El proveedor chileno de centros de datos y hosting, IxMetro, fue víctima de un ataque cibernético llevado a cabo por un nuevo grupo de ransomware denominado SEXi. El ransomware ha cifrado servidores VMware ESXi de la empresa, así como sus copias de seguridad.
Alerta temprana y afectación operativa
La división chilena de PowerHost, IxMetro, alertó a sus clientes sobre el incidente durante la madrugada del sábado. El ataque ha resultado en el cifrado de varios servidores VMware ESXi, esenciales para hospedar servidores privados virtuales para clientes.
Los sitios web y servicios alojados en estos servidores quedan fuera de línea mientras la empresa intenta restaurar terabytes de datos desde las copias de seguridad. Las copias de seguridad también fueron cifradas.
Exigencia de rescate
El CEO de PowerHost, Ricardo Rubem, reveló que los ciberatacantes exigieron dos bitcoins por víctima, lo que suma un total aproximado de 140 millones de dólares. Las agencias de seguridad recomiendan no negociar, ya que en más del 90% de los casos, los cibercriminales desaparecen tras recibir el pago.
Características técnicas del ransomware
El ransomware utilizado para el ataque agrega la extensión .SEXi a los archivos cifrados y deja notas de rescate nombradas SEXi.txt. Este ransomware únicamente apunta a servidores VMware ESXi.
Aunque aún no se ha encontrado una muestra del cifrador SEXi, el instructor de SANS, Will Thomas, ha descubierto otros variantes en uso desde febrero de 2024, con nombres como SOCOTRA, FORMOSA y LIMPOPO. Los atacantes han creado encriptadores de Windows relacionados con esta operación utilizando el código fuente filtrado de LockBit 3.0.
Riesgos asociados al incidente
- Cifrado de servidores VMware ESXi y copias de seguridad.
- Pérdida de operatividad de varios sitios web y servicios alojados.
- Amenaza de filtración de datos si no se paga el rescate.
Recomendaciones de mitigación
- Implementar medidas de seguridad robustas para prevenir ataques de ransomware.
- No negociar con cibercriminales, ya que en más del 90% de los casos desaparecen tras recibir el pago.