El ransomware conocido como Rorschach o BabLock ha llamado la atención por su rapidez para encriptar información. Afectó a más de 3000 empresas y organismos públicos, incluyendo instituciones gubernamentales en Chile y Perú.
Ataque a la cadena de suministro
Este incidente se clasifica como un ataque a la cadena de suministro. En este tipo de ataques, un fallo de seguridad de un proveedor importante es explotado por ciberatacantes para comprometer la integridad de los sistemas de múltiples organizaciones que dependen de sus servicios.
Impacto en GTD
La empresa de servicios tecnológicos GTD sufrió un ataque ransomware el 23 de octubre, afectando su plataforma de Infraestructura como Servicio (IaaS). Como consecuencia, se comprometieron los servicios de data center, telefonía, VPN y conexión a internet de más de 3000 clientes en Chile y en menor medida Perú.
Tras el ataque, la empresa decidió bajar sus IaaS para revisarlas exhaustivamente y evitar que se propagara el software malicioso. Lentamente, fueron restableciéndose, y hasta el momento de publicarse este artículo, más de 300 clientes continuaban afectados.
Normativa chilena sobre reporte de incidentes
De acuerdo a una nueva normativa de Chile (desde diciembre 2022), que insta a reportar incidentes de seguridad informática en el Estado, y que surgió como respuesta al ciberataque sufrido en organismos estatales que vieron filtrados sus datos el año pasado.
Ransomware Rorschach
Rorschach o BabLock es un cifrador relativamente nuevo visto por Check Point Research en abril de 2023. Si bien los investigadores no pudieron vincular el cifrador a una banda de ransomware en particular, advirtieron que era sofisticado y muy rápido, capaz de cifrar un dispositivo en 4 minutos y 30 segundos (incluso más rápido que LockBit v3).
Los criminales, según el reporte de inteligencia de amenazas del CSIRT, explotan una vulnerabilidad de archivos ejecutables para inyectar, mediante una DLL maliciosa, el payload del ransomware config.ini en un proceso de Notepad y luego comienza a cifrar los archivos.
Investigadores de AhnLab también publicaron un análisis de comportamiento más exhaustivo de otra variante del Rorschach que proporciona más detalles sobre las operaciones.