Redazione RHC : 28 septiembre 2025 15:03
Desde finales de julio de 2025, se ha registrado una nueva ola de ciberataques dirigidos a organizaciones equipadas con firewalls SonicWall, con la propagación activa del ransomware Akira .
Según investigadores de Arctic Wolf Labs , la actividad maliciosa ha aumentado significativamente y persiste. Los atacantes obtienen acceso inicial a través de conexiones VPN SSL comprometidas , eludiendo con éxito la autenticación multifactor (MFA) . Una vez dentro de la red, pasan rápidamente a la fase de cifrado; en algunos casos, el tiempo de permanencia antes de la liberación del ransomware fue de tan solo 55 minutos .
Los ataques se han vinculado a CVE-2024-40766 , una vulnerabilidad de control de acceso descubierta en 2024. La hipótesis principal es que los delincuentes obtuvieron previamente credenciales de dispositivos expuestos y vulnerables, las cuales ahora explotaron contra dispositivos ya parcheados. Esto explica por qué se comprometieron los sistemas con todos los parches, una circunstancia que inicialmente alimentó la hipótesis de un nuevo exploit de día cero.
Otro elemento crítico se refiere a la OTP MFA de SonicWall : los atacantes pudieron autenticarse incluso con cuentas protegidas por esta función, lo que aumentó la gravedad de la campaña.
Una vez que obtienen acceso a través de SSL VPN, los atacantes:
Para reducir la posibilidad de detección, los actores de amenazas intentan deshabilitar las soluciones de seguridad de puntos finales, como Windows Defender y EDR.
En algunos casos, utilizan la técnica BYOVD (traiga su propio controlador vulnerable) para comprometer los sistemas a nivel del kernel y eliminar copias de volúmenes de sombra para evitar restauraciones.
Antes de iniciar el cifrado, los atacantes extraen información confidencial: comprimen los archivos con WinRAR y los extraen con herramientas como rclone y FileZilla . Luego distribuyen el ransomware Akira mediante archivos ejecutables llamados akira.exe o locker.exe , cifrando unidades de red y ejecutando la nota de rescate.
Los expertos de Arctic Wolf instan a todas las organizaciones que utilizan dispositivos SonicWall a tomar medidas inmediatas.
En particular, se recomienda restablecer las credenciales de la VPN SSL , incluidas las cuentas vinculadas a Active Directory, especialmente si los sistemas han ejecutado previamente firmware vulnerable a CVE-2024-40766. Aplicar parches no se considera suficiente si las credenciales ya se han visto comprometidas.
RedazioneEn los últimos días, algunos usuarios han recibido una notificación diciendo que sus dispositivos Gemini Advanced han sido «actualizados del modelo de la generación anterior al 3.0 Pro, el modelo...
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha emitido una alerta global con respecto a la explotación activa de una falla crítica de ejecución remota de c�...
El lunes 20 de octubre, el Canal 4 transmitió un documental completo presentado por un presentador de televisión creativo impulsado completamente por inteligencia artificial. » No soy real. Por pri...
El ecosistema ruso del cibercrimen ha entrado en una fase de profunda transformación, provocada por una combinación de factores: una presión internacional sin precedentes por parte de los organismo...
Investigadores de seguridad han descubierto vulnerabilidades en un sitio web de la FIA que contenía información personal confidencial y documentos relacionados con los pilotos, incluido el campeón ...
