El FBI investiga ataque al servicio de aguas y alcantarillado de North Carolina

Funcionarios federales están trabajando conjuntamente con una empresa local encargada del servicio de aguas de North Caroline, después de que se hayan detectado intrusiones en sus sistemas.

El jefe de aguas y alcantarillados de Onslow (en Carolina del Norte) expuso en un comunicado que habían sido objeto de un “sofisticado ataque de ransomware“.

El relato de los hechos, según el CEO de la compañía (Jeffrey Hudson) de aguas y alcantarillado, comienza a las 3:00AM del día 4 de octubre, cuando un empleado del departamento IT se percató del ataque y reaccionó desconectando los sistemas de internet.
Sin embargo, para ese entonces, el virus ya se había propagado rápidamente por la red local y logró cifrar varios sistemas importantes del servicio de aguas (bases de datos, según el CEO).
Tanto el CEO del servicio de aguas y alcantarillado de North Carolina como el jefe de IT, estuvieron de acuerdo en no ceder a las amenazas de rescate de los atacantes.

Jeffrey Hudson declara que, la información de sus clientes no ha sido comprometidatras el ataque, pero sí han tenido que restaurar varias bases de datos que poseían para volver a la normalidad.

De acuerdo con centro de quejas de delitos por internet del FBI, los ataques de tipo ransom (cifrar el disco completo y pedir a continuación un rescate por la clave) no son tan comunes si los comparamos con otros como el phishing, aunque si son costosos para las organizaciones/particulares que las sufren.

El virus usado utilizado por los atacantes es Emotet, un troyano bancario cuya función principal es descargar y lanzar otros malwares. En este caso, el malware lanzado es Ryuk, un malware de tipo ransom.

Emotet es un malware troyano polimórfico. Anteriormente este malware se consideraba del tipo bancario, hoy en día es un troyano bancario cuya función principal es descargar y lanzar otros ejecutables. También tiene la capacidad de descargar módulos adicionales de su servidor, entre los que encontramos:

  • Módulo de spam
  • Módulo de gusano de red.
  • Módulo para visualizar la contraseña del correo electrónico.
  • Módulo para visualizar las contraseñas del navegador web.
Se propaga por medio de una botnet de spam, adjuntando documentos o enlaces maliciosos en correos electrónicos, también mediante fuerza bruta con diccionario.
Una vez que Emotet ha infectado un dispositivo, tiene la capacidad de interceptar, registrar y guardar todo el tráfico saliente del navegador web.
Ryuk es descargado y lanzado por Emotet. Ryuk es usado en ataques dirigidos hechos a medida (al contrario que Emotet, que mayormente usa botnets de spam).
La primera muestra de Ryuk de la que se tiene constancia es del día 18 de agosto de 2018
Infecta todos los archivos del sistema excepto los ficheros de la lista blanca de directorios. Estos serían “Windows”, “Mozilla”, “Chrome”, “RecycleBin”, “Ahnlab”
documentos de MS Office, OpenOffice, PDFs, archivos de texto, bases de datos, fotos, música, vídeos, archivos de imágenes, archivos, etc
Más información:
Comunicado:
https://www.onwasa.com/DocumentCenter/View/3701/Scan-from-2018-10-15-08_08_13-A

EMOTET info:
https://www.us-cert.gov/ncas/alerts/TA18-201A

RYUK info:
https://research.checkpoint.com/ryuk-ransomware-targeted-campaign-break/

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *