ÚLTIMA HORA Análisis de nuevas amenazas: Killnet Hack-for-Hire Group

El siguiente es un análisis de amenazas, que detalla la investigación realizada por Quadrant Security sobre el grupo de hackers de Killnet.

¿Quién es Killnet?

Killnet es un grupo de piratería a sueldo con vínculos fuertes, pero indirectos, con los objetivos estratégicos del gobierno ruso, que utiliza principalmente la denegación de servicio distribuida ( DDoS ) como vector de ataque preferido. Si bien el impacto del grupo ha sido limitado hasta la fecha, existen sólidos indicadores de que Killnet continuará desarrollándose y escalando sus ataques a través de redes maliciosas.

Antecedentes de la actividad Killnet

Varias fuentes afirman que KillNet se ha atribuido la responsabilidad de violaciones de datos que van desde una "fuente de atención médica del gobierno" hasta Lockheed Martin. Este NO es un resultado esperado de un ataque de denegación de servicio en sí mismo. Al momento de escribir este artículo, no hay evidencia directa que indique cómo Killnet pudo obtener esta información, aunque una fuente afirma que se observaron ataques de diccionario de fuerza bruta contra los servicios públicos. Esta fuente, sin embargo, no proporcionó una referencia.

Otros analistas sugieren que el uso continuado de DDoS puede ser para distraer y desviar las medidas defensivas y los equipos para permitir que ocurran ataques más perjudiciales, como las infecciones de Ransomware / Wiper Malware.

Debido a su fuerte postura prorrusa, algunos creen que otros grupos prorrusos pueden acudir en su ayuda y apuntar/ayudar a atacar los objetivos de Killnet. Un grupo específico enumerado es el grupo Conti Ransomware. Tanto Killnet como Conti han anunciado su apoyo a Rusia tras la invasión de Ucrania. Además, Killnet ha declarado públicamente su deseo de unir fuerzas y unir a otros grupos de hackers prorrusos. Aunque mantienen varios canales de Telegram, Killnet también ha establecido un foro propio para reunir a los actores de amenazas.

Buceando en el infinito Foro

Una mirada más cercana al foro muestra múltiples secciones que van desde la recaudación de fondos para Killnet / Infinity Forum hasta una tienda en funcionamiento que ofrece varias actividades nefastas, incluidas campañas de phishing, información de tarjetas de crédito robadas, cómo usar los datos robados y mucho más.

Otra parte alarmante del foro actúa como una sección de "buscado". Una publicación observada solicitaba un desarrollador de Wiper Malware, afirmando que ya habían comprometido un hospital y habían aumentado los privilegios. Aunque no se reveló el nombre del hospital, las capturas de pantalla indican que el objetivo comprometido es ucraniano. Otros comentarios en hilos similares indican un compromiso de un hospital de habla inglesa, afirmando que VNC se aprovechó para ver y editar imágenes de resonancia magnética.

Las secciones de noticias de este foro están llenas de propaganda pro-rusa con respecto a la “SVO” (Spetsialnaya Voennaya Operatsiya == SMO (inglés), operación militar especial) en Ucrania. Se esperaría encontrar foros como este en conexiones TOR y no en Internet "abierto". Algunos de los foros indican que se puede esperar un cambio a TOR a finales de mes.

Investigación en resumen

Aunque la amenaza de DDoS es motivo de cierta preocupación, el potencial de las asociaciones criminales de Killnet para "compartir objetivos" es mucho más alarmante. Esto se ve agravado por los hilos activos en el Foro Infinity que indican infracciones activas recientes. Hay fuertes indicadores de que KillNet continuará desarrollando y escalando sus ataques a través de esta red maliciosa.

Es nuestra determinación que la mayor preocupación del grupo KillNet ATP es la evolución implícita de los TTP a malware basado en cifrado (Ransomware/Wiper Malware) y el potencial de ataques de extorsión/doble extorsión o la pérdida completa de datos de un objetivo como objetivo final. .

Para ver/descargar los detalles completos del análisis de amenazas, incluidas las recomendaciones de los analistas, visite: https://quadrantsec.com/blog/threat-analysis-killnet