El ransomware de Cuba

Cuba se lanza a menudo a través del malware cargador Hancitor de primera etapa, que obtiene acceso a través de ataques de phishing, vulnerabilidades expuestas o credenciales RDP robadas o forzadas. Para bloquear los archivos de los objetivos, Cuba utiliza el algoritmo de cifrado simétrico ChaCha20 y, a continuación, añade y cifra la clave de descifrado utilizando una clave pública RSA de la que posee la clave privada correspondiente.

Cabe destacar las diversas herramientas, tácticas y técnicas observadas en los ataques de Cuba. He aquí una lista no exhaustiva de las tácticas y técnicas de Cuba:

• Comunicación con servidores de mando y control (C2) a través de malware SystemBC que utiliza conexiones SOCKS5.
• Aprovechamiento de las vulnerabilidades de Microsoft Exchange para penetrar en los servidores de correo de la red
• Desplazarse lateralmente por una red utilizando una plataforma PowerShell, SystemBC, Mimikatz, Cobalt Strike y herramientas integradas como cmd.exe.
• Utilizar PSEXEC para transferir las cargas útiles a los nuevos sistemas comprometidos.
• Eliminación de los controles de acceso a recursos compartidos de red
• Creación de nuevos usuarios en el sistema comprometido para el acceso persistente 
• Alteración de las reglas del cortafuegos para permitir el puerto 3389 para conexiones RDP
• Desactivación de los productos de seguridad antivirus y de detección y respuesta para puntos finales (EDR )
• Explotación del controlador Windows Common Log File System (CLFS) para robar credenciales de administrador
• Utilización del descargador personalizado BUGHATCH, el antimlaware killer BURNTCIGAR y los marcos Metasploit para atacar sistemas.
• Evadir las defensas y eludir la seguridad mediante la técnica Bring Your Own Vulnerable Driver (BYOVD).
• Explotación de la vulnerabilidad CVE-2023-27532 a través de Veeam Backup Service para acceder a credenciales almacenadas.

El ransomware Cuba utiliza múltiples técnicas de ataque, por lo que se recomienda un enfoque de Defensa en Profundidad para combatir a este vicioso adversario. Entre las medidas defensivas que se pueden emplear para combatir los ataques de Cuba ransomware se incluyen: 

• Políticas de contraseñas que exijan un espacio de claves seguro y habiliten la autenticación multifactor para todos los servicios críticos.
• Herramientas modernas de gestión de identidades y accesos (IAM) 
• Productos avanzados de seguridad de puestos finales en todos los puestos finales para detectar indicadores de peligro (IOC) y tomar medidas defensivas para bloquear la ejecución de cargas útiles maliciosas.
• Mantener actualizados todos los sistemas operativos y programas informáticos y realizar periódicamente análisis de vulnerabilidades y pruebas de penetración de toda la infraestructura de red, corrigiendo lo antes posible cualquier vulnerabilidad descubierta.
• Aplicación de un enfoque de seguridad basado en el principio del menor privilegio, incluida la eliminación del acceso innecesario a recursos compartidos administrativos y otros servicios.
• Redes segmentadas y NIPS y NIDS para supervisar la actividad de la red en busca de comportamientos anómalos.
• Endurecimiento de todos los puntos finales, incluidas las estaciones de trabajo y los servidores de los empleados, mediante la desactivación de las actividades y los permisos de la línea de comandos y scripts, así como de los servicios no requeridos, para reducir la posibilidad de que se produzcan ataques del tipo "vivir del cuento" (LOTL).
• Una sólida estrategia de copias de seguridad que incluya copias de seguridad offline, encriptadas e inmutables de los datos.