EncryptHub ataca organizaciones para implementar ladrones de información y ransomware

El grupo de amenazas conocido como 'EncryptHub', también denominado Larva-208, ha estado llevando a cabo una campaña global de ciberataques desde junio de 2024, logrando comprometer al menos 618 organizaciones. Según un informe reciente de Prodaft, este actor malicioso utiliza tácticas de spear-phishing y técnicas avanzadas de ingeniería social para obtener acceso inicial a las redes corporativas. Una vez dentro, despliega software de monitorización remota (RMM) y herramientas de malware, incluidos ladrones de información como Stealc y Rhadamanthys, así como ransomware propio y variantes de RansomHub y BlackSuit.

Los ataques de EncryptHub destacan por el uso de páginas de inicio de sesión falsas que imitan productos populares como Cisco AnyConnect, Palo Alto GlobalProtect y Microsoft 365, capturando credenciales y tokens de autenticación multifactor (MFA) en tiempo real.