Destacado malware: Ekans

Análisis de malware

Destacado malware: Ekans

18 de marzo de por Greg Belding

Introducción

Los sistemas de control industrial, o ICS, son desde hace algún tiempo el objetivo de malware. La mayoría de estas amenazas se dirigen a sistemas Windows y procesos de Windows y, aparte de apuntar a procesos específicos de ICS, no son muy diferentes de la horda de amenazas en ese sistema Windows XP que usted está utilizando actualmente como pisapapeles.

Un hecho preocupante ha sido la incorporación del ransomware a la lista de amenazas dirigidas a ICS. Recientemente, se descubrió una nueva amenaza de ransomware específica de ICS: Ekans.

¡Conviértete en un ingeniero inverso certificado!

Obtenga capacitación práctica en vivo sobre análisis de malware desde cualquier lugar y conviértase en un analista certificado de ingeniería inversa. Comienza a aprender

Este artículo detallará el malware Ekans y explorará qué es, qué diferencia a Ekans de otras amenazas ICS y cómo funciona, así como cómo se puede prevenir.

Como comentario general sobre amenazas como éstas, todos deberíamos preocuparnos por las amenazas de ICS. Si la infraestructura crítica no cuenta con la seguridad de la información adecuada, se producirán daños a la sociedad muchísimo peores que si su PC personal se infectara.

¿Qué es Ekans?

Ekans, o serpiente escrita al revés, es un nuevo tipo de ransomware dirigido a sistemas ICS. Descubierto en diciembre de, Ekans es el segundo tipo de ransomware diseñado para ICS. El primer ransomware ICS que apareció en la naturaleza fue MEGACORTEX, una pequeña familia de malware con capacidades tanto de ransomware como de limpieza de disco que tiene algunas características específicas de ICS dedicadas.

La buena noticia es que los investigadores de malware han descrito a Ekans como una amenaza menor que MEGACORTEX. Pero a pesar de esta opinión, todas las amenazas de los ICS deben ser tratadas como graves debido a la destrucción que pueden causar a la sociedad. ¡Imagínese el caos que se producirá si la infraestructura crítica deja de funcionar debido a medidas de seguridad deficientes!

¿Qué diferencia a Ekans de otras amenazas específicas de ICS?

Hasta hace poco, los actores de amenazas responsables de amenazas específicas de ICS han sido patrocinados por el estado. Esto significa que la motivación se ha basado en intereses del Estado-nación y no tanto en beneficio personal. Ekans ha cambiado las reglas del juego en este sentido: es la primera amenaza específica de ICS utilizada por ciberdelincuentes privados. Esto significa que lo más probable es que el motivo principal sea el beneficio económico y que otros grupos y organizaciones cibercriminales privados hagan lo mismo, lo que hace que estos ataques sean más comunes.

Otro hecho, más curioso, sobre Ekans es que es el primer malware específico para ICS que lleva el nombre de un personaje de Pokémon.

¿Cómo funciona Ekans?

Ekans destaca por ser muy agresivo, según los investigadores de malware. En parte, esto se debe a que no se dirige a sistemas individuales sino a redes enteras. En lugar de propagarse como lo hacen otros ransomware, se introduce en ICS específicos mediante propagación manual. Esto significa que el principal vector de infección son los archivos adjuntos de correo electrónico maliciosos.

Una vez que un ICS ha sido infectado, Ekans aprovecha los servicios mal protegidos y sin parches para comenzar su ataque. Puede propagarse a sí mismo en toda una red mediante un script.

Después de la infección, Ekans comienza a trabajar en lo que se llama una “lista de eliminación” de procesos típicamente asociados con ICS. Si se encuentran estos procesos, se terminan. Estos procesos se han descrito como las «entrañas» de ICS y afectan a software y programas ampliamente utilizados, incluido el software Proficy de GE, el software de gestión y supervisión ThingWorx y un programa de interfaz de control de Honeywell.

Esta lista de muertes codificada no es tan extensa como la de MEGACORTEX, pero Ekans sigue siendo una seria amenaza. Esta lista incluye los siguientes procesos:

Si estos procesos finalizan en el sistema correcto, el sistema ya no presentaría al personal de la planta de ICS una condición de visualización precisa, lo que sería fatal para la funcionalidad del ICS. La interrupción del servicio sería casi inminente.

Una vez que se completa la infección, los archivos del ICS comprometido se cifrarán. A los usuarios se les mostrará una nota en su monitor diciendo que sus archivos han sido encriptados y que la demanda de rescate suele ser de millones de dólares.

Prevención

Lo bueno es que Ekans es bastante fácil de prevenir. A continuación se presentan algunos consejos sencillos para ayudar a garantizar que esto no le suceda al ICS de su organización:

Conclusión

Ekans se descubrió recientemente y es el primer malware específico para ICS diseñado por ciberdelincuentes privados. Funciona atacando las «tripas» de implementaciones ICS ampliamente utilizadas y, si infecta el sistema correcto, eliminará lentamente procesos vitales y cifrará archivos en la red. Dicho esto, la capacitación generalizada sobre riesgos cibernéticos evitará la gran mayoría de las infecciones y mantendrá nuestra infraestructura crítica a salvo de esta amenaza.

¡Conviértete en un ingeniero inverso certificado!

Obtenga capacitación práctica en vivo sobre análisis de malware desde cualquier lugar y conviértase en un analista certificado de ingeniería inversa. Comienza a aprender

Fuentes

  1. EKANS Ransomware genera preocupaciones sobre el control industrial , lectura oscura
  2. Snake/EKANS Ransomware ataca sistemas de control industrial , Acronis
  3. Los atacantes apuntan a los sistemas de control industrial con EKANS Ransomware , CISO Mag
  4. El ransomware dirigido a sistemas de control industrial se vuelve más sofisticado , Barracuda