NightSpire Ransomware utiliza acceso RDP y herramientas de administración remota para una persistencia sigilosa

Una nueva amenaza de ransomware está causando impacto en docenas de industrias y países, utilizando un enfoque sorprendentemente simple pero efectivo para acceder a los sistemas y bloquear el acceso de las víctimas a sus propios datos. NightSpire, identificado por primera vez a principios de 2025, ya ha demostrado que está dispuesto a extender una amplia red, afectando por igual a hospitales, escuelas, oficinas gubernamentales e instituciones financieras.

Los atacantes primero roban archivos confidenciales del entorno de la víctima y luego cifran todo lo que encuentran. Entre marzo y junio de 2025, NightSpire afectó al menos a 64 organizaciones en 33 países, con Estados Unidos encabezando la lista de víctimas, seguido de Turquía, Hong Kong, Japón, Taiwán, México, España y Egipto. En particular, también cifra archivos de OneDrive sin cambiar sus extensiones, un comportamiento que puede tomar fácilmente a las víctimas por sorpresa. NightSpire Ransomware utiliza acceso RDP y herramientas de administración remota NightSpire obtiene acceso inicial a través del Protocolo de escritorio remoto, una función legítima de Windows utilizada por equipos de TI en todo el mundo todos los días.

Indicadores de compromiso (IoC): – TypeIndicatorDescripciónSHA256 Hashbde50a42efc079edde1a314243ad339db2d42e343fbbcd39117803b0f5960355File encryptor (enc.exe), 2 de diciembre de 2025 SHA256 Hashad67031e2ca68764fe1a7d6632c02b02a299d59efb920710011a9a2ccf4399b7Cifrador de archivos (enc.exe), 25 de marzo de 2026 Extensión de archivo .nspire Extensión agregada a todos los archivos cifrados Nota de rescate Nombre de archivo _nightspire_readme.txt Nombre de archivo de la nota de rescate del incidente del 2 de diciembre de 2025 Nombre de archivo de la nota de rescate [nspire_msg].txt Nombre de archivo de la nota de rescate del incidente del 25 de marzo de 2026 Dirección de correo electrónico prince1990905@gmail[.]com Cuenta de Google asociada con la implementación de Escritorio remoto de Chrome, 24 y 25 de marzo de 2026 Directorio Path C:\Users[ELIMINADO]\Descargas Carpeta de preparación del actor de amenazas observada el 25 de marzo de 2026 Nota: Las direcciones IP y los dominios se han desactivado intencionalmente (p. La publicación NightSpire Ransomware utiliza acceso RDP y herramientas de administración remota para una persistencia sigilosa apareció por primera vez en Cyber Security News.

Consultar publicación original ↗