Abordamos el tema, Darkside: qué es, objetivos y ataques en Estados Unidos, que recientemente ha afectado a compañías de oleoductos y su suministro.
Darkside: qué es
Según los especialistas, desde su aparición inicial en agosto de 2020, los creadores del ransomware Darkside y sus afiliados han lanzado una ola de delitos a nivel mundial que ha afectado a organizaciones en más de 15 países y múltiples industrias verticales.
Estos ciberdelincuentes llevan a cabo una extorsión multifacética en la que los datos se exfiltran y cifran en su lugar, lo que les permite exigir el pago por el desbloqueo y la no divulgación de los datos robados para ejercer más presión sobre las víctimas.
¿Cómo funciona?
El ransomware Darkside funciona bajo la modalidad de ransomware como servicio (RaaS), en el que las ganancias se comparten entre sus propietarios y socios, o afiliados, que brindan acceso a las organizaciones e implementan el ransomware.
Dado que es un ransomware-as-a-service (RaaS), es posible que tres grupos de afiliados diferentes estén detrás de estos tres ataques.
Incluso los propios actores de Darkside admiten que simplemente compran el acceso a las redes de la empresa.
Estos grupos demostraron distintos niveles de sofisticación técnica a lo largo de las intrusiones. Si bien los ciberatacantes generalmente confiaban en herramientas legítimas y disponibles comercialmente para facilitar las diversas etapas de sus operaciones, al menos uno de los grupos de amenazas también empleó una vulnerabilidad de día cero ahora, al parecer, parcheada.
En este sentido, se han identificado múltiples víctimas de Darkside, siendo que la mayoría de las organizaciones tenían su sede en los Estados Unidos.
Evolución de este ransomware
A partir de noviembre de 2020, el ciberatacante ruso “darksupp” anunció Darkside RaaS en los foros rusos exploit.in y xss.is.
En abril de 2021, darksupp publicó una actualización para el RaaS “Darkside 2.0” que incluía varias características nuevas y una descripción de los tipos de socios y servicios que estaban buscando.
Los afiliados retienen un porcentaje de la tarifa de rescate de cada víctima. Según los anuncios del foro, los operadores de RaaS toman el 25% por tarifas de rescate de menos de 500 mil US dólares, pero esto se reduce al 10% para tarifas de rescate superiores a 5 millones de US dólares.
Además de proporcionar compilaciones de ransomware Darkside, los operadores de este servicio también mantienen un blog accesible a través de TOR.
El grupo cibercriminal utiliza este sitio para difundir a las víctimas en un intento de presionar a estas organizaciones para que paguen por la no divulgación de datos robados.
Una actualización reciente de un anuncio en un foro clandestino también indica que con una funcionalidad del mismo kit de Darkside, los cibercriminales pueden intentar atacar a las organizaciones que han sido víctimas de ataques de denegación de servicios (DDoS).
No obstante, darksupp ha declarado que los afiliados tienen prohibido apuntar a hospitales, escuelas, universidades, organizaciones sin fines de lucro y entidades del sector público.
¿Cómo funciona el programa de afiliados de Darkside?
Los afiliados de Darkside RaaS deben pasar una entrevista después de la cual se les proporciona acceso a un panel de administración.
Dentro de este panel, los afiliados pueden realizar diversas acciones, como crear una compilación de ransomware, especificar contenido para el blog de Darkside, administrar víctimas y ponerse en contacto con el área de soporte técnico.
Algunos ciberdelincuentes que afirman usar Darkside también se han asociado supuestamente con otros programas afiliados de RaaS, incluidos Babuk y Sodinokibi (también conocido como REvil).
Adicionalmente, los cibercriminales se han vuelto más competentes en la realización de operaciones de extorsión y este éxito ha contribuido directamente al rápido aumento en el número de incidentes de ransomware de alto impacto en los últimos años.
A finales de abril de 2021, los operadores de Darkside publicaron un comunicado en el que indicaban que estarían vulnerando organizaciones que cotizaban en NASDAQ y otros mercados de valores.
De acuerdo con las tendencias observadas, es un hecho que las tácticas de extorsión que utilizan los ciberdelincuentes para presionar a las víctimas continuarán evolucionando a lo largo de 2021.
Ataques en Estados Unidos
En días pasados un oleoducto, responsable de casi la mitad del suministro de combustible para la costa este de Estados Unidos, tuvo que cerrar sus operaciones ante un ataque de ransomware del que fue blanco.
Las tiendas de gasolina, diesel, aceite para calefacción, combustible para aviones y suministros militares se vieron gravemente afectadas, y la Administración Federal de Seguridad de Autotransportistas (FMCSA) declaró el estado de emergencia en 18 estados para hacerle frente a la escasez.
El FBI confirmó que Darkside es un grupo de ciberdelincuentes que se originó en Europa del Este y estaría detrás del ataque; el ransomware utilizado pertenece a una familia relativamente nueva, detectada por primera vez en agosto de 2020.
Además de bloquear todos los sistemas informáticos de la petrolera, Darkside también robó más de 100 GB de datos corporativos.
El grupo anunció el 12 de mayo que tenía tres víctimas más: una empresa de construcción con sede en Escocia, un revendedor de productos de energía renovable en Brasil y una empresa de tecnología de en los Estados Unidos.
Los actores de Darkside afirmaron haber robado un total de 1.9 GB de datos de estas empresas, incluida información confidencial como datos de clientes, datos financieros, pasaportes de empleados y contratos.
Objetivos de ransomware Darkside
Los informes dicen que, según los sitios de filtración, hay al menos 90 víctimas afectadas por Darkside.
En total, más de 2 TB de datos robados se alojan actualmente en los sitios de Darkside y se filtra el 100% de los archivos robados de las víctimas.
Los actores detrás de Darkside han declarado que evitan apuntar a empresas en ciertas industrias, incluida la atención médica, la educación, el sector público y las ONG’s. Identifican como blancos a las fábricas, compañías del sector financiero, e infraestructura de misión crítica.
Según los datos de Trend Micro, Estados Unidos es el país objetivo de Darkside con más de 500 detecciones, seguido de Francia, Bélgica y Canadá.
Después del ataque a Colonial Pipeline, Darkside emitió un comunicado en uno de sus sitios de filtraciones, aclarando que el grupo no deseaba crear problemas para la sociedad y que su objetivo era simplemente ganar dinero.
“Quienes llevan a cabo ataques ransomware a las empresas- de cualquier tamaño-, no buscan simplemente bloquear los datos contenidos en los computadores de los usuarios para pedir un rescate, sino que buscan profundizar a lo largo y ancho de las redes de la organización, ampliando el impacto del ataque y logrando así nuevas formas de monetizar el robo de información” menciona Ignacio Triana, gerente de tecnología para MCA en Trend Micro.
¿Cómo se puede prevenir un ataque de ransomware?
Víctor Ruiz, fundador de Silikn, ofrece algunas sugerencias:
Actualice sus sistemas constantemente
El software viene con vulnerabilidades y a los atacantes les encanta explotar las vulnerabilidades, por lo que su empresa debe tener una sólida política de administración de parches y actualizaciones.
Capacitación continua
La educación debe ser continua y fomentar la hipervigilancia hasta el punto en que se convierta en algo natural para los usuarios: buscar siempre señales de intenciones maliciosas y verificar las fuentes antes de hacer clic en enlaces o abrir archivos adjuntos de correo electrónico.
Leíste: Darkside: qué es, objetivos y ataques en Estados Unidos, te recomendamos: Ransomware: ¿cómo son estos ataques?
Síguenos en nuestras redes sociales: