{"id":176737,"date":"2024-08-19T16:15:48","date_gmt":"2024-08-19T19:15:48","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/ch\/sin-categoria\/mad-liberator-el-grupo-de-ransomware-que-ataca-con-nuevas-tacticas\/"},"modified":"2025-11-21T22:08:01","modified_gmt":"2025-11-22T01:08:01","slug":"mad-liberator-el-grupo-de-ransomware-que-ataca-con-nuevas-tacticas","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/ch\/seguridad\/mad-liberator-el-grupo-de-ransomware-que-ataca-con-nuevas-tacticas\/","title":{"rendered":"Mad Liberator: el grupo de ransomware que ataca con nuevas t\u00e1cticas"},"content":{"rendered":"

Sophos, l\u00edder global en soluciones innovadoras de seguridad para derrotar ciberataques, public\u00f3 detalles sobre un nuevo grupo de Ransomware<\/a> llamado Mad Liberator en su art\u00edculo titulado “No te enojes, s\u00e9 inteligente<\/a>“. Este grupo, que surgi\u00f3 en julio de 2024, emplea una t\u00e1ctica poco com\u00fan de ingenier\u00eda social para acceder al entorno de sus v\u00edctimas.<\/p>\n

Basado en una investigaci\u00f3n reciente de respuesta a incidentes de Sophos X-Ops, Mad Liberator ataca a sus v\u00edctimas utilizando herramientas de acceso remoto, como Anydesk, instaladas en endpoints y servidores, para solicitar acceso y tomar control del dispositivo.<\/p>\n

Modus operandi del ataque de Mad Liberator<\/span><\/h2>\n

Una vez que el atacante env\u00eda una solicitud de conexi\u00f3n de Anydesk:<\/strong><\/p>\n

    \n
  • Las v\u00edctimas reciben una ventana emergente solicitando que autoricen la conexi\u00f3n. Para los usuarios cuyas organizaciones utilizan Anydesk, esto podr\u00eda no parecer inusual.<\/li>\n
  • Una vez establecida la conexi\u00f3n, el atacante transfiere un archivo binario al dispositivo de la v\u00edctima. Este archivo muestra una pantalla que simula una actualizaci\u00f3n de Windows; mientras tanto, el atacante desactiva la entrada del teclado y el mouse del usuario, impidiendo que la v\u00edctima detenga la actividad del atacante en segundo plano.<\/li>\n
  • Luego, el atacante accede a la cuenta de OneDrive de la v\u00edctima y utiliza la funci\u00f3n de transferencia de archivos de Anydesk para robar y extraer archivos de la empresa, antes de escanear otros dispositivos en la misma subred que podr\u00edan ser explotados.<\/li>\n
  • Mientras la v\u00edctima no es consciente de esta operaci\u00f3n en segundo plano, el atacante env\u00eda numerosas notas de rescate anunciando que los datos han sido robados y c\u00f3mo pagar el rescate para evitar la divulgaci\u00f3n de los archivos robados.<\/li>\n<\/ul>\n
    \"width=\"
    “Como vimos con ScreenConnect, las herramientas de acceso remoto de TI son una herramienta poderosa en manos de los atacantes\u201d – Christopher Budd, Director de investigaci\u00f3n de amenazas en Sophos.<\/figcaption><\/figure>\n

    Christopher Budd, Director de investigaci\u00f3n de amenazas en Sophos<\/strong>, explica que \u201chemos visto grupos de Ransomware aparecer y desaparecer, y esto podr\u00eda ser lo mismo para Mad Liberator, pero este nuevo modo de explotaci\u00f3n de herramientas de acceso remoto es una prueba de una tendencia m\u00e1s amplia en la industria del Ransomware. Bas\u00e1ndonos en los ataques que investigamos el a\u00f1o pasado, los servicios remotos externos son la t\u00e9cnica n\u00famero uno de acceso inicial, porque los adversarios conf\u00edan en que la v\u00edctima crea que este comportamiento es parte de la actividad diaria”.<\/em><\/p>\n

