La interminable historia de Deadbolt

Publicado el 09.10.2022

Introducción

Deadbolt, una campaña de ransomware que persigue a los clientes del NAS de QNAP desde hace unos meses, ha visto un número constante de infecciones con una cadencia bastante regular. Pero recientemente, Censys ha observado un aumento masivo de dispositivos QNAP infectados por Deadbolt. El equipo de Deadbolt está intensificando sus operaciones y el número de víctimas aumenta día a día.

* Censys Cuadro de mandos de seguimiento de cerrojos

* Censys Búsqueda de infecciones de Deadbolt

Un rápido repaso al ransomware Deadbolt de QNAP

QNAP es un fabricante de dispositivos de almacenamiento en red (NAS). En enero de este año, un grupo autodenominado Deadbolt atacó una serie de dispositivos NAS de QNAP fabricados para consumidores y pequeñas empresas que ejecutan el sistema operativo QNAP QTS (basado en Linux), infectando los dispositivos con ransomware.

En lugar de cifrar todo el dispositivo, lo que lo deja fuera de línea (y fuera del alcance de Censys), el ransomware sólo cifra directorios de copia de seguridad específicos y vandaliza la interfaz de administración web con un mensaje informativo que explica cómo eliminar la infección.

Debido a la forma en que este ransomware se comunica con la víctima, Censys podría encontrar fácilmente los dispositivos infectados expuestos en la Internet pública a través de esta simple consulta de búsqueda. Además de una amplia información sobre qué hosts estaban infectados con Deadbolt, también pudimos obtener y rastrear cada dirección única de monedero bitcoin utilizada como rescate, ya que la dirección BTC utilizada para las entregas de rescate está incrustada dentro del cuerpo HTML.

Noticias recientes.

El 3 de septiembre de 2022, QNAP publicó una nueva declaración que alude a una vulnerabilidad de día cero recientemente descubierta que se utiliza para infectar hosts con ransomware. Este nuevo exploit afecta a dispositivos NAS de QNAP específicos que ejecutan Photo Station cuando están conectados a Internet.

QNAP afirma que esta vulnerabilidad ha sido corregida, rastreada como CVE-2022-27593, y afecta a las siguientes versiones de su sistema operativo QTS:

• QTS 5.0.1: Photo Station 6.1.2 y posteriores
• QTS 5.0.0/4.5.x: Photo Station 6.0.22 y posteriores
• QTS 4.3.6: Photo Station 5.7.18 y posteriores
• QTS 4.3.3: Photo Station 5.4.15 y posteriores
• QTS 4.2.6: Photo Station 5.2.14 y posteriores

Más grande, mejor, más rápido, más.

Las infecciones por cerrojo no han cesado nunca, pero nunca han sido tan grandes como ahora.

La última vez que hablamos del ransomware Deadbolt que infectaba NAS de QNAP fue en mayo de 2022. En ese momento, presentamos nuestro panel de Deadbolt, que la comunidad podía utilizar para realizar un seguimiento de la propagación de esta virulenta campaña que infectó miles de dispositivos QNAP en Internet. Y si has estado atento durante los últimos meses, habrás notado un flujo y reflujo constante de dispositivos infectados, y ha sido algo bastante salvaje y aterrador de ver.

El 9 de julio de 2022, había un total de 2.144 infecciones de Deadbolt observadas en Internet, pero para el 15 de julio, ese número había subido a 7.783, un aumento de 5.639 infecciones. El 27 de julio, esa cifra había descendido a poco más de 6.000, pero el 30 de julio, las infecciones se dispararon de nuevo a 9.091.

Pero las oleadas de infecciones de agosto no tienen nada que ver con lo ocurrido a principios de este mes. El 2 de septiembre de 2022, vimos saltar el número de hosts únicos infectados con Deadbolt de 7.748 a 13.802, y para el 4 de septiembre, ¡esa cifra había aumentado a 19.029!

Deadbolt parece tener una cadencia relativamente común de nuevas infecciones. De media, parece haber entre siete y doce días entre cada campaña. A continuación se muestra una línea de tiempo de hosts únicos que muestran signos de Deadbolt para cada día entre el 27 de julio y el 7 de septiembre. Resaltados en rojo están los días en los que vimos las mayores tendencias al alza en la actividad.

En su punto álgido, el 4 de septiembre de 2022, la mayoría de las infecciones se produjeron en Estados Unidos, con 2.472 huéspedes distintos mostrando signos de Deadbolt, Alemania en segundo lugar con 1.778, e Italia con 1.383. A continuación se muestra un mapa con los huéspedes infectados en esa fecha.

A continuación figuran los diez países y sistemas autónomos con más infecciones por Deadbolt.

Cerrojo de seguimiento

El tablero oficial Censys Deadbolt Dashboard puede consultarse aquí.

Nuestro equipo de respuesta rápida ha creado un panel interactivo para el seguimiento de las infecciones por Deadbolt en todo el mundo. Actualmente hay tres pestañas individuales con diferentes vistas de los datos que hemos recopilado en los últimos meses.

En primer lugar, nuestra portada incluye el recuento total de hosts y servicios infectados, junto con desgloses por regiones y sistemas autónomos.

El segundo conjunto de datos es un desglose detallado interactivo y configurable de cada infección, que incluye la IP, el sistema autónomo, el país, el puerto de red, la dirección BTC utilizada para pagar el rescate y la variante de Deadbolt (hemos encontrado dos variantes distintas). Por último, mostramos el importe del rescate solicitado a las víctimas. Estos campos se pueden filtrar simplemente haciendo clic en cualquier parte del panel.

Por último, tenemos una vista de siete días de Deadbolt en Internet, incluidos gráficos que desglosan las infecciones por países. Los investigadores pueden utilizar los menús desplegables para filtrar los países que más les interese analizar.

Seguiremos vigilando los dispositivos NAS infectados con el ransomware Deadbolt. Mientras tanto, puede empezar a explorar el informe sobre el ransomware Deadbolt enCensys .

Referencias

• El QNapping de los dispositivos QNAP - Censys
• Vuelve el ransomware Deadbolt - Censys
• Seguimiento del ransomware Deadbolt en todo el mundo - Censys