Ransomware: los grandes actores como LockBit y ALPHV/BlackCat parecen haber quedado obsoletos, pero grupos nuevos, aún no establecidos, están llenando los huecos emergentes. Los grupos de ransomware como servicio (RaaS) también están revisando su división interna del trabajo y su organización. Incluso países como Rusia y Corea del Norte están descubriendo que el ransomware es una fuente de ingresos.
Como industria cibercriminal, el ransomware está sujeto a cambios constantes. Esto hace que la situación de peligro sea confusa y peligrosa. No sólo el top ten de hackers extorsionadores cambia casi mensualmente. Los individuos o los pequeños equipos desempeñan un papel cada vez más importante. Además, los nuevos grupos que buscan establecerse en el mercado criminal a menudo reducen las barreras de entrada para sus miembros y simpatizantes. Según Martin Zugec, director de soluciones técnicas de Bitdefender.
Cambio estructural en la economía criminal
🔎 Así es como se ve la distribución de ganancias en la economía RaaS (Imagen: Bitdefender).
Los grupos criminales operan como empresas de software y proveedores de servicios altamente organizados. Algunos roles clave son cruciales para operaciones eficientes:
- Como administradores de negocios de facto, los operadores son responsables de gestionar el desarrollo, encontrar presupuestos, realizar trabajos de administración criminal y gestionar la innovación.
- Los desarrolladores desarrollan y mantienen el malware. Configuraron la infraestructura técnica para explotar vulnerabilidades, comprometer empresas y propagar ransomware.
- Los brokers de acceso inicial encuentran vulnerabilidades en la red corporativa y establecen el acceso más persistente posible para el ataque.
- Los afiliados son hackers profesionales que trabajan como contratistas independientes. Ellos ejecutan el ataque, implementan el ransomware en las empresas y aseguran su uso efectivo.
Pero las estructuras están abiertas. Además del círculo interno, el ecosistema RaaS incluye a otros profesionales, como especialistas en análisis y comunicación de datos. Tras el ataque, los negociadores intentan cobrar el máximo rescate.
Cambio de modelos a seguir
Actualmente, los grupos RaaS se están volviendo más eficientes y ágiles. Los desarrolladores y corredores de acceso inicial desempeñan un papel cada vez más importante y están ganando influencia en el funcionamiento de los ataques. Los corredores de acceso inicial generalmente ya no esperan una orden o un acuerdo de trabajo. Obtienen acceso de forma proactiva a varias empresas víctimas y así crean una pequeña cartera de sistemas ya comprometidos que ofrecen a otros delincuentes. Los desarrolladores, a su vez, pueden liderar grupos más pequeños y contratar a otros desarrolladores para programar herramientas periféricas e infraestructura como herramientas para ataques: estas incluyen herramientas que evitan la detección y respuesta de puntos finales (EDR), puertas traseras o infraestructura que no parece permitir el hacking de sombrero negro en su superficie.
Seis nuevas tendencias en los grupos APT
🔎 Detección y respuesta: Aquí se detecta exfiltración de datos con PowerShell (Imagen: Bitdefender).
La creciente competencia y la creciente flexibilidad hacen que sea cada vez más difícil evaluar la situación de riesgo. Los grupos de ransomware también están cambiando sus tácticas y estrategias. A menudo operan de forma independiente y prefieren atacar redes enteras en lugar de dispositivos individuales. En concreto, se pueden observar seis nuevas tendencias:
- Fragmentación y cambios de socios: Los playbooks y bases de código abiertas fácilmente disponibles de grupos conocidos como LockBit y Babuk permiten a los actores sucesores lanzar rápidamente sus propias actividades RaaS. Muchos grupos no se comprometen con un solo socio y pueden trabajar con varios socios al mismo tiempo. Esto les permite seleccionar estratégicamente la variante de ransomware más efectiva para cada ataque. Para ello son decisivos varios criterios, como por ejemplo la seguridad del punto final implementada en el sistema de destino.
- El robo de datos como objetivo principal: Los piratas informáticos buscan lagunas no sólo para cifrar datos sino también para monetizarlos. El potencial para esto está aumentando: en 2024, el número de vulnerabilidades aumentó significativamente: de 18.349 en 2020 a 40.011. según NIST NVD. Las vulnerabilidades conocidas son actualmente el foco de muchos grupos de RaaS, por lo que la frecuencia de ataques oportunistas de ransomware en dispositivos periféricos está aumentando. La exfiltración de datos suele ser un objetivo principal. Las empresas deberían repensar esto y no sólo protegerse contra el cifrado de datos, sino también evitar compartir información.
- Ataques patrocinados por el Estado: En la actualidad, las operaciones de ransomware suelen ser encargadas por los estados y llevadas a cabo como amenazas persistentes avanzadas (APT). Por un lado, los rescates generan ingresos considerables y financian iniciativas patrocinadas por el Estado, como las operaciones militares de Rusia o los programas de armas de Corea del Norte. Por otra parte, los ataques de ransomware pueden causar daños económicos importantes y malestar social en los países objetivo. En realidad, los límites entre el ciberdelito y el espionaje patrocinado por el Estado son cada vez más difusos, lo que hace difícil atribuir los ataques. Como resultado, se reduce el riesgo de consecuencias para los actores estatales.
- Prácticamente ningún sector sigue siendo tabú: Para atraer socios, muchos grupos de RaaS están eliminando restricciones anteriores en la selección de sus víctimas de industrias de víctimas y atacando sectores que anteriormente se consideraban tabú. En lugar de apuntar a empresas o industrias, buscan cada vez más objetivos oportunistas basados en las herramientas que utilizan y vulnerabilidades conocidas. Una consecuencia lógica es el aumento de los ataques al sistema de salud. Aquí se levanta el informe de la Agencia Europea de Ciberseguridad ENISA Según el informe, el número de incidentes anuales de ransomware ha ido aumentando constantemente desde 2021.
- Hacktivismo disfrazado de ransomware: En los últimos años, los ataques con motivaciones políticas han pasado a un segundo plano. Pero ahora hay algunos signos de su renacimiento. Los grupos hacktivistas utilizan cada vez más herramientas y técnicas de ciberdelincuencia para financiar sus actividades y lograr sus objetivos políticos o sociales. Esta tendencia se refleja en El auge de grupos como CiberInteligenciaSV, que apuntan cada vez más a infraestructuras críticas.
La escena del ransomware está experimentando una transformación: estructural, táctica y estratégica. El objetivo, a menudo pragmático, del máximo éxito económico por sí solo garantiza esto. Las empresas no tienen más remedio que ampliar sus defensas, ya que la amenaza que representa el ransomware se ha vuelto impredecible. Las empresas deben prepararse no solo para la prevención, sino también para el día X. La capacidad de detectar y defenderse de las amenazas y de restaurar los sistemas atacados sigue siendo importante para poder actuar rápidamente en caso de un ataque.
Más en Bitdefender.com
Acerca de Bitdefender Bitdefender es líder mundial en soluciones de ciberseguridad y software antivirus, y protege más de 500 millones de sistemas en más de 150 países. Desde su fundación en 2001, las innovaciones de la compañía han brindado regularmente excelentes productos de seguridad y protección inteligente para dispositivos, redes y servicios en la nube para clientes privados y empresas. Como proveedor elegido, la tecnología de Bitdefender se encuentra en el 38 por ciento de las soluciones de seguridad implementadas en el mundo y cuenta con la confianza y el reconocimiento de profesionales de la industria, fabricantes y consumidores por igual. www.bitdefender.de