El grupo de extorsión y ransomware conocido como D0nut Leaks, descubierto en agosto de 2022 en Europa, ha sido vinculado a varios ataques recientes en América Latina. Analizando las víctimas, se observa que el grupo delictivo detrás de D0nut puede estar relacionado con otros grupos más activos como Hive y Ragnar Locker.
Operaciones de extorsión
Los datos de esas víctimas han aparecido en el sitio de fuga de datos del grupo, previamente desconocido y ahora autodenominado D0nut Leaks. BleepingComputer vió por primera vez a D0nut gracias a un empleado de una de las víctimas, quien dijo que los actores de amenaza violaron la red corporativa para robar datos.
Una vez que los actores de amenazas terminaron de robar los datos, enviaron por correo electrónico las URL de sus sitios de extorsión TOR a los socios comerciales y empleados de la víctima. Es decir que se trata de un ransomware de doble extorsión: primero se extorsiona a la víctima para brindar las claves de descifrado y luego se la extorsiona para no publicar los datos robados.
Plataformas de fuga de datos
Estos sitios TOR consisten en un blog de la vergüenza (ya inactivos) y un sitio de almacenamiento de datos que permite a los visitantes navegar y descargar todos los datos filtrados y robados. El blog originalmente contenía solo cinco entradas, y todas menos una contenían descripciones genéricas de la empresa y un enlace a sus datos robados.
El servidor de almacenamiento de datos robados ejecuta la aplicación File Browser, que permite a los visitantes navegar a través de todos los datos robados almacenados en el servidor, desglosados por la víctima.
Actividades del grupo
En conversaciones con algunos delincuentes, los actores de amenazas dijeron que trabajan para múltiples operaciones de Ransomware-as-a-Service para proporcionar a los afiliados acceso a las redes internas. En algunos casos, estos atacantes roban los datos y los guardan para ellos si sienten que los datos tienen valor.
En América Latina, el grupo y/o sus asociados han infiltrado algunas organizaciones públicas y privadas y han publicado su nota de rescate para intentar ponerse en contacto y cobrar el rescate.
Vectores de infección
Actualmente se desconoce cual es el vector inicial de infección, aunque se supone que puede tratarse de escritorio remoto o compartido por RDP o por ingeniería social y phishing.
Con el análisis de los archivos detectados en marzo de 2023, no hay información suficiente para confirmar que el grupo se encuentra activo infectando nuevas víctimas. Al analizar las muestras se puede confirmar que algunos investigadores afirman que el canal de ingreso puede ser dispositivos USB infectados.