Una nueva operación de ransomware-as-a-service (RaaS) llamada Eldorado incluye variantes de cifrado para archivos en sistemas Windows y Linux.
Eldorado apareció por primera vez el 16 de marzo de 2024, cuando se publicó un anuncio para el programa de afiliados en el foro de ransomware RAMP, según informó Group-IB, con sede en Singapur.
La firma de ciberseguridad, que se infiltró en el grupo de ransomware, señaló que su representante habla ruso y que el malware no se superpone con cepas filtradas previamente como LockBit o Babuk.
«El ransomware Eldorado usa Golang para capacidades multiplataforma, empleando Chacha20 para el cifrado de archivos y RSA-OAEP (Rivest Shamir Adleman-Optimal Asymmetric Encryption Padding) para el cifrado de claves», dijeron los investigadores Nikolay Kichatov y Sharmine Low. «Puede cifrar archivos en redes compartidas utilizando el protocolo Server Message Block (SMB)».
El cifrador de Eldorado viene en cuatro formatos: esxi, esxi_64, win y win_64, con su sitio de filtración de datos que ya lista 16 víctimas hasta junio de 2024. Trece de los objetivos están ubicados en los EE. UU., dos en Italia y uno en Croacia.
Estas empresas abarcan diversos sectores industriales como bienes raíces, educación, servicios profesionales, salud y manufactura, entre otros.
Ciberseguridad
Un análisis más detallado de los artefactos de la versión de Windows reveló el uso de un comando de PowerShell para sobrescribir el locker con bytes aleatorios antes de eliminar el archivo en un intento de limpiar los rastros.
Eldorado es el más reciente en la lista de nuevos actores de ransomware de doble extorsión que han surgido en tiempos recientes, incluyendo Arcus Media, AzzaSec, dan0n, Limpopo (también conocido como SOCOTRA, FORMOSA, SEXi), LukaLocker, Shinra y Space Bears, destacando una vez más la naturaleza persistente y duradera de la amenaza.
Ransomware-as-a-Service
LukaLocker, vinculado a un operador apodado Volcano Demon por Halcyon, es notable por el hecho de que no utiliza un sitio de filtración de datos y en su lugar llama a la víctima por teléfono para extorsionar y negociar el pago después de cifrar estaciones de trabajo y servidores Windows.
El desarrollo coincide con el descubrimiento de nuevas variantes de Linux del ransomware Mallox (también conocido como Fargo, TargetCompany, Mawahelper) así como descifradores asociados con siete compilaciones diferentes.
Ransomware-as-a-Service
Se sabe que Mallox se propaga mediante fuerza bruta en servidores Microsoft SQL y correos electrónicos de phishing para atacar sistemas Windows, con intrusiones recientes que también hacen uso de un cargador basado en .NET llamado PureCrypter.
«Los atacantes están utilizando scripts personalizados de Python para la entrega de cargas útiles y la exfiltración de información de la víctima», dijeron los investigadores de Uptycs Tejaswini Sandapolla y Shilpesh Trivedi. «El malware cifra los datos del usuario y añade la extensión .locked a los archivos cifrados».
Ciberseguridad
Avast también ha puesto a disposición un descifrador para DoNex y sus predecesores (Muse, falso LockBit 3.0 y DarkRace) aprovechando una falla en el esquema criptográfico. La empresa de ciberseguridad checa dijo que ha estado «proporcionando silenciosamente el descifrador» a las víctimas desde marzo de 2024 en asociación con organizaciones policiales.
«A pesar de los esfuerzos policiales y las medidas de seguridad incrementadas, los grupos de ransomware continúan adaptándose y prosperando», dijo Group-IB.
Datos compartidos por Malwarebytes y NCC Group basados en víctimas listadas en los sitios de filtración muestran que se registraron 470 ataques de ransomware en mayo de 2024, frente a 356 en abril. La mayoría de los ataques fueron reclamados por LockBit, Play, Medusa, Akira, 8Base, Qilin y RansomHub.
«El desarrollo continuo de nuevas cepas de ransomware y la aparición de programas de afiliados sofisticados demuestran que la amenaza está lejos de ser contenida», señaló Group-IB. «Las organizaciones deben mantenerse vigilantes y proactivas en sus esfuerzos de ciberseguridad para mitigar los riesgos que representan estas amenazas en constante evolución».
El Pentesting, o pruebas de penetración, es una evaluación de seguridad que simula ciberataques controlados contra sistemas y redes de una organización. Realizado por profesionales de seguridad, busca identificar y explotar vulnerabilidades para evaluar la efectividad de las defensas y proporcionar recomendaciones de mejora. Ayuda a prevenir ataques, mejorar la seguridad y cumplir con requisitos normativos. En resumen, es una herramienta vital para fortalecer la seguridad informática de una organización.
El Servicio de Seguridad en Ciclo de Desarrollo es un enfoque integral que garantiza la protección de los proyectos de software desde su fase inicial de diseño hasta su implementación final. Esto implica integrar medidas de seguridad en cada etapa del proceso de desarrollo, desde la planificación hasta la entrega del producto. La importancia de este servicio radica en varios aspectos:
En resumen, el Servicio de Seguridad en Ciclo de Desarrollo es esencial para garantizar que los productos de software sean seguros, confiables y cumplan con los estándares de seguridad y privacidad, lo que resulta en beneficios tanto para la empresa como para sus clientes.
El Phishing Ético es una servicio que consiste en realizar actividades de Ingeniería Social con propósitos legítimos y éticos, generalmente como parte de una Campaña de Concientización, Evaluación de Seguridad, Prueba de un Pentesting o Red Team.
Para más información ingresa aquí: https://www.xpoint.cl/phishing-etico/
Un Red Team en ciberseguridad es un grupo de profesionales que simulan ser adversarios externos para evaluar la seguridad de un sistema o red. Utilizan tácticas similares a las de ciberdelincuentes reales, llevan a cabo pruebas de penetración, analizan riesgos y proporcionan recomendaciones para mejorar la seguridad. Su enfoque proactivo ayuda a las organizaciones a identificar y abordar vulnerabilidades, fortaleciendo así sus defensas contra amenazas potenciales.
La gestión de vulnerabilidades es un proceso integral que se centra en identificar, evaluar y abordar las debilidades en la seguridad de un sistema o red. Este proceso sigue varios pasos clave:
La gestión de vulnerabilidades es esencial para mantener la seguridad de la información en un entorno digital en constante cambio, minimizando el riesgo de explotación y fortaleciendo las defensas contra posibles amenazas.
