El ransomware Makop, surgido en 2020, se basa en una variante del malware Phobos. Los operadores de este grupo emplean herramientas conocidas y personalizadas para realizar intrusiones a sistemas informáticos. La mayoría de las actividades son llevadas a cabo por delincuentes que utilizan el teclado.
Características del ransomware Makop
Makop opera bajo una estructura de afiliados y ataca activamente organizaciones en América Latina, incluyendo sectores críticos. El ransomware cifra los archivos de las víctimas y solicita el pago de rescate en bitcoins.
Los archivos afectados suelen tener la extensión «.makop» o «.mkp». No se conocen herramientas gratuitas capaces de descifrar estos archivos.
El grupo utiliza diversas técnicas para acceder a las redes, incluyendo explotaciones de sistemas expuestos a Internet, correos electrónicos de phishing con archivos adjuntos maliciosos, sitios web de torrents y anuncios maliciosos. Para el desarrollo de sus ataques, emplea herramientas personalizadas como ARestore, PuffedUp y YDArk.
Además, Makop abusa de herramientas de código abierto y freeware disponibles en el mercado, incluyendo PowerShell, NLBrute, Advanced Port Scanner y Windows Everything. Estos recursos permiten al grupo realizar movimientos laterales y descubrimiento de sistemas.
Ransomware Lynx: Un modelo de operación estructurado
El ransomware Lynx opera como un servicio de ransomware (RaaS) con una plataforma altamente organizada. El panel de afiliados incluye secciones como «Noticias», «Empresas», «Chats», «Información» y «Filtraciones». Los afiliados pueden configurar perfiles de víctimas, generar muestras personalizadas y administrar cronogramas de fugas de datos.
Los afiliados reciben una participación del 80% de las ganancias del rescate. Manejan todas las negociaciones y mantienen el control sobre la billetera del rescate. Lynx también ofrece servicios adicionales, como un centro de llamadas para acosar a las víctimas y soluciones de almacenamiento avanzadas.
El grupo proporciona un «Archivo todo en uno» que contiene binarios para entornos Windows, Linux y ESXi, cubriendo una variedad de arquitecturas. Este enfoque garantiza una amplia compatibilidad y maximiza el impacto de los ataques.
Lynx ha introducido múltiples modos de cifrado: «rápido», «medio», «lento» y «completo». El ransomware emplea algoritmos robustos, incluidos Curve25519 Donna y AES-128. Además, el grupo utiliza tácticas de doble extorsión, cifrando los datos de las víctimas y amenazando con filtrarlos en su sitio dedicado (DLS).
El análisis reveló una superposición significativa de código con el ransomware INC, lo que sugiere que Lynx puede haber comprado o adaptado su código fuente. Esta situación subraya la importancia de mantener actualizados los procedimientos de respuesta a incidentes y invertir en inteligencia de amenazas.