Grupos de Ransomware: ¿Quiénes son y Cómo Ganan Millones?

Los grupos de ransomware representan una de las amenazas más insidiosas en el panorama de la seguridad informática mundial.

Estos grupos de cibercriminales especializados en el uso de ransomware, un tipo de malware diseñado para cifrar o bloquear el acceso a los datos de un sistema hasta que se pague un rescate, han ganado notoriedad por su capacidad de atacar entidades gubernamentales, infraestructuras críticas, empresas e individuos a escala global.

Su operación se basa en el anonimato y el uso de técnicas avanzadas de evasión y cifrado, dificultando el seguimiento y la mitigación de los ataques.

Composición de los Grupos de Ransomware

Los grupos de ransomware son organizaciones cibercriminales altamente estructuradas, con roles y responsabilidades bien definidos entre sus miembros. Típicamente, estos grupos incluyen:

• Líderes: Individuos que coordinan los ataques, establecen los objetivos y distribuyen los recursos. Son responsables de la planificación estratégica y a menudo tienen las llaves para descifrar los datos secuestrados.
• Desarrolladores de malware: Son programadores que crean y mantienen el malware, asegurándose de que sea efectivo contra las nuevas tecnologías de seguridad. Estos individuos tienen habilidades avanzadas en criptografía y seguridad informática y están encargados de actualizar constantemente el ransomware para evitar la detección por parte de los programas antivirus.
• Operadores de Ransomware-as-a-Service (RaaS): Ofrecen el ransomware como un servicio a criminales menos experimentados, compartiendo las ganancias.
• Distribuidores / Expertos en penetración: Especializados en identificar y explotar las vulnerabilidades de la red para distribuir el ransomware. Son hackers que difunden el ransomware, a menudo a través de campañas de phishing, exploits de vulnerabilidades de red o el uso de kits de exploits. Ellos son los “pies en el campo” de la operación, responsables de la infección inicial de los sistemas.
• Negociadores: Expertos que manejan la comunicación con las víctimas y negocian el pago del rescate. Estos individuos deben ser hábiles en manipular a las víctimas y convencerlas de pagar.
• Lavanderos (lavadores de dinero): Especialistas en el lavado de los pagos de los rescates, a menudo a través de criptomonedas, para ocultar el origen ilícito de los fondos y proteger la identidad de los miembros del grupo.

Comportamiento de los Grupos de Ransomware

Los grupos de ransomware siguen un modelo operativo relativamente estandarizado, que puede dividirse en varias fases:

1. Investigación y selección de objetivos: Identifican organizaciones vulnerables o de alto valor, como hospitales, instituciones gubernamentales o grandes empresas, que son más propensas a pagar el rescate.
2. Infiltración: Utilizan técnicas de ingeniería social, phishing o vulnerabilidades de seguridad para obtener acceso a la red del objetivo.
3. Expansión del acceso: Una vez dentro, buscan obtener privilegios elevados y propagarse dentro de la red para cifrar la mayor cantidad de archivos posible.
4. Cifrado: Activan el ransomware para cifrar los archivos, haciéndolos inaccesibles, y dejan instrucciones sobre cómo pagar el rescate.
5. Negociación: Si la víctima contacta con el grupo, comienzan las negociaciones para el pago del rescate, a menudo en criptomonedas para mantener el anonimato.
6. Recaudación del rescate y descifrado: Una vez recibido el pago, pueden proporcionar a la víctima la clave de descifrado.

Estos grupos son notoriamente difíciles de rastrear y perseguir debido al uso de técnicas avanzadas de anonimato, la naturaleza transnacional de sus operaciones y el lavado de los pagos de los rescates a través de criptomonedas. Su capacidad de adaptarse rápidamente a las contramedidas de seguridad los convierte en adversarios formidables para las organizaciones y los organismos de aplicación de la ley de todo el mundo.

Los Principales y Más Conocidos Grupos de Ransomware

En los últimos años, varios grupos de ransomware se han distinguido por su peligrosidad, sofisticación y el impacto de sus ataques. Estos grupos han afectado a grandes empresas, entidades gubernamentales e infraestructuras críticas, exigiendo rescates millonarios y provocando interrupciones significativas. A continuación, algunos de los más conocidos e influyentes:

WannaCry

WannaCry ganó notoriedad en mayo de 2017, cuando infectó más de 230,000 computadoras en más de 150 países en menos de un día. Este gusano se propagó explotando una vulnerabilidad en los sistemas Windows, previamente descubierta por la NSA y publicada por el grupo hacker Shadow Brokers. WannaCry fue particularmente dañino para el sistema sanitario británico (NHS), provocando la cancelación de citas e intervenciones.

NotPetya

NotPetya emergió en junio de 2017, inicialmente apuntando a Ucrania pero propagándose rápidamente a nivel global. Aunque se disfrazó de ransomware, NotPetya funcionaba más como un wiper, diseñado para borrar permanentemente los datos en lugar de cifrarlos para obtener un rescate. Afectó a grandes empresas como Maersk y Merck, causando daños por miles de millones de dólares.

