El nuevo ransomware Spirals utiliza IIS Web Shell y PsExec para cifrar una empresa de TI en menos…

Una familia de ransomware nunca antes vista denominada “Spirals” atacó una empresa de servicios de TI en el sur de Asia en junio de 2026. El equipo Threat Hunter de Symantec informa que los atacantes pasaron de la infracción inicial al cifrado completo de la red en menos de 24 horas.

Spirals Ransomware utiliza IIS Web Shell y PsExec La intrusión comenzó el 16 de junio a las 22:21 hora local cuando los atacantes comprometieron un servidor web IIS con acceso a Internet y cargaron un web shell ASP.NET. Durante una sesión práctica concentrada de tres horas de duración, el operador generó cmd.exe y powershell.exe a través del proceso de trabajo de IIS, realizó una omisión del Control de cuentas de usuario (UAC), habilitó el Protocolo de escritorio remoto (RDP), creó una cuenta local persistente y descartó la colmena SAM. Como se detalla en el informe del ransomware Spirals, los atacantes recurrieron al movimiento lateral basado en WMI a las 23:33. El 17 de junio, los atacantes cambiaron sus tácticas y utilizaron PsExec como su principal vector de despliegue masivo.

El ejecutable del ransomware se llamó bitsadmin.exe para hacerse pasar por una utilidad legítima de Windows. La publicación New Spirals Ransomware utiliza IIS Web Shell y PsExec para cifrar una empresa de TI en menos de 24 horas apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