ESET identifica más de 40 sitios activos para filtrar información de distintas familias de ransomware

El crecimiento que ha tenido el ransomware lo ha convertido en una de las principales amenazas, afectando a todo tipo de industrias, y al solicitar montos cada vez más elevados por el pago de los rescates. Además, desde fines del 2019 distintos operadores de ransomware sumaron al secuestro de archivos, la práctica extorsiva de amenazar con la filtración de la información comprometida.

Esta nueva modalidad hace uso de una técnica conocida como doxing, que consiste en obtener datos confidenciales de las víctimas y amenazar con hacerlos públicos, a menos que se pague la extorsión. El objetivo es el de presionar aún más a las víctimas para que paguen los rescates, ya que al hacerlo también evitarán que se exponga el nombre de la empresa y que se libere para su descarga la información robada. “Esto sin duda aumenta la presión sobre los afectados, ya que no solo se trata de recuperar la información cifrada, sino también evitar que los datos robados se hagan públicos”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de ESET Latinoamérica.

Para llevar adelante esta dinámica, los grupos comenzaron a crear sitios, en su mayoría dentro de la red Tor. Generalmente, los atacantes primero exponen el nombre de la empresa u organización víctima y un par de archivos para descargar como prueba de la intrusión. Luego suelen indicar una fecha en la que publicarán toda la información robada si no llegan a un acuerdo para negociar el pago del rescate. Si la víctima decide no pagar, los criminales probablemente publiquen la totalidad de la información robada o la vendan.

Esta práctica del doxing, que se consolidó como tendencia en los primeros meses de 2020 con unos pocos grupos que la adoptaron, tiene hoy al menos 41 sitios activos creados por grupos de ransomware para publicar los nombres y la información sustraída de los sistemas de las víctimas, cada uno de los cuales representa a una familia distinta en actividad.

Una de estas las nuevas apariciones es la del ransomware Atomsilo, que surgió en la darknet a mediados de septiembre de 2021. El sitio de Atomsilo contiene el nombre de lo que aparentemente el grupo asegura es su primera víctima: una compañía farmacéutica de Brasil llamada Cristália. La compañía publicó en su sitio web que el pasado 9 de septiembre sufrió un ataque informático que afectó a sus sistemas y operaciones, aunque no confirmó que se trate de un ransomware. Sin embargo, la aparición del sitio en la red Tor parece haber sido días posteriores al incidente. Los cibercriminales afirman haber robado 900Gb de información y publicaron nombres completos, números de CNP, direcciones particulares, números de teléfono, imágenes de documentos, entre otra información.

Otro de los grupos de ransomware que ha demostrado una importante actividad en América Latina en el último tiempo es Lockbit 2.0. Esta banda, que hace poco aseguró haber sido el responsable del ataque a la compañía Accenture, publicó en septiembre el nombre de cinco víctimas de América Latina; una compañía de México y cuatro de Brasil. Las víctimas van desde organismos gubernamentales, hoteles, compañías del sector de la construcción, hasta estudios de abogados.

Más allá del daño a la reputación y a la imagen -además de posibles consecuencias legales- que representa para las compañías y organizaciones aparecer en uno de estos sitios que operan los grupos de ransomware, un caso que dejó claro el valor de la información robada fue el ataque del ransomware Conti al servicio de salud público de Irlanda (HSE, por sus siglas en inglés). En un primer momento los cibercriminales solicitaron 20 millones de dólares en bitcoin a la entidad para recuperar los archivos y evitar la circulación de la información robada, pero finalmente entregaron un descifrador de forma gratuita para que puedan recuperar los equipos afectados, aparentemente por tratarse de un organismo dedicado a la salud. Sin embargo, los criminales comunicaron que esto no evitaría que publiquen la información o que incluso la vendan.