Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Entradas populares

PostHeaderIcon Ataque de ransomware a la empresa ADIF: 800GB datos secuestrados




El grupo detrás del ransomware #Sodinokibi#REvil informa que Adif (Administrador de Infraestructuras Ferroviarias) a ha sido victima de su malware por tercera vez y amenaza con publicar 800gb de datos privados de la compañía Española encargada de la gestiónferroviaria: circulación, infraestructura, estaciones de viajeros y mercancías. 13,761 de empleados. 8B revenue. Son los mismos cibercriminales que atacaron con éxito al bufete de abogados Grubman Shire Meiselas & Sacks, un despacho especializado en celebridades estadounidenses. Entre sus clientes estaban Donald Trump, Lady Gaga o Madonna.






  • Los cibercriminales de REVil han empezado a cumplir su amenaza y han publicado 8GB de información sensible de los 800GB que dicen tener en su poder
  • En un archivo colgado en Mega.nz. Hay bases de datos, e-maill e información financiera

Los datos filtrados en esta primera publicación incluyen más de 1.000 archivos y carpetas pertenecientes a la empresa pública con un amplio abanico de material privado y sensible: correspondencia electrónica entre empleados, 'e-mails', direcciones de contacto, bases de datos e información correspondiente al departamento financiero de Adif.

REvil (Sodinokibi, Sodin) ransomware-as-a-service (RaaS)

Ransomware-as-a-Service (RaaS), donde un grupo de personas mantiene el código y otro grupo, conocido como "afiliados", difunde el ransomware.

El grupo REVil asegura que, si la empresa pública no se atiene a sus condiciones, el pago de un rescate económico), publicará sus contratos y facturas, entre otros datos privados


La empresa pública Adif, responsable de la construcción y gestión de líneas de ferrocarril, ha sufrido un ciberataque que ha desembocado en el robo de 800 gigas de información privada y sensible de la compañía. La acción ha sido ejecutada por REVil, un conocido grupo de ciberdelincuentes, que se ha puesto en contacto con Adif para informarles de la sustracción.

El grupo ha difundido este miércoles la información en Happy Blog, una página accesible mediante la red Tor. Según las imágenes compartidas en dicha web y en diversas redes sociales, los ciberdelincuentes tienen en su poder un amplio abanico de información: contratos, facturas, correspondencia privada, números de teléfono, datos de clientes, certificados, expedientes, tarifas e incluso informes internos.



Desde REVil avisan a Adif a ponerse en contacto con ellos. "Si no cumplís nuestras condiciones", asegura el grupo, "vuestra información será publicada. Seguiremos descargando vuestros datos hasta que contactéis con nosotros". Diversos medios se han puesto en contacto con Adif, que ha confirmado la existencia de dicho ataque y asegura que este "ha sido controlado por los servicios internos de seguridad. En ningún momento se ha visto afectada la infraestructura, garantizándose siempre el buen funcionamiento de todos sus servicios. Adif, consciente de ser el gestor de una infraestructura crítica como es la explotación de la red ferroviaria, considera la ciberseguridad como uno de los pilares de la seguridad integral".


Adif (adif.es)Headquarters: Calle Hiedra Edif 23, Madrid, Madrid, 28036, SpainPhone:+34 912 43 23 43Website:adif.esSimultaneously with the publication, the third attack will follow.
We advise you to get in touch immediately.
We have personal information including correspondence, contracts and other accounting (total 800 gigabytes of data).
If you do not comply with our terms, your data will be published in the public domain.
We will continue to download your data until you contact us.


Historia del ransomware REvil


  • Revil fue el primer ransomware en ofrecer un nuevo método de extorsión: publicar y ahora (Junio 2020) incluso subastar los datos de las víctimas utilizando la criptomoneda Monero


El ransomware REvil se anunció por primera vez en un foro de cibercrimen en ruso en junio de 2019. El actor principal asociado con la publicidad y la promoción del ransomware REvil se llama Unknown, también conocido como UNKN. El RaaS se opera como un servicio afiliado, donde los afiliados propagan el malware mediante la adquisición de víctimas y los operadores REvil mantienen el malware y la infraestructura de pago. Los afiliados reciben del 60% al 70% del pago del rescate.

Debido al código fuente y las similitudes de comportamiento entre REvil y GandCrab, se sugirió que podría haber una conexión que vincule a los desarrolladores de las dos familias de ransomware. Además de las similitudes en el código, la evidencia complementaria que une a GandCrab y REvil es que GandGrab oficialmente se "retiró" justo antes de que REvil apareciera. REvil se mantiene activamente y se encuentra en constante desarrollo.

Ransomware GandCrab


Tras un año y medio de funcionamiento y más de 1,2 millones de víctimas en todo el mundo, especialmente en América Latina, en junio de 2019 los desarrolladores de GandCrab publicaron en un foro de DarkNet que difunde RaaS, que ya no iban a continuar con el proyecto y que todas las víctimas tenían dos meses para pagar, sino iban a perder sus archivos para siempre, pues iban a borrar todas las llaves. Se calcula que el ransomware GandCrab es responsable del 40% de las infecciones de ransomware a nivel mundial.



