Cuidado: un nuevo ransomware astuto puede robar datos de Google Chrome.
El ransomware Qilin tiene la capacidad de extraer información de Chrome desde dispositivos conectados a la red.
Investigaciones recientes han revelado que la variante de ransomware Qilin ha estado extrayendo con éxito información sensible almacenada en el navegador Google Chrome. Analistas de seguridad han publicado un informe que detalla cómo un grupo de ciberdelincuentes logró acceder a la infraestructura informática de una organización no identificada utilizando credenciales previamente comprometidas. Estas credenciales pertenecían a un portal de Red Privada Virtual (VPN) que no contaba con autenticación de múltiples factores (MFA), lo que facilitó su acceso.
No está claro si la brecha inicial fue realizada por un corredor de acceso inicial (IAB) que luego pasó la información a los operadores del ransomware, o si fue llevada a cabo por una sola entidad. En cualquier caso, el grupo permaneció dentro de la red durante más de dos semanas (18 días) antes de moverse lateralmente hacia un controlador de dominio utilizando las credenciales robadas. Aunque los delincuentes fueron detectados en un solo controlador de dominio dentro del Active Directory de la víctima, otros controladores de dominio en esa misma red también fueron infectados, aunque de manera diferente.
Qilin aplica el método clásico de ransomware que consiste en doble extorsión: primero roba la mayor cantidad de información posible y, a continuación, cifra el dispositivo comprometido, exigiendo un pago a cambio de la clave de descifrado. Lo que hace que esta operación sea relativamente única es su enfoque en Google Chrome. Durante una investigación, el equipo de Sophos X-Ops identificó actividades del atacante que llevaron al robo masivo de credenciales almacenadas en navegadores Chrome de una porción de los puntos finales de la red. Esta técnica de recolección de credenciales podría tener implicaciones que van más allá de la organización inicialmente afectada.
En resumen, Qilin tiene la capacidad de recolectar credenciales guardadas en navegadores Chrome de máquinas conectadas a la misma red que la primeramente comprometida. Los expertos enfatizan que los ciberdelincuentes están en constante evolución en sus tácticas. Por ello, es crucial que las organizaciones utilicen más gestores de contraseñas y habiliten la MFA siempre que sea posible para reducir el riesgo de convertirse en víctimas de tales ataques.
- Qilin
- ransomware
- ciberseguridad
