En la primera mitad de 2024, surgieron 21 nuevos o renombrados grupos de ransomware, según un informe publicado por Rapid7 Labs. Uno de los grupos más destacados en este periodo es Lynx, que fue identificado en julio de 2024 y hasta la fecha ha afectado a más de 20 víctimas en diversos sectores industriales.
El grupo Lynx utiliza técnicas de extorsión simple y doble contra sus víctimas. En su comunicado de prensa del 24 de julio, el grupo afirma que su motivación principal es financiera, pero reconoce la importancia de las consideraciones éticas en la búsqueda de ganancias. Según su declaración, mantiene una política estricta contra instituciones gubernamentales, hospitales y organizaciones sin fines de lucro, ya que estos sectores desempeñan un papel vital en la sociedad.
Al atacar a una víctima, el ransomware genera un archivo llamado «readme.txt» en los escritorios. Este archivo contiene un enlace al sitio Tor del grupo y la identificación necesaria para acceder al portal de rescate. Además, el grupo alberga un blog público y una página de filtraciones donde se muestra a las víctimas como parte de su estrategia de exigir el pago.
Se han especulado que Lynx podría haber comprado el código fuente del ransomware INC. Al comparar muestras de ambos grupos, se encontró una puntuación de similitud general del 48 por ciento y una puntuación de funciones del 70,8 por ciento. Sin embargo, estas superposiciones no son suficientes para demostrar que Lynx se derivó directamente del código fuente de INC.
Aunque el grupo afirma adoptar una postura «ética», no existe ningún escenario en el que atacar y extorsionar a las víctimas pueda verse como ético. Las tácticas agresivas de Lynx, junto con su uso de doble extorsión, lo convierten en una amenaza significativa. La posibilidad de que el código fuente se comparta entre grupos de ransomware sigue siendo una preocupación crítica para los defensores.
1. Gestión de procesos y servicios
El ransomware intenta eliminar varios procesos y servicios del sistema utilizando métodos como RestartManager. Se dirige específicamente a servicios que podrían obstaculizar el proceso de cifrado, como los relacionados con copias de seguridad.
Enumera y detiene servicios y procesos dependientes mediante la utilización de API del sistema como EnumDependentServicesW y ControlService.
Además, el ransomware incluye varias opciones de línea de comando para su ejecución.
2. Eliminación de instantáneas
Un objetivo principal del ransomware es eliminar las instantáneas de volumen, que a menudo se utilizan para restaurar datos. Para lograrlo, utiliza comandos como vssadmin u otros similares con el fin de garantizar la eliminación de los archivos de copia de seguridad.
3. Cifrado de archivos
Cifra archivos en todo el sistema, incluidos recursos compartidos de red y unidades. El ransomware puede centrarse en carpetas o tipos de archivos específicos, aumentando su precisión.
También existe la posibilidad de que se cifren solo archivos, directorios o recursos compartidos de red seleccionados según la configuración.