Ransomware con una crisis de identidad apunta a pequeñas empresas e individuos
Investigadores de Netenrich identificaron la cepa TZW, la versión más reciente de la familia de ransomware Adhubllka. Esta variante, activa desde 2019, se especializa en atacar a individuos y pequeñas empresas mediante demandas de rescate de bajo monto.
La cepa TZW pertenece a la familia Adhubllka, un ransomware que ha operado de forma discreta desde 2019. A diferencia de otros grupos que buscan pagos millonarios, este actor de amenazas se enfoca en víctimas pequeñas, exigiendo rescates de entre $800 y $1,600. Debido a estos montos bajos, las víctimas suelen pagar y los ataques pasan desapercibidos por los medios de comunicación, aunque la infraestructura del grupo ya muestra actualizaciones para futuras campañas.
Complejidad en la atribución y detección
La identificación de TZW como parte de Adhubllka fue compleja debido a que muchas de sus muestras han sido mal etiquetadas anteriormente como CryptoLocker, ReadMe, MMM, MME o GlobeImposter2.0. Los investigadores de Netenrich lograron la atribución correcta analizando canales de comunicación, notas de rescate y métodos de ejecución.
El análisis técnico permitió vincular la muestra con la familia Adhubllka mediante el rastreo de dominios Tor. Específicamente, el actor cambió sus URLs de Onion v2 a Onion v3 tras la depreciación de las primeras por la comunidad Tor. Además, la frase "el servidor con tu descifrador está en una red cerrada Tor" solo se encontró en las variantes TZW y U2K. Otros indicadores técnicos confirmaron la identidad: el uso del correo pr0t3eam@protonmail.com y la coincidencia con la firma MD5 de una variante de Adhubllka detectada en 2019.
Estrategias de evasión y entrega
El ransomware se distribuye principalmente a través de campañas de phishing. El diseño del malware busca confundir a los cazadores de amenazas y a los investigadores de seguridad, dificultando el rastreo de los ciberdelincuentes. El analista senior de amenazas en Netenrich, Rakesh Krishnan, señaló que "cuando un ransomware es recién formado/codificado, sólo puede ser frustrado por una educación básica de seguridad, como no hacer clic en enlaces maliciosos entregados por correo electrónico".
Por qué importa y qué hacer
El caso de TZW demuestra cómo los actores de amenazas utilizan tácticas de bajo perfil para evadir la atención pública mientras mantienen una infraestructura activa y en evolución. Para las pequeñas empresas, el riesgo es alto porque la baja cuantía del rescate suele incentivar el pago, lo que permite al atacante operar sin ser detectado por las autoridades o sistemas de alerta masiva. La defensa debe centrarse en evitar la entrada del malware al entorno corporativo.
- No haga clic en enlaces maliciosos recibidos por correo electrónico.
- Implemente una solución de seguridad de punto final (endpoint).
- Monitoree anomalías de comportamiento en la red.
- Bloquee la escalada de privilegios no autorizada.
- Restrinja la introducción de medios extraíbles sospechosos en el entorno.
Relacionado:
Ciberataques a servicios de salud afectan marcapasos y millones de registros
Aumento significativo en las pérdidas por ciberdelincuencia en 2025
Extraditan a Estados Unidos a un hacker ucraniano vinculado a los ataques de ransomware de REvil
Nota elaborada por Ciberseguridad en español a partir de información publicada por Dark Reading. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario