El último ataque de ransomware-as-a-service deja al conocido minorista, Kmart, con cortes de servicio y un Active Directory comprometido.
Tras la «retirada» del ransomware Maze el mes pasado, muchos de sus afiliados se han pasado al nuevo ransomware del panorama, Egregor. Su nombre proviene de un término ocultista que significa «la energía o fuerza colectiva de un grupo de individuos» (lo cual resulta muy apropiado, dado el modelo de afiliados de este ransomware), y Egregor sigue los pasos de Maze utilizando tanto el cifrado como el robo de datos y la extorsión como medios para garantizar el pago del rescate.
Según el informe sobre el ataque publicado en Bleeping Computer, la nota de rescate confirma que el dominio de Active Directory de Kmart se vio comprometido como parte del ataque. Aunque no se han facilitado detalles concretos, podemos hacer algunas conjeturas fundamentadas basándonos en ataques similares anteriores en los que Maze, Ryuky Save the Queen comprometieron y aprovecharon Active Directory para propagar la carga útil del ransomware al mayor número posible de sistemas. Cada una de estas variantes obtuvo acceso elevado a Active Directory y realizó cambios maliciosos específicos, lo que significa que, en algún momento del proceso, al menos una cuenta con derechos administrativos sobre parte o la totalidad de Active Directory ha sido comprometida, y una parte de Active Directory acaba estando en un entorno controlado por los autores del ataquey inseguro.
Esto es preocupante desde varios puntos de vista:
1. Active Directory no debería haber sido vulnerable – Todos sabemos que Active Directory sigue siendo el principal repositorio central de identidades para una parte importante de las organizaciones actuales, incluso para aquellas que aplican una estrategia híbrida de identidades. El hecho de que el «dominio» se viera comprometido implica, además, que Active Directory sigue siendo un elemento clave de la red de Kmart. Active Directory suele ser el eje central en los ataques de ransomware que se propagan rápidamente por la red. Por desgracia, una vez que Active Directory se ve comprometido, queda prácticamente abierta la vía de acceso a todos los sistemas conectados del entorno. Dado que Active Directory es objeto de tantos ataques y, al mismo tiempo, constituye la columna vertebral de la organización, requiere una protección adicional. Como mínimo, estamos hablando de la supervisión de los cambios y de las alertas ante los mismos. Lo ideal sería que también existiera un mecanismo para proteger los cambios en cuentas con privilegios elevados específicas, grupos y otros objetos, que activara aprobaciones mediante flujos de trabajo y/o reversiones automáticas.
2. Kmart tuvo suerte – Según todos los informes, parece que no todas las operaciones de Kmart quedaron inoperativas. Probablemente esto signifique que Active Directory se vio comprometido, pero no dejó de estar disponible, lo que permitió que todos los servicios dependientes del dominio en todo el bosque siguieran funcionando. Sin embargo, ha habido casos en los que las organizaciones no tuvieron tanta suerte, como el ataque de NotPetya de 2018 contra Maersk , que dejó literalmente todos y cada unode los controladoresde dominioinoperativos, salvo un servidor fuera de línea que encontraron en una oficina remota de Ghana. Es una negligencia dar por sentado que un ciberataque nunca dejará fuera de servicio Active Directory; es fundamental contar con la capacidad de recuperarlo fácilmente y, lo que es más importante, rápidamente.
3. Probablemente no fue fácil devolver Active Directory a un estado de seguridad conocido – En muchas organizaciones, es posible que los cambios maliciosos en Active Directory pasen pasen desapercibidos, pero sin duda se permiten durante un tiempo lo suficientemente largo como para que se note su impacto malicioso. Si no sabes qué se ha modificado en Active Directory, ¿cómo puedes saber qué hay que restaurar o revertir para subsanar cualquier cambio malicioso? ¿Se crearon nuevas cuentas de usuario falsas? ¿Se han producido cambios en la pertenencia al grupo «Administradores del dominio»? ¿Y qué hay de las modificaciones en las políticas de grupo para conceder derechos de «Actuar como el sistema operativo» a los controladores de dominio o a todas las estaciones de trabajo? La lista es interminable. En resumen, sin proteger Active Directory, no es fácil rectificar los cambios realizados, lo que requiere un esfuerzo de recuperación que probablemente no va a ser tan sencillo como «recuperar el dominio tal y como estaba ayer al mediodía».
Egregor es un actor relativamente nuevo en la escenay esperamos ver su nombre en más titulares en los próximos meses. Usted ya sabe que si Active Directory cae, también puede caer el resto de su red. Por lo tanto, el último ataque de ransomware de Egregor a Kmart debería ser un recordatorio de que Active Directory requiere una atención especial dentro de su estrategia de ciberseguridad. Protéjalo ferozmente, manteniendo alejados a los actores de amenazas. En segundo lugar, asuma que aunque ponga en marcha una estrategia de defensa en profundidad sólo para Active Directory, algún día se producirá un ataque queseque traspase las defensas, requiriendo que seas capaz de recuperar Active Directory a su estado pre-ataque - ya sea una sola modificación, todo el bosque, o algo intermedio.
