El nuevo ransomware SETTRA utiliza MeshAgent RMM y BYOVD para cifrar sistemas Windows

El ransomware Settra está surgiendo como una grave amenaza para las redes de Windows después de que los investigadores lo vincularan a dos intrusiones recientes que involucran software de gestión remota y acciones de bloqueo de recuperación. Los informes públicos indican que las personas detrás de Settra han obtenido acceso a través de redes privadas virtuales o credenciales previamente robadas.

Eso hace que el acceso remoto expuesto y los controles de cuenta débiles sean una preocupación central, mientras que el uso de software de administración legítimo refleja el uso indebido más amplio de las herramientas de gestión remota en las intrusiones. Los nuevos operadores de SETTRA Ransomware Settra instalaron MeshAgent, una herramienta de monitorización y gestión remota, después de obtener acceso. Al día siguiente, los investigadores observaron que el ransomware se ejecutaba desde un directorio de registro de rendimiento de Windows, cifraba archivos con una extensión única y creaba una nota de rescate. La interrupción de la recuperación aumenta la presión de respuesta Después de lanzar el ransomware, los atacantes borraron varios registros de eventos de Windows y desactivaron el entorno de recuperación de Windows.

Las organizaciones deben centrarse en los controles básicos que interrumpen esta cadena desde el principio: proteger el acceso VPN con una autenticación sólida, restringir y supervisar las herramientas de gestión remota e investigar instalaciones inesperadas de controladores o procesos sospechosos lanzados desde carpetas de usuario y directorios del sistema de Windows. Potencie su SOC con un contexto IoC instantáneo para una respuesta inmediata: integre la búsqueda de TI en su SOC La publicación New SETTRA Ransomware Uses MeshAgent RMM and BYOVD to Encrypt Windows Systems apareció primero en Cyber Security News.

Consultar publicación original ↗