Nuevo ransomware Spirals cifra redes corporativas en menos de 24 horas
El ransomware Spirals completa ataques rápidos en redes empresariales, desde acceso inicial hasta cifrado, en menos de un día, afectando a firmas de TI.
El grupo detrás del ransomware Spirals logró comprometer y cifrar la red de una empresa de servicios TI en Asia del Sur en menos de 24 horas, desde el acceso inicial hasta la encriptación completa de datos.
Por qué importa: La velocidad y sofisticación del ataque Spirals evidencian un nuevo nivel de amenaza para infraestructuras corporativas, dificultando la detección y respuesta oportuna.
Lo esencial
El ataque comenzó con la explotación de un servidor IIS expuesto públicamente.
Spirals utiliza técnicas avanzadas para evadir defensas y moverse lateralmente en la red.
El ransomware cifra archivos usando AES-128 y amenaza con divulgar datos robados si no se paga el rescate.
Imagen de referencia: BleepingComputer.
Acceso inicial y movimiento lateral acelerado
Los atacantes accedieron inicialmente a través de un servidor Internet Information Services (IIS) vulnerable, donde cargaron un web shell ASP.NET para controlar el sistema. Luego, el operador eludió el Control de Cuentas de Usuario (UAC), activó el escritorio remoto y creó cuentas locales para mantener persistencia. Utilizaron Windows Management Instrumentation (WMI) para propagarse a más de una docena de sistemas dentro de la red.
Desactivación de defensas y preparación para cifrado
Antes de cifrar, el ransomware deshabilitó Microsoft Defender y eliminó definiciones de amenazas. Además, detuvo servicios críticos de respaldo, bases de datos y virtualización, incluyendo Veeam, VMware, Hyper-V, SQL Server, Oracle y PostgreSQL, para evitar restauraciones y maximizar el impacto.
Características técnicas del ransomware Spirals
Spirals está desarrollado en Rust y emplea cifrado AES-128 con claves protegidas mediante criptografía de curva elíptica ECDH P-256. Para acelerar el proceso, cifra intermitentemente archivos mayores a 5 MB. El payload malicioso se camufla como bitsadmin.exe, un ejecutable legítimo de Windows, y se despliega con privilegios SYSTEM usando PsExec.
Extorsión y amenazas a las víctimas
Tras el cifrado, se deja una nota de rescate llamada RECOVERY_SECTION.log en la unidad C:\, con instrucciones para negociar el pago. Los atacantes amenazan con publicar los datos robados en seis días si no reciben el rescate, aumentando la presión sobre las víctimas.
Medidas para organizaciones y detección
Symantec, que investigó el incidente, ha publicado indicadores de compromiso y hashes relacionados con Spirals para ayudar a otras organizaciones a identificar y bloquear esta amenaza. Hasta ahora, solo se ha documentado un caso, por lo que no está claro si Spirals es un ransomware de amplio despliegue o un ataque personalizado.
Preguntas frecuentes sobre Spirals ransomware
¿Qué hace único al ransomware Spirals?
Su rapidez para completar el ataque en menos de 24 horas y el uso de técnicas avanzadas para evadir defensas y moverse lateralmente lo distinguen de otras familias de ransomware.
¿Cómo se propaga Spirals dentro de una red?
Utiliza WMI para moverse lateralmente y establece accesos remotos redundantes mediante revsocks, Chisel y túneles Cloudflare para mantener control persistente.
