Crazyhunter Ransomware
Un nuevo ransomware llamado Crazyhunter, ha sido detectado recientemente. Este grupo se ha caracterizado por atacar principalmente a víctimas del sector educativo y de salud. Su actividad maliciosa fue identificada por primera vez a principios de marzo de 2025.
Crazyhunter emplea un método innovador denominado “Sistema de Aniquilación Tridimensional de Datos”, el cual no solo cifra los archivos de la víctima, sino que también los sobrescribe múltiples veces con datos aleatorios antes de eliminarlos por completo. Esta técnica redefine la destrucción de datos en comparación con otros ransomwares, ya que imposibilita la recuperación, incluso si se tiene copias de seguridad.
[2] Sitio oficial del ransomware Crazyhunter
Para la fase de intrusión, Crazyhunter utiliza tácticas avanzadas de ingeniería social combinadas con exploits de día cero dirigidos a infraestructuras críticas. Se ha detectado el uso de ataques de spear-phishing con archivos adjuntos maliciosos, así como la explotación de vulnerabilidades en servidores expuestos. Una vez dentro del sistema, el ransomware realiza movimientos laterales para escalar privilegios y maximizar su alcance dentro de la red comprometida.
Además del cifrado de archivos, Crazyhunter desactiva los servicios de seguridad, elimina registros de eventos y deshabilita soluciones de respaldo automatizado. Su método de triple extorsión incluye las siguientes tácticas:
- Cifrado de datos
- Amenaza de hacer pública la información robada, si no se paga el rescate.
- Ataques de (DDoS) a las empresas afectadas.
Se recomienda reforzar las estrategias de prevención, incluyendo la segmentación de redes, la aplicación de parches de seguridad y la implementación de copias de seguridad fuera de línea para mitigar el impacto de este nuevo ransomware.
Taxonomía MITTRE ATT&CK:
| Etapa | Técnica | ID |
Initial Access |
Valid Accounts | T1078.002 |
| Phishing | T1566 | |
Execution |
User Execution | T1204.002 |
| Domain Policy Modification | T1484.001 | |
| Privilege escalation | Exploitation for Privilege Escalation | T1068 |
Defense evasion |
Code Signing | T1553.002 |
| Masquerading | T1036 | |
| Credential Access | Credential Dumping | T1003 |
Discovery |
Remote System Discovery | T1018 |
| Lateral Movement | Remote Services | T1021 |
Impact |
Data Encrypted for Impact | T1486 |
| Data Destruction | T1485 | |
| Network Denial of Service | T1498 | |
| Command & Control | Application Layer Protocol | T1071 |
Indicadores de Compromiso:
| IOC | Tipo |
| 139.9.248.128 | IP |
| 163.181.22.245 | IP |
| 163.181.22.246 | IP |
| ncmep.org | Domain |
| tianyinsoft.top | Domain |
Recomendaciones
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactor.
Referencias
- Esler, J. (2025, Febrero 21). CrazyHunter Ransomware Attack on Makai Hospital. ThreatSTOP. Recuperado el 13 de marzo del 2025, en: https://www.threatstop.com/blog/crazyhunter-ransomware-attack-on-makai-hospital
- Melillo, P. (2025, Marzo 10). Crazyhunter: The Ransomware with the Three-Dimensional Data Annihilation System That Redefines Data Destruction. Redhotcyber. Recuperado el 13 de marzo del 2025, en: https://www.redhotcyber.com/en/post/crazyhunter-the-ransomware-with-the-three-dimensional-data-annihilation-system-that-redefines-data-destruction/
- LevelBlue - Open Threat Exchange. (2025, Marzo 10). LevelBlue Open Threat Exchange. Recuperado el 13 de marzo del 2025, en:https://otx.alienvault.com/pulse/67cf4d83e9c869e587830d26/
.jfif)
