargando e instalando las actualizaciones publicadas por Microsoft. También puede investigar más a fondo y mitigar los riesgos utilizando la herramienta EOMT.

Paso 2: Ejecutar EOMT

EOMT es una herramienta de mitigación local de Exchange con un solo clic lanzada por Microsoft. Los pasos para utilizar la herramienta EOMT son los siguientes:

• Descargar el EOMT.ps1 en su sistema y luego abra EMS.
• En la ventana EMS, navegue hasta la ubicación EOMT.ps1 y luego ejecute el siguiente comando:
  .EOMT.ps1

• La herramienta ejecuta MSERT o Microsoft Safety Scanner en modo Quick Scan para encontrar y eliminar amenazas y shells web instalados por actores de amenazas.

Paso 3: Descargue e instale las actualizaciones del servidor de Exchange

Ahora puede descargar e instalar las actualizaciones de Exchange Server para parchear ProxyShell y otras vulnerabilidades y proteger sus servidores de amenazas. Para obtener detalles sobre las actualizaciones de seguridad y la instalación de Exchange Server, consulte nuestro blog sobre fallas de vulnerabilidad de ejecución remota de código de Microsoft Exchange y sus correcciones.

Para concluir

El grupo de ransomware LockFile aprovechó una vulnerabilidad que Microsoft parchó parcialmente en mayo de este año. Sin embargo, según el investigador de seguridad Kevin Beaumont, decenas de miles de servidores Exchange no están parcheados y son vulnerables a los ataques ProxyLogon y ProxyShell. La mejor defensa es habilitar las actualizaciones automáticas e instalar las últimas actualizaciones de seguridad de Exchange Server lanzadas a partir de marzo de 2021. Sin embargo, si su servidor está comprometido o se bloquea debido a ataques maliciosos, puede usar la copia de seguridad para restaurar los buzones en un nuevo servidor. Como alternativa, puede usar un software de recuperación de Exchange, como Stellar Repair for Exchange, para recuperar buzones de correo de bases de datos inaccesibles (cuando las copias de seguridad no están disponibles o son obsoletas).