Ryuk

Ryuk apareció por primera vez a finales de 2018 y rápidamente se ganó una reputación por sus ataques dirigidos y los rescates elevados, a menudo solicitados en Bitcoin. Ryuk tiende a atacar organizaciones con capacidad de pagar rescates significativos, como hospitales, entidades gubernamentales y grandes empresas. Este grupo es conocido por su cuidadosa planificación y su enfoque estratégico, estudiando las redes de las víctimas para maximizar el impacto de su ataque.

Maze

Maze fue uno de los primeros grupos de ransomware en utilizar la técnica de “doble inmersión”, cifrando los datos de las víctimas y al mismo tiempo exfiltrándolos. Antes de cifrar los archivos, Maze robaba datos confidenciales, amenazando luego con publicarlos públicamente si no se pagaba el rescate. Este grupo afectó a numerosas organizaciones en diversos sectores, incluyendo la salud, el derecho y las finanzas, antes de anunciar su “cierre” en noviembre de 2020.

DarkSide

DarkSide es conocido por su ataque a Colonial Pipeline en mayo de 2021, que provocó el cierre temporal del principal oleoducto para el transporte de gasolina y combustible para aviones en la costa este de los Estados Unidos. El grupo opera con un modelo de Ransomware-as-a-Service (RaaS), proporcionando su software de ransomware a afiliados a cambio de una parte del rescate recaudado. DarkSide se autodescribió como “ético”, afirmando que evitaba atacar hospitales, escuelas, gobiernos y organizaciones sin fines de lucro.

Características Comunes e Impacto

Estos grupos comparten varias características, incluyendo el uso de técnicas avanzadas de evasión y cifrado, la preferencia por objetivos de alto valor y la capacidad de causar daños significativos a nivel económico y operativo. El impacto de sus ataques va mucho más allá del costo inmediato del rescate, incluyendo interrupciones prolongadas de las operaciones, daños a la reputación y costos de recuperación y refuerzo de la seguridad de TI.

La lucha contra los grupos de ransomware requiere un enfoque coordinado que incluya la seguridad informática proactiva, la colaboración internacional entre las fuerzas del orden y un compromiso continuo en la concientización y la capacitación de los usuarios. Con la creciente sofisticación de estos grupos, se vuelve cada vez más importante adoptar prácticas de seguridad robustas y mantener los sistemas actualizados para mitigar el riesgo de ataques.

Rescates y Objetivos

Los rescates y los objetivos de los grupos de ransomware se centran en dos aspectos cruciales de su operatividad: la naturaleza y las dimensiones de los rescates solicitados, y los objetivos estratégicos que guían la selección de sus víctimas.

Rescates: tamaño y modalidades de pago

Los rescates solicitados por los grupos de ransomware varían significativamente según la víctima, la capacidad percibida de pago y el impacto del ataque. Mientras que los ataques iniciales podían tener solicitudes de rescate del orden de unos cientos o miles de dólares, los ataques recientes ven cifras que pueden alcanzar millones de dólares. Por ejemplo, el ransomware Ryuk y otros grupos similares han solicitado rescates que van desde las decenas hasta las centenas de Bitcoin, equivalentes a millones de dólares al momento del pago.

El pago casi siempre se solicita en criptomonedas para aprovechar su anonimato y la dificultad de rastrear las transacciones. Esto complica los esfuerzos de las autoridades para identificar y perseguir a los criminales.

Objetivos estratégicos

Los grupos de ransomware seleccionan cuidadosamente sus objetivos en base a varios criterios estratégicos:

• Capacidad de Pago: Organizaciones grandes y ricas, como empresas multinacionales, hospitales y entidades gubernamentales, a menudo están en la mira porque son más propensas a pagar sumas importantes para recuperar el acceso a los datos críticos.
• Vulnerabilidades de Seguridad: Las víctimas también se eligen en función de la presencia de vulnerabilidades conocidas y fácilmente explotables en sus sistemas informáticos. A veces, un análisis preliminar o un ataque exploratorio puede preceder al ataque de ransomware propiamente dicho.
• Importancia de los Datos: Las organizaciones que poseen datos extremadamente sensibles o críticos para sus operaciones diarias están particularmente en riesgo, ya que la pérdida o la indisponibilidad de estos datos puede tener consecuencias devastadoras.
• Impacto Social y Económico: Algunos grupos buscan maximizar el impacto social o económico del ataque, como en el caso de infraestructuras críticas, para aumentar la presión sobre las víctimas a pagar el rescate.

Doble extorsión y otras tácticas

Recientemente, la práctica de la “doble extorsión” se ha vuelto común: los criminales no solo cifran los datos, sino que también los exfiltran antes del ataque. Esto les permite amenazar con la publicación de los datos sensibles como una palanca adicional para obligar al pago del rescate, incluso si la víctima puede restaurar los archivos de las copias de seguridad.

Los objetivos y las estrategias de los grupos de ransomware ponen de manifiesto su naturaleza calculadora y estratégica, así como la necesidad de que las organizaciones adopten medidas de seguridad proactivas e integrales. Esto incluye actualizar y parchear los sistemas, capacitar a los usuarios en seguridad informática, adoptar soluciones de respaldo confiables y preparar planes de respuesta a incidentes.

La colaboración entre las organizaciones privadas y las agencias gubernamentales es fundamental para combatir eficazmente la amenaza representada por los grupos de ransomware, buscando interrumpir sus operaciones y reducir la incidencia y el impacto de los ataques de ransomware a nivel global.