Estafadores se Hacen Pasar por Investigadores para Reorientar a Víctimas de Ransomware
Actores de amenazas disfrazados de investigadores de ciberseguridad están acercándose a víctimas de los grupos de ransomware Royal y Akira, ofreciendo eliminar archivos que los grupos han robado, pero a cambio de un precio.
No está claro si las ofertas fraudulentas de ayuda, descritas como una campaña de extorsión secundaria, están siendo realizadas por los mismos criminales responsables de los ataques de ransomware iniciales.
Lo que es probable, según los investigadores de Arctic Wolf Labs que han rastreado "varias" de estas interacciones, es que un solo grupo está llevando a cabo las ofertas de extorsión secundarias.
Aunque es común que los grupos de ransomware vuelvan a atacar a las mismas víctimas, los investigadores senior de inteligencia de amenazas de Arctic Wolf, Stefan Hostetler y Steven Campbell, dijeron que no tenían conocimiento de casos anteriores donde un actor de amenazas se haya hecho pasar por un investigador de seguridad legítimo y haya ofrecido eliminar datos robados por un grupo de ransomware.
"En dos casos investigados por Arctic Wolf Labs, los actores de amenazas inventaron una narrativa de intentar ayudar a las organizaciones víctimas, ofreciendo hackear la infraestructura de servidores de los grupos de ransomware originales para eliminar los datos exfiltrados", dijeron Hostetler y Campbell en una publicación que describe la campaña.
En el primer caso, una persona que decía ser de una organización llamada Ethical Side Group (ESG) envió un correo electrónico a una víctima del ransomware Royal a principios de octubre del año pasado, afirmando haber obtenido acceso a datos que la banda había exfiltrado de la víctima.
Un mes después, una víctima de Akira recibió una comunicación similar de una entidad que se hacía llamar xanonymoux.
"xanonymoux afirmó haber comprometido la infraestructura del servidor de Akira. El actor de amenazas ofreció ayudar a eliminar los datos de la víctima o proporcionarles acceso a su servidor", dijeron los investigadores.
Aunque ESG y xanonymoux se presentaron como entidades separadas y no relacionadas, las similitudes entre los dos casos llevaron a Arctic Wolf a concluir que probablemente estaban vinculados a un actor común. Esas similitudes incluían hacerse pasar por investigadores, pedir un pago de alrededor de 5 bitcoin (unos $180,000), ofrecer proporcionar prueba de acceso a los datos exfiltrados y el uso de frases similares en los correos electrónicos enviados a las víctimas.
Una conclusión lógica era que los actores asociados con Royal y Akira estaban ocultándose detrás de entidades falsas en un intento de volver a atacar a las víctimas anteriores de las bandas. Pero los investigadores dijeron que la compleja dinámica del ecosistema de ransomware, donde los afiliados podrían estar vinculados a más de un grupo, dificultaba probar esa teoría.
"Es desafiante dar sentido a la maraña de conexiones tejidas por los grupos de ransomware, dado que los afiliados de ransomware-como-servicio (RaaS) tienden a operar múltiples cargas útiles de encriptación a lo largo del tiempo, a veces incluso desplegando varias a la vez", dijeron.
"Lo mejor que podemos hacer como investigadores es juntar partes del panorama más amplio buscando denominadores comunes entre los ataques".
En un análisis de lo que se llama "la economía gig del cibercrimen", el equipo de inteligencia de amenazas de Microsoft dijo que las relaciones estrechas que anteriormente vinculaban vectores de entrada iniciales, herramientas y elecciones de carga útil de ransomware asociadas con cepas particulares de ransomware ahora son menos evidentes.
"El modelo de afiliado de RaaS, que ha permitido a más criminales, independientemente de su experiencia técnica, desplegar ransomware construido o gestionado por otra persona, está debilitando este vínculo", dijeron los investigadores de Microsoft.
"A medida que el despliegue de ransomware se convierte en una economía gig, se ha vuelto más difícil vincular la artesanía utilizada en un ataque específico con los desarrolladores de la carga útil del ransomware".
Hostetler y Campbell dijeron que los elementos similares identificados entre los casos que examinaron sugerían que un actor de amenazas común había iniciado una campaña secundaria en un intento de extorsionar a organizaciones que previamente fueron víctimas de ataques de ransomware de Royal y Akira.
"Sin embargo, todavía no está claro si los casos de extorsión secundaria fueron sancionados por los grupos de ransomware iniciales, o si el actor de amenazas actuó solo para obtener fondos adicionales de las organizaciones víctimas".
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario