Microsoft ha desarticulado una serie de ataques de ransomware Rhysida que se estaban llevando a cabo a principios de octubre, mediante la revocación de más de 200 certificados utilizados para firmar instaladores maliciosos de Teams. El grupo de amenazas Vanilla Tempest, responsable de estos ataques, utilizó dominios que simulaban ser de Microsoft Teams, como teams-install[.]top, teams-download[.]buzz, teams-download[.]top y teams-install[.]run, para distribuir archivos falsos MSTeamsSetup.exe. Estos archivos infectaban a las víctimas con el backdoor Oyster, permitiendo a los atacantes el acceso remoto a los sistemas infectados para robar archivos, ejecutar comandos e instalar cargas maliciosas adicionales. La campaña se propagó a través de anuncios maliciosos y técnicas de SEO envenenado, dirigiendo a los usuarios a sitios web falsos que imitaban el sitio de descarga oficial de Microsoft Teams.
Vanilla Tempest, también conocido como VICE SPIDER y Vice Society, es un actor motivado financieramente, centrado en el despliegue de ransomware y la exfiltración de datos para extorsión. Este grupo ha utilizado varios payloads de ransomware, incluyendo BlackCat, Quantum Locker y Zeppelin, pero recientemente se ha centrado principalmente en el ransomware Rhysida. Activo desde al menos junio de 2021, Vanilla Tempest ha atacado con frecuencia a organizaciones en los sectores de educación, salud, IT y manufactura.
En INGENIERÍA TELEMÁTICA SAS, recomendamos a nuestros clientes estar alerta ante este tipo de amenazas y verificar siempre la autenticidad de los instaladores de software antes de su ejecución. Si su empresa utiliza Microsoft Teams, asegúrese de que los usuarios estén capacitados para identificar sitios web y correos electrónicos sospechosos. Para proteger su entorno, considere implementar soluciones de detección y respuesta de endpoints (EDR/XDR) y una sólida estrategia de respaldo y recuperación ante desastres (DRP). Si desea más información sobre cómo podemos ayudarle a proteger su organización contra ransomware y otras amenazas cibernéticas, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales.
Fuente original: Ver aquí