Ghost
Ghost (también conocido como Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada y Rapture) es un grupo de ransomware originario de China que aprovecha vulnerabilidades de software obsoleto para atacar a organizaciones de todo el mundo.
El origen del ransomware Ghost
Ghost es un grupo de amenazas con motivaciones financieras que surgió a principios de 2021. Se cree que el grupo opera desde China y es conocido por sus ataques rápidos y muy oportunistas. A diferencia de algunos actores de ransomware que establecen una persistencia a largo plazo, los operadores de Ghost normalmente se infiltran en una red, despliegan su ransomware y salen en tan solo unos días, según CISA. Al explotar vulnerabilidades de software obsoletas, escalan rápidamente privilegios, desactivan las defensas de seguridad y cifran archivos críticos, dejando a las víctimas con poco tiempo para responder. Su objetivo es sencillo: maximizar el beneficio económico lo antes posible, antes de que los defensores puedan detectar y mitigar el ataque.
Países objetivo de Ghost
Ghost ha comprometido organizaciones en más de 70 países, con ataques confirmados en China y otros muchos lugares.
Industrias objetivo de Ghost
El ransomware Ghost afecta a un amplio espectro de sectores, como las infraestructuras críticas, la educación, la sanidad, las redes gubernamentales, las instituciones religiosas, la tecnología y la industria manufacturera. Las pequeñas y medianas empresas también se ven afectadas con frecuencia.
Víctimas Ghost
Aunque no siempre se revelan los nombres concretos de las víctimas, los incidentes de Ghost ransomware han afectado a organizaciones de diversos sectores. Dado que se centra en la extorsión financiera, las víctimas suelen ser instituciones con datos valiosos y defensas de ciberseguridad limitadas.
Método de ataque Ghost
Los actores Ghost aprovechan vulnerabilidades en Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint y Microsoft Exchange (vulnerabilidades ProxyShell) para obtener acceso no autorizado.
Los atacantes utilizan herramientas como SharpZeroLogon, SharpGPPPass, BadPotato y GodPotato para elevar privilegios y hacerse pasar por usuarios de alto nivel del sistema.
El grupo desactiva Windows Defender y otras soluciones antivirus, modifica las herramientas de seguridad y ejecuta comandos para pasar desapercibido.
Los actores Ghost aprovechan la función "hashdump" deCobalt Strikey Mimikatz para robar credenciales de inicio de sesión.
Los atacantes llevan a cabo el descubrimiento de cuentas de dominio, el descubrimiento de procesos y la enumeración de recursos compartidos de red utilizando herramientas como SharpShares y Ladon 911.
Los comandos PowerShell y Windows Management Instrumentation (WMI ) se utilizan para desplazarse por las redes de las víctimas.
El ransomware se ejecuta mediante PowerShell, Windows Command Shell y shells web cargados.
Aunque el robo de datos no es un objetivo principal, algunos archivos se roban a través de los servidores deCobalt Strike Team y el almacenamiento cloud de Mega.nz.
El ransomware cifra los archivos mediante Cring.exe, Ghost.exe, ElysiumO.exe y Locker.exe, y deja inaccesibles los datos de la víctima a menos que se pague un rescate.
Los actores Ghost aprovechan vulnerabilidades en Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint y Microsoft Exchange (vulnerabilidades ProxyShell) para obtener acceso no autorizado.
Los atacantes utilizan herramientas como SharpZeroLogon, SharpGPPPass, BadPotato y GodPotato para elevar privilegios y hacerse pasar por usuarios de alto nivel del sistema.
El grupo desactiva Windows Defender y otras soluciones antivirus, modifica las herramientas de seguridad y ejecuta comandos para pasar desapercibido.
Los actores Ghost aprovechan la función "hashdump" deCobalt Strikey Mimikatz para robar credenciales de inicio de sesión.
Los atacantes llevan a cabo el descubrimiento de cuentas de dominio, el descubrimiento de procesos y la enumeración de recursos compartidos de red utilizando herramientas como SharpShares y Ladon 911.
Los comandos PowerShell y Windows Management Instrumentation (WMI ) se utilizan para desplazarse por las redes de las víctimas.
El ransomware se ejecuta mediante PowerShell, Windows Command Shell y shells web cargados.
Aunque el robo de datos no es un objetivo principal, algunos archivos se roban a través de los servidores deCobalt Strike Team y el almacenamiento cloud de Mega.nz.
El ransomware cifra los archivos mediante Cring.exe, Ghost.exe, ElysiumO.exe y Locker.exe, y deja inaccesibles los datos de la víctima a menos que se pague un rescate.
TTPs utilizados por Ghost
Cómo detectar Ghost con Vectra AI
Preguntas frecuentes
¿Cómo consigue el ransomware Ghost (Cring) acceder a una red?
Ghost aprovecha vulnerabilidades conocidas en software obsoleto, como Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint y Microsoft Exchange (vulnerabilidades ProxyShell).
¿Qué sectores son los más afectados por el ransomware Ghost ?
Infraestructuras críticas, educación, sanidad, redes gubernamentales, instituciones religiosas, tecnología, fabricación y pequeñas empresas.
¿Exfiltra Ghost los datos antes de cifrarlos?
Los actores Ghost exfiltran ocasionalmente datos limitados, pero el robo de datos a gran escala no es su objetivo principal.
¿Qué vulnerabilidades de seguridad suelen ser explotadas por Ghost?
Algunas CVE notables son:
- CVE-2018-13379 (Fortinet FortiOS)
- CVE-2010-2861, CVE-2009-3960 (Adobe ColdFusion)
- CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 (Microsoft Exchange ProxyShell).
¿Qué herramientas utiliza el ransomware Ghost ?
Los actores Ghost utilizan Cobalt Strike, Mimikatz, SharpZeroLogon, SharpGPPPass, BadPotato, GodPotato y scripts basados en PowerShell.
¿Cómo pueden defenderse las organizaciones contra el ransomware Ghost ?
Las organizaciones pueden defenderse del ransomware Ghost implantando soluciones de detección y respuesta a amenazas que vigilen la actividad inusual, detecten los intentos de explotación, bloqueen herramientas maliciosas como Cobalt Strike y permitan una respuesta rápida ante incidentes para contener y mitigar los ataques antes de que se produzca el cifrado.
¿A qué velocidad opera el ransomware Ghost ?
En muchos casos, los atacantes despliegan el ransomware el mismo día después de obtener el acceso inicial.
¿Cuál es la petición de rescate típica?
Los actores Ghost exigen rescates que oscilan entre decenas y cientos de miles de dólares, pagaderos en criptomoneda.
¿Cómo se comunica el grupo de ransomware Ghost con las víctimas?
Utilizan servicios de correo electrónico cifrado (Tutanota, ProtonMail, Skiff, Mailfence y Onionmail) y, desde hace poco, también utilizan TOX ID para la mensajería segura.
¿Deben las organizaciones pagar el rescate?
Las agencias de ciberseguridad desaconsejan encarecidamente el pago de rescates, ya que no garantizan la recuperación de los datos y pueden financiar nuevas actividades delictivas.