El panorama de las operaciones de ransomware ha evolucionado una vez más, y esta vez los delincuentes se presentan como los “buenos” que supuestamente ayudarán a las víctimas. Recientemente, investigadores de GuidePoint Security fueron contactados para responder a varios ataques de ransomware contra sus clientes. En algunos de estos incidentes, las víctimas también recibieron comunicaciones de un grupo que se autodenomina “Ransom Busters”, que ofrecía borrar los archivos robados de los servidores de los atacantes y, al mismo tiempo, proporcionar claves de descifrado funcionales.

Lo que hizo sospechosa la oferta fue que Ransom Busters se puso en contacto con las víctimas antes de que los atacantes hicieran pública la información. Los estafadores afirmaban haber hackeado los paneles de administración de múltiples operaciones Ransomware-as-a-Service (RaaS), entre ellas DragonForce, Settra y Anubis, y aseguraban tener acceso no solo a quién fue atacado, sino también a los datos robados y a las claves de descifrado.

Justo otra vez, parece ser que se trata de un afiliado más que de rescatadores genuinos. Para sus servicios, Ransom Busters solicitan entre 20,000 y 60,000 dólares; sin embargo, los investigadores señalan que todo podría tratarse de una farsa y que Ransom Busters son, muy probablemente, afiliados de estos servicios de ransomware. Además, también podría ser que fueran los mismos encargados de infiltrar a estas empresas con ransomware desde el principio.

Según las conclusiones de GuidePoint, tanto los atacantes como Ransom Busters emplean el mismo software, las mismas tácticas y los mismos identificadores, lo que lleva a la idea de que se trata del mismo grupo operando en ambos extremos del espectro.

La buena noticia es que, al menos por ahora, ninguna víctima habría pagado a Ransom Busters por su supuesto servicio. En las observaciones de GuidePoint, solo se reportó un caso en el que una víctima pagó el rescate real, y la entidad pertenecía al grupo de los atacantes; el supuesto firmante de recuperación no tenía su nombre en el sitio de filtraciones y sus archivos permanecen asegurados por ahora.

Pretender ser una empresa de recuperación representa el siguiente paso evolutivo en la vida del ransomware. En sus inicios, el ransomware consistía en cifrar equipos y exigir un pago a cambio de la clave de descifrado. A medida que las empresas fortalecían sus copias de seguridad, los criminales pasaron a robar datos y amenazar con divulgarlos públicamente. Poco después, algunos añadieron DDoS para bloquear tanto la parte trasera como la frontal, buscando forzar un pago. Incluso hubo criminales que llamaban por teléfono a sus víctimas para intimidarlas.

Hoy en día, cada vez más grupos se alejan de los cifradores puros y se enfocan en el robo de datos, ya que resulta más barato y, a la vez, igualmente lucrativo.

Este artículo se apoya en la cobertura de BleepingComputer sobre el tema. [Enlace de referencia]

from Latest from TechRadar https://ift.tt/bGBDTE3
via IFTTT IA