Durante el último tiempo, se ha estado suscitando una serie de ataques informáticos dirigidos a diferentes organizaciones de transporte y logística de Ucrania y Polonia con el ransomware que lleva por nombre Prestige, que desde octubre del presente año se han estado relacionando con un grupo de actores de amenazas respaldados y patrocinados por el gobierno ruso.
Esta acusación viene por parte de los investigadores de Microsoft Security Threat Intelligence (MSTIC) que fijaron los ataques de ransomware en el grupo APT ruso, Sandworm, basándose en evidencias forenses, oficio, capacidades e infraestructura que se superponen con las actividades anteriores del grupo, dando como efecto final un patrón de identificación en su modus operandi.
En resumen, los atacantes desplegaron una gran cantidad de Payloads de ransomware en las redes empresariales de sus víctimas. Esta táctica rara vez se ha visto en ataques dirigidos a organizaciones ucranianas, y coincide con las actividades anteriores alineadas con el estado ruso, como el uso del malware destructivo HermeticWiper antes del inicio de la invasión de Ucrania.
«A partir de noviembre de 2022, MSTIC evalúa que IRIDIUM muy probablemente ejecutó el ataque de estilo ransomware Prestige«, dijo Microsoft Security Threat Intelligence en su página web.
«La campaña Prestige puede resaltar un cambio medido en el cálculo de ataques destructivos de IRIDIUM, lo que indica un mayor riesgo para las organizaciones que suministran o transportan directamente asistencia humanitaria o militar a Ucrania.»
«En términos más generales, puede representar un mayor riesgo para las organizaciones en Europa del Este que el estado ruso puede considerar que brindan apoyo relacionado con la guerra«.
Las sofisticadas tácticas de los actores de amenazas se destacaron por el uso de múltiples métodos para la implementación del ransomware Prestige. Algunos de los métodos utilizados son el grupo APT son los siguientes:
- Método 1: El Payload del ransomware se copia en el recurso compartido ADMIN$ de un sistema remoto, e Impacket se utiliza para crear de forma remota una tarea programada de Windows en los sistemas de destino para poder ejecutarlo.
- Método 2: El Payload del ransomware se copia en el recurso compartido ADMIN$ de un sistema remoto, e Impacket se utiliza para invocar de forma remota un comando de PowerShell codificado en los sistemas de destino para poder ejecutarlo.
- Método 3: El Payload del ransomware se copia en un controlador de dominio de Active Directory y se implementa en los sistemas mediante el objeto de directiva de grupo de dominio predeterminado.
En un informe anterior, Microsoft compartió una lista de indicadores de compromiso (IOCs) y consultas de búsqueda avanzadas para ayudar a los administradores a defenderse contra los ataques de ransomware Prestige.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
