En marzo de este año surgió un nuevo tipo de ransomware como servicio (RaaS) denominado Eldorado. Este malware incluye variantes específicas para cifrar sistemas operativos Windows y el hipervisor VMware ESXi. Según informaciones recopiladas por la empresa de ciberseguridad Group-IB, ya ha afectado a 16 víctimas, la mayoría ubicadas en Estados Unidos, pertenecientes principalmente al sector inmobiliario, educativo, sanitario y manufacturero.
Operación y promoción del ransomware
Los investigadores de Group-IB monitorearon la actividad de Eldorado y observaron que sus operadores promocionaban el servicio malicioso en los foros RAMP, buscando afiliados capacitados para unirse al programa. Además, el ransomware administra un sitio web donde se enumeran a las víctimas, aunque este sitio estaba inactivo al momento de escribir este artículo.
Funcionamiento del malware
Eldorado es un ransomware basado en Go que puede cifrar plataformas Windows y Linux mediante dos variantes con similitudes operativas. Los investigadores obtuvieron del desarrollador un cifrador, el cual incluye un manual de usuario que menciona la disponibilidad de variantes de 32/64 bits para los hipervisores VMware ESXi y Windows.
El malware utiliza el algoritmo ChaCha20 para el cifrado, generando una clave única de 32 bytes y un nonce de 12 bytes por cada archivo bloqueado. Luego, las claves y nonces se cifran mediante RSA con el esquema de relleno OAEP.
Después del proceso de cifrado, los archivos reciben la extensión «.00000001» y se colocan notas de rescate denominadas «HOW_RETURN_YOUR_DATA.TXT» en las carpetas Documentos y Escritorio. Eldorado también cifra recursos compartidos de red mediante el protocolo SMB para maximizar su impacto, además de eliminar instantáneas de volumen en máquinas Windows comprometidas.
El ransomware omite ciertos archivos como DLL, LNK, SYS y EXE, así como aquellos relacionados con el arranque del sistema y la funcionalidad básica para evitar que el sistema no pueda iniciar o se inutilice. Está configurado de forma predeterminada para autoborrarse para evadir la detección.
Personalización de los ataques
Según Group-IB, los afiliados pueden personalizar sus ataques. En Windows, es posible especificar qué directorios cifrar, omitir archivos locales y evitar la autoeliminación del malware. Sin embargo, en Linux, la personalización se limita a configurar los directorios para cifrar.
Recomendaciones de defensa
Group-IB destaca que Eldorado es una operación nueva e independiente, no derivada de otros grupos conocidos. Aunque es relativamente nuevo, ha demostrado capacidad para causar daño significativo a las víctimas.
Los investigadores recomiendan las siguientes medidas defensivas:
- Implementar autenticación multifactor (MFA) y soluciones de acceso basadas en credenciales.
- Utilizar Endpoint Detection and Response (EDR) para identificar y responder rápidamente a los indicadores de ransomware.
- Realizar copias de seguridad de los datos con regularidad para minimizar daños y pérdida de información.
- Priorizar y aplicar periódicamente parches de seguridad para corregir vulnerabilidades.
- Educar y capacitar a los empleados para reconocer y reportar amenazas cibernéticas.
- Realizar auditorías técnicas anuales o evaluaciones de seguridad y mantener la higiene digital.
- Absolverse de pagar un rescate, ya que rara vez garantiza la recuperación de datos y puede provocar más ataques.