El proveedor chileno de hosting IxMetro Powerhost fue víctima de un ciberataque llevado a cabo por una banda de ransomware conocida como SEXi. Los atacantes cifraron los servidores y copias de seguridad VMware ESXi de la empresa, lo que dejó inactivos algunos de los servidores privados virtuales alojados para clientes.
Impacto en servicios y respuesta de PowerHost
La división chilena de PowerHost, IxMetro, advirtió a sus clientes sobre el ataque el lunes. Según la información publicada en Twitter, el incidente ocurrió durante la madrugada del sábado. Los clientes que alojan sus sitios web o servicios en los servidores afectados están actualmente inactivos mientras la empresa intenta restaurar terabytes de datos a partir de copias de seguridad.
En una última actualización, PowerHost se disculpó con los clientes y advirtió que podría no ser posible restaurar completamente los servidores. Esto se debe a que las copias de seguridad también se han cifrado. Para los clientes afectados que aún conservan el contenido de sus sitios web, la empresa ofrece configurar un nuevo VPS para que puedan volver a poner sus servicios en línea.
Detalles del ransomware SEXi
Según el investigador de ciberseguridad Germán Fernández (aka 1ZRR4H), PowerHost fue atacado utilizando un nuevo tipo de ransomware que agrega la extensión .SEXi y deja notas de rescate llamadas SEXi.txt. El ransomware es bastante nuevo y comenzó a atacar en marzo de 2023.
Hasta ahora, los ataques conocidos han sido dirigidos principalmente a servidores VMware ESXi. La operación de ransomware eligió el nombre ‘SEXi’, que es un juego de palabras con ‘ESXi’. Sin embargo, aún no se ha encontrado una muestra del cifrador, lo cual sugiere que podría estar apuntando también a dispositivos Windows.
Según informes publicados por BushidoToken, el ransomware podría estar relacionado con otras muestras del ransomware Babuk. En cuanto a la infraestructura de la operación, no tiene nada de especial en este momento. Las notas de rescate simplemente contienen un mensaje que indica a las víctimas que descarguen la aplicación de mensajería Session y se comuniquen con ellas en la dirección indicada.
Notas de rescate y comunicación
BleepingComputer descubrió que todas las notas de rescate comparten la misma dirección de contacto de la sesión, por lo que no hay nada único para cada víctima. Además, se desconoce si los atacantes están robando datos para extorsionar a las empresas en ataques de doble extorsión mediante sitios de fuga de datos.
Como es una operación de ransomware muy nueva, es posible que cambie su estrategia en el futuro. La banda exigió dos bitcoins por víctima, lo que, según el CEO de PowerHost, equivale a 140 millones de dólares.