El ransomware BlackSuit, anteriormente conocido como Royal, ha exigido hasta 500 millones de dólares en rescates según un nuevo aviso emitido por la CISA y el FBI. Una demanda individual alcanzó los 60 millones de dólares.
Interacción directa para negociar montos
Según las agencias, los actores de BlackSuit han mostrado su disposición a negociar los montos de pago. Sin embargo, los montos de rescate no forman parte de la nota inicial, sino que requieren una interacción directa con el actor de amenaza a través de una URL .onion accesible mediante el navegador Tor, proporcionada tras el cifrado.
Ataques en sectores críticos
Los ataques han afectado varios sectores de infraestructura crítica, incluyendo instalaciones comerciales, atención médica y salud pública, así como instalaciones gubernamentales y fabricación crítica. Esta evolución del ransomware Royal aprovecha el acceso inicial obtenido mediante correos electrónicos de phishing para desactivar el software antivirus y exfiltrar datos confidenciales antes de implementar el ransomware.
Vías de infección comunes
Otras vías de infección incluyen el uso del Protocolo de escritorio remoto (RDP), la explotación de aplicaciones vulnerables y el acceso a través de Intermediarios de Acceso Inicial (IAB).
Herramientas utilizadas por los actores
Los actores de BlackSuit emplean software legítimo de monitorización y gestión remota, como SystemBC y GootLoader, para mantener la persistencia en las redes de las víctimas. También utilizan herramientas como SharpShares, SoftPerfect NetWorx, Mimikatz, Nirsoft y PowerTool para enumerar redes y matar procesos del sistema.
Comunicaciones telefónicas y correos electrónicos
CISA y el FBI han advertido de un aumento en las comunicaciones telefónicas o por correo electrónico que reciben las víctimas, una táctica cada vez más común entre los grupos de ransomware para aumentar la presión.
Presión psicológica sobre las víctimas
Según un informe de Sophos, los actores de amenazas han adoptado tácticas que incluyen amenazar no solo a las organizaciones, sino también a individuos vinculados. Por ejemplo, se ha reportado que los atacantes amenazaron con 'atacar' a pacientes de un hospital oncológico y enviaron mensajes amenazantes a la esposa de un director ejecutivo.
Evaluar datos robados
Los actores también evalúan los datos robados en busca de evidencia de actividad ilegal, incumplimiento normativo o discrepancias financieras. En algunos casos, han afirmado que un empleado de una organización comprometida buscaba material de abuso sexual infantil.
Evolución del ransomware
El desarrollo se produce en medio de la aparición de nuevas familias de ransomware como Lynx, OceanSpy, Radar, Zilla (variante de Crysis/Dharma) y Zola (variante del Proton). Los grupos existentes también evolucionan su modus operandi incorporando nuevas herramientas.
Campañas de publicidad maliciosa
Se han detectado campañas de publicidad maliciosa que distribuyen malware tan recientemente como enero de 2024. El RAT se llama Parcel RAT y SMOKEDHAM.
Nueva marca del grupo Hive
Se considera que Hunters International es una nueva marca del ahora desaparecido grupo de ransomware Hive. Detectado por primera vez en octubre de 2023, se ha atribuido la responsabilidad de 134 ataques en los primeros siete meses de 2024.