La firma de ciberseguridad Huntress ha advertido sobre una nueva variante de ransomware denominada ‘Crux’ que se ha estado usando de manera activa en las últimas semanas.
Solo en este mes Huntress ya ha detectado tres casos de despliegue de Crux. El primer incidente fue detectado en siete endpoints vinculados a una organización el pasado 4 de julio, pero su actividad varió.

Los piratas informáticos emplearon una técnica común para desactivar las funciones de recuperación de Windows, como los puntos de restauración. Lo hicieron sirviéndose de una herramienta legítima del sistema denominada bcdedit.exe, impidiendo que las víctimas puedan restaurar sus equipos a un estado anterior tras el ataque. 

Asimismo, se observaron intentos de moverse por la red interna, creando cuentas de usuario nuevas, accediendo a registros remotos e incluso instalando controladores, lo que les permitió expandirse y comprometer otros sistemas dentro de la misma organización.

Antes de cifrar los archivos, los ciberdelincuentes también copiaron información sensible fuera de la red, utilizando herramientas como rclone.exe, que habitualmente se emplea para subir archivos a servicios en la nube.

Uno de los elementos más llamativos es que cada ataque de Crux mostró un profundo conocimiento de la red interna de la víctima. En uno de los casos, los atacantes tardaron sólo siete minutos desde que obtuvieron acceso hasta que desplegaron el ransomware, lo que sugiere que ya sabían exactamente qué hacer y a dónde dirigirse. 

También se detectó que utilizaron credenciales legítimas, probablemente robadas previamente, para entrar a través del Escritorio Remoto (RDP), lo que les permitió moverse con mayor libertad sin levantar sospechas.

No hay dos iguales

Para más inri, cada versión de Crux usada en estos ataques era ligeramente distinta, con nombres y firmas únicas, complicando su detección por parte de los sistemas de seguridad tradicionales que dependen de identificar patrones conocidos.

Todo esto hace que Crux no sea un ransomware cualquiera. Estamos ante una amenaza muy bien diseñada, con capacidad para evitar medidas defensivas, moverse con rapidez y maximizar el daño de las víctimas. Es decir, esta variante es ágil, silenciosa y eficaz, poniendo a las empresas y a sus equipos de TI a prueba más que nunca.