En diciembre pasado, las autoridades estadounidenses lograron cerrar con éxito los sitios web del grupo de ransomware ALPHV/BlackCat. El FBI también desarrolló una herramienta de descifrado para combatir sus ataques. Sin embargo, el grupo se recuperó rápidamente y reanudó sus operaciones.
Ataques en el sector sanitario
Según las agencias de seguridad, desde mediados de diciembre de 2023, casi 70 víctimas han sido filtradas. El sector de la salud ha sido el más afectado, lo cual se atribuye a la publicación del administrador de ALPHV/BlackCat que alentó a sus afiliados a apuntar a hospitales tras la crisis de diciembre.
Ataque a Change Healthcare
El grupo publicó una declaración en su sitio web, indicando que robó 6 TB de datos confidenciales de la empresa médica Change Healthcare. Entre los datos obtenidos se incluyen información personal de pacientes como números de teléfono, direcciones, números de Seguro Social, correos electrónicos y otros datos sensibles.
Este ataque ha sido uno de los más perturbadores en años, causando la paralización de farmacias en todo Estados Unidos, incluidas las que se encuentran en hospitales. Esto provocó graves problemas en la entrega de medicamentos recetados durante 10 días.
Disputa interna dentro del grupo
Se desató una disputa dentro del mundo criminal: uno de los afiliados a ALPHV detrás del ataque aparece como receptor de una transacción de 22 millones de dólares que parece ser el pago del rescate (350 BTC). Sin embargo, este afiliado afirma que los administradores de ALPHV no le entregaron su parte.
El 3 de marzo, un usuario del foro RAMP, supuesto afiliado a ALPHV, informó que no había recibido la remuneración acordada por el ataque a Change Healthcare y también indicó que la billetera del administrador de RaaS había sido vaciada.
Incautación parcial del sitio web
Hace unas horas, el FBI se apoderó del nuevo y último servicio oculto activo de ALPHV/BlackCat, que estaba en funcionamiento hasta ayer. Por ahora se desconoce si los dos eventos (el ataque a Change Healthcare) y la incautación del sitio están relacionados, pero es probable.
IMPORTANTE: ALPHV/BlackCat no fue confiscado. Están saliendo de estafar a sus afiliados.
Página falsa de incautación
Finalmente, la descripción de la cuenta Tox de ALPHV anuncia la venta del código fuente por 5 millones de dólares.
Actualización 05 de marzo
Los titulares de cuentas ALPHV «Affiliate Plus» expresaron su frustración porque sus cuentas se cerraron repentinamente y no pudieron realizar sus ataques. Afirmaron que el personal administrativo de ALPHV los estaba ignorando.
El 5 de marzo, el dominio ALPHV muestra un mensaje de incautación del FBI. Sin embargo, los investigadores han indicado que el código fuente HTML parece sospechoso y creen que se trata de una página falsa de incautación del FBI. No ha habido ningún anuncio oficial por parte del Departamento de Justicia de los Estados Unidos para confirmar o desmentir este aviso de incautación en el dominio ALPHV.
Según DataBreaches, el afiliado descontento, a quien el personal administrativo suspendió su cuenta, hizo las acusaciones en el foro de cibercrimen RAMP. «Vaciaron la billetera y se llevaron todo el dinero», dijeron.