Black Basta; el ransomware que extorsiona a las empresas con publicar sus "trapos sucios" a menos que paguen miles de euros

Según una investigación publicada por la compañía Cybereason, el ransomware 'Black Basta' sigue atacando y se sabe de 48 víctimas que han caído en sus redes. Aunque se descubrió el pasado mes de abril, se estima que operaba de forma oculta desde febrero y su principal blanco son las grandes industrias.

El investigador Ido Cohen apuntó en Twitter que la víctima más reciente de la que se tiene conocimiento es Elbit Systems of América, uno de los principales fabricantes de productos relacionados con la defensa, seguridad y soluciones aeroespaciales. En medio de todo, destaca que las operaciones aún no se han comercializado completamente, lo que ha impedido que cause daño de forma masiva.

Black Basta; el ransomwer que amenaza a empresas con publicar información comprometedora

Este programa opera aplicando una doble extorsión, lo que implica robar la información del objetivo atacado y después procede a realizar una amenaza en la que se indica que se hará pública la investigación capturada si no se hace un pago en criptomonedas o de cualquier otra forma digital. La variante de Linux que han desarrollado, ataca las máquinas virtuales, que en muchos casos se encuentran instaladas en los servidores de las empresas, lo que permite sustraer los datos confidenciales.

En su forma de operar también se valen de las credenciales robadas que obtienen en foros clandestinos para ingresar a los sistemas administrativos. Entre las empresas que se encuentran en su lista de objetivos están las relacionadas con telecomunicaciones, farmacéuticas, concesionarios de coches, manufactura, transporte, construcción, plomería y fabricantes de ropa interior, por citar algunos de los que menciona la investigación de Cybereason.

🌐 Black Basta #Ransomware team added Elbit Systems US to the victims list 🚨

Elbit Systems of America is a manufacturer of defense, aerospace, and security solutions 🪖

Owned subsidiary of Elbit Systems with $829 million in revenue from Israel 🇮🇱#BlackBasta pic.twitter.com/fJqtbbIaTW

— DarkFeed (@ido_cohen2) June 25, 2022

Los investigadores han visto que también se utiliza en los ataques el troyano bancario Qakbot, el cual permite guardar las credenciales antes de comprometer completamente el sistema. Al principio, por allá en el 2007, se le utilizaba solamente para robar información, sin embargo los objetivos han cambiado e innovaron en la instalación de ransomware en los ordenadores.

Según parece, la organización detrás de Black Basta está conformada por miembros de Conti, un grupo de ciberdelincuentes que cesó sus operaciones luego de que cuerpos policiales analizaran sus tácticas y las hicieran públicas. Sin embargo, sus ideales se mantienen en este ransomware, entre otras cosas por el rescate solicitado y por el sitio de pago.

Ante ello, las recomendaciones de los expertos incluyen mantener los equipos completamente protegidos para evitar dejar alguna brecha que facilite la entrada de intrusos, actualizar a las versiones más recientes los sistemas operativos y realizar de forma periódica copias de seguridad que estén en ubicaciones diferentes.

Los ransomware están fuera de control en 2022; estos son algunos de los que han surgido este año

A finales de 2021, una investigación desarrollada por la empresa británica Sophos concluyó que durante el 2022 los especialistas en ransomware utilizarían nuevas técnicas para masificar sus ataques. Esto lo ratifica Check Point, que en el balance de datos del primer trimestre del año dejó saber que en España 1 de cada 54 empresas se vieron afectadas por estos programas malignos.

Según Check Point, los ataques de ransomware han aumentado 27% en todo el mundo y 17% a nivel europeo

Además, asegura el informe, que ese tipo de amenazas significan gastos siete veces superiores a lo que se tiene que pagar a los delincuentes para rescatar la información. Uno de los que ha mantenido su actividad con firmeza es LockBit 3.0, teniendo varias víctimas en Brasil, México y Perú. Recientemente colocaron un programa de recompensas a quienes ayuden a mejorarlo, reporten vulnerabilidades o provean material sensible que les pueda ser útil para extorsionar.

En su portal invitan a investigadores para que se sumen a la causa y ofrecen hasta 1M€ en pagos. Su forma de trabajo es que si no pagan la recompensa en el tiempo que ellos colocan, hacen pública la información en el sitio web, donde se aumenta la solicitud para desaparecer los detalles.

También circula GoodWill, una aplicación que una vez que infecta un ordenador solicita a la empresa que realice algunos actos benéficos y que además los publique en las redes sociales para que quede una constancia de que se cumplió con el rescate.

Las tres obras de caridad son ayudar a quien haya tenido un accidente de carretera, invitar a comer a cinco niños menores de 13 años y finalmente pagar la factura de alguien que esté en un hospital. Después que se cumple con las exigencias, se entrega una clave con la que se descifran los datos y se recupera la información.

En tercer lugar llega WannaFriendMe y está conectado a la plataforma de videojuegos Roblox. El rescate que se solicita para parar el ataque o regresar la información es con la moneda Roblox, permitiendo a cada miembro personalizar los ataques a su gusto. Lo más perjudicial es que no solamente secuestran los archivos, sino que en algunos casos se destruyen completamente. La razón es que los datos se sobrescriben en vez de cifrarse, lo que deja nulas las posibilidades de recuperación.

Finalmente se debe hacer mención de Alphv, que es uno de los más sofisticados que se encuentra circulando. Los rescates que piden son enormes, con cifras que van de cinco a seis dígitos en moneda de curso legal. La amenaza principal es publicar los datos secuestrados si no se realiza el pago, pero en muchos casos, aún cumpliendo los requisitos no se reciben las claves de cifrado completas. Para evitar que siga causando daño hay que eliminarlo del sistema, aunque no se recuperará toda la información dañada.

Es por ello que las organizaciones de seguridad y protección hacen el llamado con frecuencia a resguardar los equipos y los documentos que hay en ellos, especialmente en los países que sufren mayores atentados como es el caso de los Estados Unidos con un 40% de los ataques perpetrados en los primeros tres meses de 2022, secundado por Reino Unido, Italia, Alemania y Canadá. Los criminales se valen del miedo de las industrias de que su información se haga pública y eso ha permitido que se mantengan en el tiempo, robando y extorsionando a quien se descuida.