Netwalker

Perfil del Actor

NetWalker es un grupo de amenaza operado por el actor de ciberamenaza conocido como "CIRCUS SPIDER". Este ransomware fue descubierto en 2019 y se centró principalmente en la región Asia-Pacific, aunque su actividad no se limitó a ella. El grupo utilizó herramientas comunes de ataque, incluyendo herramientas legítimas como PSTools, AnyDesk, TeamViewer y NLBrute, así como herramientas como Mimikatz.

Origen y Motivación

NetWalker fue identificado como una operación de un actor de amenaza con objetivos específicos. Su motivación principal parecía ser la extorsión financiera mediante el cifrado de datos, un método común en ataques de ransomware. El grupo se enfocó especialmente en sectores críticos, como la salud, lo que sugiere una estrategia de ataque orientada a obtener beneficios económicos a través de la violación de sistemas importantes.

Técnicas y Tacticas (TTPs)

El grupo utilizó técnicas basadas en herramientas legítimas, como LOLBINS (Legitimate Operating System Base Instruments), para evadir controles de seguridad. Entre sus tácticas se encontraron: - Uso de Mimikatz para obtener credenciales. - Exploit de vulnerabilidades en sistemas operativos y aplicaciones. - Ataques a redes mediante herramientas como PSTools o NLBrute. - Enfoque en sectores específicos, como la salud.

Campanas Conocidas

Aunque no se detallan campanas específicas, el grupo operó de manera activa entre 2019 y 2021. Su actividad incluyó ataques a organizaciones en Asia-Pacífico y, según informes, su impacto fue significativo en sectores críticos.

Objetivos y Victimas

NetWalker buscaba principalmente sistemas de infraestructura crítica, con un énfasis en el sector sanitario. Sus víctimas incluyeron organizaciones que operaban en la región Asia-Pacífico, aunque no se especifican detalles sobre las empresas o instituciones específicas afectadas.

Indicadores de Compromiso (IOCs)

No hay Indicadores de Compromiso públicos disponibles.

Detección y Defensa

Para mitigar el riesgo de ataque por NetWalker, las organizaciones deben: - Monitorear el uso de herramientas legítimas como PSTools o AnyDesk para detectar actividad anómala. - Revisar registros de acceso a sistemas críticos y verificar la autenticidad de credenciales. - Implementar protocolos de respuesta rápida ante incidentes de ransomware, especialmente en sectores vulnerables como la salud.