Los grupos de ransomware sigue siendo el arma elegida por muchos delincuentes para atacar a víctimas jóvenes, medianas y mayores que buscan una forma de pago segura, fácil y confiable.

En este sentido, el panorama del ransomware continúa evolucionando de muchas maneras. Por ejemplo, la llegada de nuevos jugadores es constante, mientras que en ocasiones los grandes nombres se van. Algunas pandillas ejecutan operaciones complejas de ransomware como servicio (RaaS), confiando en expertos para piratear redes, negociar, desarrollar malware y más.

También te puede interesar ????: Serie de gestión de riesgos: malware y la amenaza para la banca móvil

¿En qué sentido está evolucionando el ecosistema de grupos de ransomware?

Los analistas de ciberseguridad como la unidad de investigación SILIKN continúan rastreando constantemente los ingresos en el espacio de los atacantes de ransomware, incluida la aparición de nuevas pandillas, al menos nominalmente.

En el tercer trimestre de 2021, se perdieron Avadon, Nunam y Revel, también conocido como Sudinokibi. Pero REvil regresó en septiembre, antes de desaparecer nuevamente, posiblemente debido a la interrupción de la aplicación de la ley. También en el tercer trimestre aparecieron nuevos jugadores, o al menos nuevos nombres, incluidos CryptBD, Grief, Hive, Karma, Thanos y Vice Society.

También en el tercer trimestre, el grupo de ransomware SynAck, que albergaba un sitio de violación de datos llamado «File Leaks», se renombró a sí mismo como «El_Cometa». De manera similar, los analistas han notado que el ransomware DoppelPaymer puede haber sido renombrado como el grupo de ransomware Grief, y se dice que el grupo de ransomware Karma ha sido renombrado como el grupo de ransomware Nemty.

Pero independientemente del nombre, parece que más jugadores en el tercer trimestre están participando en un mayor número de ataques, lo que destaca la mayor democratización de las variantes emergentes de ransomware. El otro grupo que se destacó fue Conti, que se cree que es el sucesor de Ryuk, lo que puede explicar la disminución del rendimiento de este último, pero que ha aumentado significativamente el negocio de Conti.

Asimismo, parece que una gran cantidad de grupos de ransomware permanecen activos, incluidos aquellos que ya incluyen víctimas en sus portales de violación de datos: Avos Locker, Blackyte, BlackMatter, CLOP, Conti, Grief, LockBit 2.0, Midas, PYSA y Xing.

Además, el pago promedio de rescate ha aumentado en más del 50%, lo que indica que los atacantes están comenzando a enfocarse más en víctimas pequeñas y medianas, luego de que el gobierno de Estados Unidos anunciara su estrategia de prevención de ataques.

Cabe señalar que el funcionamiento de pequeños grupos de ciberdelincuentes ha sufrido muchas innovaciones. Por ejemplo, muchas pandillas utilizaron la filtración de junio de 2021 de la empresa de desarrollo de ransomware Babok como ingrediente clave para lanzar su propio malware, exigiendo miles de dólares en rescate.

Si bien robar datos de las víctimas y amenazar con revelarlos es una estrategia ampliamente practicada por las bandas de ransomware, no es absoluta. Los desafíos, por supuesto, son que las víctimas pueden optar por no pagar y restaurar su información desde una copia de seguridad segura.

Además, muchos grupos de ransomware han tenido dificultades para lidiar con los sitios de violación de datos y el almacenamiento de datos en la web oscura para su descarga, lo que ha llevado a algunas bandas a exponer los datos utilizando sitios de intercambio de archivos de sitios web como Mega o PrivatLab.

Dado que estos servicios están alojados en la web, a menudo se pueden eliminar y la mayoría de los enlaces de descarga se eliminarán en uno o dos días. Otro desafío, señaló, es que los sitios web en la web oscura, sitios a los que solo se puede acceder a través del navegador Tor, están diseñados para priorizar la privacidad sobre el rendimiento. Como resultado, navegar por la web oscura puede ser lento y tratar de descargar los datos filtrados puede ser más lento.

Se señaló en foros secretos que la velocidad de descarga era tan lenta que algunos usuarios afirmaron que les llevó casi una semana descargar el primer conjunto de datos, mientras que otros se dieron por vencidos. Alojar sitios de violación de datos y pasarelas de pago también los convierte en objetivos para las autoridades.

Esto parece haber sucedido con REvil, donde el administrador reinicia las actividades de los sitios basados ​​en Tor, solo para descubrir que otra persona, posiblemente un antiguo administrador, podría ser la escena. Network Monitor, o quizás ambos, también tiene la versión de configuración, lo que le permite secuestrar sitios web Tor de REvil.