Play

Play, cuyo nombre deriva de la extensión .play que añade un cifrado a los archivos, fue observado por primera vez en el panorama de amenazas aproximadamente en junio de 2022, según documentaron SentinelOne y Trend Micro. En sus inicios el grupo no operaba como un Ransomware-as-a-Service aunque más tarde pasó a este modelo de negocio debido a las ventajas como negocio que ofrece.

El grupo, si bien es prolífico, no se diferencia en gran medida de otros operadores de ransomware: opera bajo el modelo de doble extorsión, si la víctima no paga, publican los datos en su data leak site (DLS). Aunque el grupo inicialmente se asoció con ataques a entidades gubernamentales en Latinoamérica, realmente no existe discriminación o preferencia por sector o tamaño, habiendo atacado a organizaciones que operan en telecomunicaciones, sanidad, educación, manufactura, finanzas y Tecnología. Esto va de la mano con lo que indicábamos hace un momento sobre su cercanía en modus operandi a otros grupos del ecosistema ransomware o de extorsión: Play también opera de manera oportunista.

El grupo de ransomware Play obtiene acceso inicial a las redes de las víctimas mediante el abuso de cuentas válidas , probablemente compradas en la dark web a initial access brokers (IABs) o en combos de infostealers. Por otra parte, también se ha observado al grupo llevando a cabo explotación de aplicaciones expuestas a internet, específicamente a través de vulnerabilidades conocidas de FortiOS (como CVE-2018-13379 y CVE-2020-12812) y Microsoft Exchange (ProxyNotShell). Adicionalmente, igual que otros grupos de ransomware, explotaron la vulnerabilidad CVE-2024-57727 en la herramienta de gestión remota (RMM) SimpleHelp. Mediante esta explotación el grupo (sus afiliados) podía ejecutar código de forma remota (RCE) en numerosas entidades con sede en EE. UU.

Más adelante en la kill chain, se ha observado en algunos ataques que Play despliega Cobalt Strike con la marca de agua 206546002, compartida con campañas de Hive, Nokoyawa y Quantum/Conti, SystemBC como proxy SOCKS5 sobre Tor y Empire para post-explotación. En cuanto al movimiento lateral utiliza (como casi todo el mundo) PsExec, WMI y Mimikatz, combinado con despliegue vía GPO en entornos Active Directory. La exfiltración se realiza con WinSCP y archivos comprimidos con WinRAR, fragmentando los datos para evitar la detección de transferencia de datos masiva.

Algo más exclusivo del grupo es una de sus herramientas, conocida como Grixba, un scanner de red e infostealer personalizado que enumera programas de seguridad, recopila información del sistema y asiste en las tareas de discovery (descubrimiento) junto con ADFind, Nltest, Bloodhound, NetScan y Advanced IP Scanner. En cuanto a sus actividades comprendidas dentro de la táctica de "defense impairment" y "stealth" (hola MITRE v19), el grupo ha recurrido en el pasado a Process Hacker, GMER, IOBit y PowerTool. Estas herramientas le servían para deshabilitar soluciones de seguridad, además de desactivar Microsoft Defender mediante PowerShell. En la última parte de la kill chain, el grupo ha eliminado registros de eventos con wevtutil y borrado de shadow copies mediante AlphaVSS, una herramienta open-source de gestión de VSS.

En cuanto a su ransomware, el cifrado que emplea es AES-256 combinado con RSA-2048 y cifrado intermitente cifrando solo fragmentos de cada archivo para acelerar el proceso y evadir sistemas de detección heredados. Existen similitudes tanto en sus herramientas como en la infraestructura con Hive y Nokoyawa, así como la marca de agua compartida con Quantum. Estos indicios sugieren que Play podría haber formado parte de un ecosistema de afiliados más amplio, vinculado al antiguo y ya desaparecido grupo Conti.