LAPSUS$
Un grupo de extorsión sin ransomware que entraba a grandes tecnológicas sobornando empleados y engañando a mesas de ayuda, y que empezó en Brasil.
Quién es
LAPSUS$ es un grupo criminal activo al menos desde mediados de 2021, especializado en ingeniería social a gran escala y extorsión, incluidos ataques destructivos sin usar ransomware. Microsoft lo siguió como DEV-0537 y hoy como Strawberry Tempest. Sus primeros ataques sonados fueron en Brasil, contra el Ministerio de Salud, a finales de 2021.
Cómo entra
Por las personas: compra credenciales y accesos a empleados o socios, hace intercambio de SIM para robar los códigos de autenticación y engaña a mesas de ayuda para restablecer contraseñas. También aprovecha la relación de confianza con proveedores.
Qué hace una vez dentro
Una vez dentro busca cuentas con privilegios, repositorios de código y herramientas internas. Roba información y la publica o amenaza con hacerlo, y a veces borra recursos en la nube para presionar. No cifra equipos: su arma es la exposición.
A quién ataca
Organizaciones de todo el mundo en gobierno, manufactura, educación superior, energía, salud, tecnología, telecomunicaciones y medios. Golpeó a grandes empresas de tecnología en 2022.
Técnicas de MITRE ATT&CK
Reconocimiento 8
Desarrollo de recursos 5
Ejecución 1
- T1204User Execution
Escalada de privilegios 1
- T1068Exploitation for Privilege Escalation
Acceso a credenciales 7
Recolección 6
Comando y control 1
- T1090Proxy
Fuente: MITRE ATT&CK v20, grupo G1004.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
Fuentes
