XingLocker

Perfil del Actor

XingLocker es un grupo de amenaza que ha surgido como parte de un modelo RaaS (Ransomware-as-a-Service) basado en una carga útil personalizada de MountLocker. Este modelo sugiere una estructura de operaciones colaborativas, donde hackers pueden comprar o alquilar servicios de ransomware para ejecutar ataques. La organización utiliza técnicas avanzadas de acceso inicial y movilidad lateral dentro de redes empresariales, lo que refleja su enfoque estratégico en la expansión de infecciones a través de sistemas Windows.

Origen y Motivación

XingLocker se identificó por primera vez en mayo de 2021. Su motivación parece estar orientada hacia la ganancia financiera, aprovechando el modelo RaaS para operar con escala y eficiencia. La combinación de una carga útil personalizada de MountLocker con herramientas como IcedID y APIs de Windows Active Directory sugiere que su objetivo es maximizar el impacto en entornos corporativos con infraestructura basada en Windows.

Técnicas y Tacticas (TTPs)

XingLocker emplea una combinación de técnicas de acceso inicial, movilidad lateral y encriptación de datos. Algunas de sus tácticas incluyen: - Uso de IcedID: Un motor de ataque para iniciar la infección. - APIs de Windows Active Directory: Para moverse a través de redes empresariales sin ser detectado. - Carga útil personalizada de MountLocker: Para encriptar datos y exigir rescate.

Campanas Conocidas

Aunque no se especifican detalles sobre las campañas individuales, se reporta que XingLocker ha afectado a 21 víctimas. Estas incluyen organizaciones con infraestructuras Windows basadas en Active Directory, lo cual sugiere un enfoque específico en entornos corporativos.

Objetivos y Victimas

El objetivo principal de XingLocker es encriptar datos críticos de victimas y exigir pagos para la desencriptación. Las víctimas probablemente son empresas o organizaciones con sistemas Windows que dependen de Active Directory, lo que facilita la propagación del ransomware a través de redes internas.

Indicadores de Compromiso (IOCs)

Tipo	Valor	Contexto
C2 Server	https://xingnewj6m4qytljhfwemngm7r7rogrindbq7wrfeepejgxc3bwci7qd.onion	Dominio de control de dispositivos (C2) asociado al grupo.

Detección y Defensa

Para mitigar el impacto de XingLocker, se recomienda: - Monitorear actividades sospechosas con IcedID y APIs de Active Directory. - Revisar redes internas para detectar anomalías en la propagación de infecciones. - Implementar soluciones de protección endpoint que incluyan detección de amenazas basada en comportamiento.