AstraLocker y otras “pandillas” de ransomware dejarán de raptar tus datos en la nube para dedicarse al cryptojacking

El sitio web especializado en la publicación de noticias tecnológicas Bleeping Computer, informó este martes que los delincuentes detrás del ransomware AstraLocker han decidido cerrar sus operaciones y desde ahora centrarán sus esfuerzos en cryptojacking, una acción dedicada de forma directa a los dispositivos que trabajen o tengan vinculación con criptomonedas.

Aunque los desarrolladores no revelaron el motivo de la decisión, es muy probable que se deba a la persecución que han tenido las pandillas de ransomware por parte de las fuerzas de seguridad, debido a la popularidad que habían ganado recientemente con las acciones concretadas. Esta no es una medida que ocurre con frecuencia, sin embargo los especialistas desearían que otras mafias siguieran el ejemplo y tomarán decisiones parecidas.

AstraLocket y otras “pandillas” ransomware se pasan al cryptojacking

Uno de los miembros del equipo de AstraLocker indicó en sus palabras de despedida que “Fue divertido, y las cosas divertidas siempre terminan en algún momento”, para después informar que los descifradores de su malware están en un archivo Zip, en el que se encuentran las claves relacionadas con las diferentes campañas en las que se le ha causado daño a documentos secuestrados.

Según el investigador Joseph Edwards, el grupo operó bajo la metodología de causar la interrupción inmediata de los archivos con la intención de cobrar y recibir la recompensa de forma rápida, a diferencia de otros métodos más elaborados, en los que se utilizan equipos sofisticados. Sin embargo, eso se convierte en un riesgo para todas las organizaciones, porque una vez que se roba el código, puede ser utilizado por terceros para elaborar sus propios ataques.

AstraLocker ransomware shuts down and releases decryptors – @sergheihttps://t.co/FthncszyT4

— BleepingComputer (@BleepinComputer) July 4, 2022

El ransomware AstraLocker está vinculado a Babuk, que se hizo notorio en el 2021 tras realizar infecciones a organismos importantes, entre ellos el Departamento de Policía Metropolitana en Washington DC. Toda vez que los usuarios reciben el archivo adjunto, basta con que autoricen la ejecución de un fichero en formato Word para que se contagie el ordenador.

Uno de los errores que se cometía con la aplicación de AstraLocker es que los delincuentes no tenían forma de entregar las claves de descifrado, aún cuando se pagara la cifra solicitada por el rescate, lo que convertía las agresiones en destructivas e irreversibles. Esa es una de las razones por las que ahora entregan el archivo Zip, en el que todos los afectados podrán recuperar los documentos que han perdido en los ataques realizados.

¿Qué es el cryptojacking?

El cryptojacking está relacionado con la minería de criptomonedas. Los delincuentes buscan tener acceso no autorizado a cualquier dispositivo que les pueda ser útil, sin importar que sea un ordenador, una tablet, un smartphone o hasta un servidor para comenzar el minado sin que la víctima se dé cuenta o de que sea perceptible el uso.

Una de las razones por las que los ciberdelincuentes utilizan este método es porque no incurren en los grandes costos que supone minar criptomonedas, como por ejemplo las cargas eléctricas, el software costoso o los equipos de refrigeración. Cuando ocurre un aumento en el costo de las monedas digitales –especialmente Monero y Bitcoin- se intensifican los ataques.

Para lograr el objetivo completo, lo que hacen los hackers es instalar el software que funciona en segundo plano, esto lo consiguen al enviar un código malicioso al correo electrónico de la víctima o un anuncio que se ejecutará automáticamente cuando se abra el navegador. Si se dan cualquiera de los dos pasos, comienza la misión de minar o en otro caso sustraer lo que se encuentre en las billeteras virtuales.

La diferencia que tienen con otros malware, es que no daña el ordenador ni tampoco afectan su sistema operativo, pero si utiliza una gran cantidad de recursos que afectan el rendimiento a la hora de efectuar otras tareas. Los usuarios no se darán cuenta lo que pasa en su equipo, ya que el código pasa desapercibido y es tan chico que se oculta en uno de los rincones de la barra de herramientas.

La persecución contra el ransomware da sus frutos y “espanta” a los ciberdelincuentes

Los gobiernos buscan formas de protegerse de los ataques de ransomware y algunas de las medidas fueron tomadas en una conferencia para luchar contra los delitos informáticos que se realizó el pasado mes de octubre en los Estados Unidos, donde unos 30 países se comprometieron a fortalecer la seguridad digital.

Los delegados reconocieron que las amenazas del ransomware son complejas y que es necesario que la respuesta sea conjunta y compartida. Además se relataron experiencias vividas, como el desastre digital en Alemania y los últimos ataques que han ocurrido en los Estados Unidos, de los cuales se responsabiliza a hackers que tienen sus operaciones en Rusia.

A la par con esta declaración, se han tomado medidas radicales para frenar los ataques, con la desventaja de que se detiene a un grupo y muchos otros salen a la palestra o se ocultan de la vista, ya que tienen la ventaja de cruzar fronteras sin mayores problemas. Pero, las autoridades estadounidenses han sancionado intercambios en línea en los que de forma ilícita se recibían criptomonedas por dinero de curso legal.

Desde 2021 los hackeos se han robado más de 1B€ solo en el mercado de las criptomonedas

Aún así, los ataques contra empresas y entes gubernamentales se mantienen en la palestra. Datos de Cybersecurity Ventures dejan ver que durante 2021 la organización Conti fue la que recibió la mayor cantidad de pagos en rescate y que el 15% de los secuestros procedían de este grupo. Si se mantiene ese ritmo, dentro de 9 años se produciría un asalto cada dos segundos y los gastos serían de cientos de billones.

Por otro lado, el pasado mes de febrero se detuvieron en Francia a operadores detrás del ransomware Egregor, en un operativo donde la policía de este país trabajó en conjunto con la de Ucrania. Se tenía información de que operaban desde 2020 y por allí les siguieron la pista. Aunque en una primera instancia no se detuvo a los cabecillas, si se dio con el paradero de contratados y afiliados que trabajaban en los ataques.

Más recientemente, en el mes de junio, se detuvo a varios personajes que operaban el ransomware Clop y se desconectaron las redes que permitían su propagación. El uso principal estaba destinado a extraer ilegalmente criptomonedas y después blanquear los capitales obtenidos. Aparte de lo anterior, se les vincula con la filtración y el cifrado de datos de forma no autorizada.

Sin embargo, los organismos de seguridad siguen atentos al movimiento que realizan los grupos criminales y ahora mismo, andan tras la pista de muchos de ellos, y lograron que los entes gubernamentales tomen medidas como la restricción de cobros de rescate de forma ilícita en criptomonedas, lo que ha llevado a decenas a migrar a otras formas de delito o a ocultar mucho más su operación.