What happens when security tools go dark before the ransomware
Investigadores de amenazas informaron sobre una campaña del grupo vinculado a China conocido como Storm-2603, el cual utiliza el ransomware Warlock. Durante los dos meses previos al reporte, este grupo atacó a cuatro entidades situadas en territorios de habla hispana y portuguesa en Europa, África y América Latina, abarcando una empresa de servicios de agua, un proveedor de telecomunicaciones, una entidad gubernamental regional y una universidad. La vía de acceso probable utilizada fue SharePoint local, aprovechando fallas tanto recientes como una vulnerabilidad corregida con más de un año de anticipación.
El modus operandi de los atacantes incluye un periodo de preparación antes de desplegar el ransomware. En uno de los incidentes analizados, colocaron un web shell en un servidor SharePoint y, a lo largo de una semana, mapearon el dominio, configuraron accesos remotos y añadieron una cuenta con privilegios de administrador local. Posteriormente, desactivaron las herramientas de seguridad en aproximadamente cuarenta equipos en un lapso de dos horas, distribuyendo simultáneamente el ransomware Warlock a través de la carpeta SYSVOL para que este se propagara de forma automática en los equipos que se quedaban sin protección.
El texto señala que gran parte del gasto en seguridad depende de que los sensores y las consolas sigan funcionando correctamente cuando ocurre un ataque. Sin embargo, dado que los agresores pueden apagar las herramientas de monitoreo antes de lanzar la carga maliciosa, se sugiere que las organizaciones evalúen el valor real de sus presupuestos de seguridad. Se recomienda dividir el presupuesto entre defensas dependientes de sensores y aquellas protecciones que operan directamente en la máquina sin requerir la intervención humana o una consola conectada, evaluando los riesgos reales en caso de que los sistemas de vigilancia dejen de reportar actividad.