A medida que las empresas migran de servidores individuales a máquinas virtuales para mejorar la gestión de recursos, el rendimiento y la recuperación ante desastres, los grupos de ransomware han adaptado sus ataques para aprovechar esta transición. La operación Abyss Locker es una de las últimas en desarrollar un cifrador específico para plataformas de máquinas virtuales, con especial enfoque en VMware ESXi.
Ataques a servidores virtualizados
VMware ESXi es una de las plataformas más populares de máquinas virtuales. Debido a su adopción generalizada, prácticamente todas las pandillas de ransomware han comenzado a lanzar variantes de sus herramientas para cifrar servidores virtuales en dispositivos.
Otras operaciones que utilizan cifradores de Linux dirigidos a VMware ESXi incluyen: Akira, Royal, Black Basta, LockBit, BlackMatter, AvosLocker, REvil, HelloKitty, RansomEXX y Hive. Estas variantes son una respuesta directa al crecimiento del uso de máquinas virtuales en entornos corporativos.
Operación Abyss Locker
Abyss Locker es una operación relativamente nueva que se cree que se lanzó en marzo de 2023. Los actores detrás de esta operación atacan a empresas, violando sus redes corporativas para robar datos y realizar ataques de doble extorsión.
Los datos robados son utilizados como palanca para amenazar con filtrarlos si no se paga un rescate. Para ello, los actores han creado un sitio web TOR llamado «Abyss-data», que actualmente enumera catorce víctimas. Se estima que la cantidad de datos robados varía entre 35 GB y 700 GB.
Funcionamiento del cifrador
El cifrador utilizado por Abyss Locker es un ejecutable ELF de Linux, el cual se ha analizado por investigadores de seguridad. Este cifrador apunta específicamente a los servidores VMware ESXi y utiliza la herramienta esxcli para enumerar y finalizar las máquinas virtuales.
El cifrador ejecuta comandos como: esxcli vm process list, esxcli vm process kill -t=soft -w=%d, esxcli vm process kill -t=hard -w=%d y esxcli vm process kill -t=force -w=%d. Estas opciones permiten apagar las máquinas virtuales de forma correcta, inmediata o forzada.
Una vez que las máquinas virtuales están detenidas, el cifrador procede a encriptar los discos virtuales (.vmdk), metadatos (.vmsd) y instantáneas (.vmsn). Además, todos los demás archivos del dispositivo son también cifrados y reciben la extensión .crypt.
Para cada archivo encriptado, se genera un archivo con la extensión .README_TO_RESTORE, que contiene información sobre el ataque y un enlace único al sitio de negociación TOR del grupo.
Relación con otros ransomware
El experto en ciberseguridad Michael Gillespie ha señalado que el cifrador de Abyss Locker se basa en HelloKitty, aunque utiliza el cifrado ChaCha. No está claro si este es un cambio de marca por parte de HelloKitty o si otro grupo obtuvo acceso al código fuente del cifrador.
El ransomware HelloKitty ha sido históricamente seguro y no permite la recuperación gratuita de archivos, lo que hace que el enfoque de Abyss Locker sea una evolución interesante dentro del ecosistema de ransomware.