    \u201cMad Liberator es un ejemplo inusual. Fuera de la solicitud de acceso remoto, los atacantes no tuvieron ning\u00fan contacto conocido con las v\u00edctimas \u2013 ni correos electr\u00f3nicos ni intentos de phishing \u2013 lo que demuestra lo importante que es comunicar el protocolo de acceso remoto al personal y asegurarse de que reciban capacitaci\u00f3n regular y actualizada. Los administradores tambi\u00e9n deber\u00edan considerar la implementaci\u00f3n de Listas de Control de Acceso, para evitar que los atacantes puedan acceder a sistemas o recursos no autorizados\u201d<\/em>, agreg\u00f3 el ejecutivo.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Sophos, líder global en soluciones innovadoras de seguridad para derrotar ciberataques, publicó detalles sobre un nuevo grupo de Ransomware llamado Mad Liberator en su artículo titulado “No te enojes, sé inteligente“. Este grupo, que surgió en julio de 2024, emplea una táctica poco común de ingeniería social para acceder al entorno de sus víctimas. Basado en una investigación reciente de respuesta a incidentes de Sophos X-Ops, Mad Liberator ataca a sus víctimas utilizando herramientas de acceso remoto, como Anydesk, instaladas en endpoints y servidores, para solicitar acceso y tomar control del dispositivo. Modus operandi del ataque de Mad Liberator Una vez que el atacante envía una solicitud de conexión de Anydesk: Las víctimas reciben una ventana emergente solicitando que autoricen la conexión. Para los usuarios cuyas organizaciones utilizan Anydesk, esto podría no parecer inusual. Una vez establecida la conexión, el atacante transfiere un archivo binario al dispositivo de la víctima. Este archivo muestra una pantalla que simula una actualización de Windows; mientras tanto, el atacante desactiva la entrada del teclado y el mouse del usuario, impidiendo que la víctima detenga la actividad del atacante en segundo plano. Luego, el atacante accede a la cuenta de OneDrive de la víctima y utiliza la función de transferencia de archivos de Anydesk para robar y extraer archivos de la empresa, antes de escanear otros dispositivos en la misma subred que podrían ser explotados. Mientras la víctima no es consciente de esta operación en segundo plano, el atacante envía numerosas notas de rescate anunciando que los datos han sido robados y cómo pagar el rescate para evitar la divulgación de los archivos robados. Christopher Budd, Director de investigación de amenazas en Sophos, explica que “hemos visto grupos de Ransomware aparecer y desaparecer, y esto podría ser lo mismo para Mad Liberator, pero este nuevo modo de explotación de herramientas de acceso remoto es una prueba de una tendencia más amplia en la industria del Ransomware. Basándonos en los ataques que investigamos el año pasado, los servicios remotos externos son la técnica número uno de acceso inicial, porque los adversarios confían en que la víctima crea que este comportamiento es parte de la actividad diaria”. “Mad Liberator es un ejemplo inusual. Fuera de la solicitud de acceso remoto, los atacantes no tuvieron ningún contacto conocido con las víctimas – ni correos electrónicos ni intentos de phishing – lo que demuestra lo importante que es comunicar el protocolo de acceso remoto al personal y asegurarse de que reciban capacitación regular y actualizada. Los administradores también deberían considerar la implementación de Listas de Control de Acceso, para evitar que los atacantes puedan acceder a sistemas o recursos no autorizados”, agregó el ejecutivo.<\/p>\n","protected":false},"author":229,"featured_media":176116,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[34],"tags":[54],"class_list":["post-176737","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-sophos"],"_links":{"self":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts\/176737","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/users\/229"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/comments?post=176737"}],"version-history":[{"count":0,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts\/176737\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/media\/176116"}],"wp:attachment":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/media?parent=176737"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/categories?post=176737"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/tags?post=176737"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}