Pero el 15 de Julio de 2019 el FBI hizo publicó que tenía las llaves maestras de descifrado de las versiones 4 y superiores de este malware, a través de un comunicado oficial que indica que las llaves se trabajaron en colaboración con BitDefender y que iban a ser publicadas en el proyecto nomoreransom.org.

Con la colaboración de diferentes agencias de seguridad, el FBI ha liberado finalmente las claves maestras de descifrado para las versiones 4, 5, 5.0.4, 5.1, y 5.2 de GandCrab.



Los actores detrás de REvil incluyen su clave pública maestra en todos los binarios de REvil. Por lo tanto, pueden descifrar los archivos independientemente de los afiliados que ejecutan las campañas.

Los cibercriminales detrás de la oferta de ransomware como servicio (RaaS) de GandCrab anunciaron recientemente que estaban cerrando la tienda y retirándose después de que supuestamente obtuvieron más de $ 2 mil millones en pagos de extorsión de las víctimas.

Unknown (UNKN) dijo que estaba prohibido instalar la nueva cepa de ransomware en cualquier computadora en la Comunidad de Estados Independientes (CEI), que incluye Armenia, Bielorrusia, Kazajstán, Kirguistán, Moldavia, Rusia, Tayikistán, Turkmenistán, Ucrania y Uzbekistán.

Si el "Keyboard language" del sistema corresponde a cualquier valor del siguiente listado, la ejecución del ransomware se detiene sin realizar ninguna acción


  • 0x818 – Romanian (Moldova)
  • 0x419 – Russian
  • 0x819 – Russian (Moldova)
  • 0x422 – Ukrainian
  • 0x423 – Belarusian
  • 0x425 – Estonian
  • 0x426 – Latvian
  • 0x427 – Lithuanian
  • 0x428 – Tajik
  • 0x429 – Persian
  • 0x42B – Armenian
  • 0x42C – Azeri
  • 0x437 – Georgian
  • 0x43F – Kazakh
  • 0x440 – Kyrgyz
  • 0x442 –Turkmen
  • 0x443 – Uzbek
  • 0x444 – Tatar
  • 0x45A – Syrian
  • 0x2801 – Arabic (Syria)


La prohibición contra la propagación de malware en los países de la CEI ha sido durante mucho tiempo un elemento básico de varios programas de afiliados de pago por instalación que son operados por delincuentes que residen en esas naciones. La idea aquí, es no es atraer la atención de la policía local que responde a las quejas de las víctimas (y / o tal vez mantenerse fuera del radar de las autoridades fiscales y los extorsionistas en sus ciudades de origen).

También se descubrió que Sodinokobi / REvil también incluye a otra nación en su lista de países que los afiliados deberían evitar infectar: ​​Siria. Curiosamente, las últimas versiones de GandCrab dieron el mismo paso inusual.



Revil fue el primer ransomware en ofrecer un nuevo método de extorsión: publicar y ahora incluso subasta los datos de las víctimas

Métodos que utiliza REvil para conectarse a las víctimas:

  • ADRecon [https://github.com/sense-of-security/ADRecon]
  • CrackMapExec [https://github.com/maaaaz/CrackMapExecWin]
  • ghost [https://github.com/ginuerzh/gost]
  • impacket secretsdump [https://github.com/maaaaz/impacket-examples-windows/blob/master/secretsdump.exe]
  • mimikatz [https://github.com/gentilkiwi/mimikatz]
  • PentestBox with Metasploit [https://pentestbox.org]
  • plink.exe [https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html]
  • PowerSploit [https://github.com/PowerShellMafia/PowerSploit]
  • Proxifier [https://www.proxifier.com]
  • PsTools (PsExec)


Pero, ¿qué es REVil y hasta qué punto son verdaderamente peligrosos? El colectivo no es demasiado conocido entre el ciudadano medio, pero sí dentro del sector de la ciberseguridad: se trata de un grupo de cibercriminales con un breve pero peligroso historial delictivo.


  • Madonna, Lebron James y Lady Gaga


Su acción más conocida tuvo lugar hace apenas dos meses, en mayo de 2020. Fue entonces cuando entraron en los sistemas de la firma Grubman Shire Meiselas & Sacks, que representa a artistas como Lady Gaga, Madonna o Bruce Springsteen, y robaron 756 GB de material privado sobre la artista neoyorquina, además de, supuestamente, ingente material sobre Donald Trump.

El grupo pidió un rescate de 21 millones de dólares a cambio de no publicar la información sustraída, pero el despacho se negó a pagar, lo que hizo que REVil subiese aún más su petición de rescate: hasta los 42 millones de dólares. Ante la nueva negativa, publicaron parte de la información y subastaron el resto.

Un mes antes, en abril, la víctima de REVil fue la compañía de divisas Travelex, que vio infectados todos sus sistemas a través del 'ransomware' homónimo del grupo. En este caso, el más grave hasta la fecha, la compañía acabó sucumbiendo y pagó los 2,3 millones de dólares a modo de rescate de su información, frente a los 6 millones que exigieron los ciberdelincuentes.

La subasta de datos robados es práctica habitual de este grupo, según asegura a Teknautas Brett Callow, de Emsisoft, aunque en este caso "amenazan con publicar los datos en lugar de subastarlos. Eso podría ser porque no creen que los datos tengan un valor de mercado significativo... o porque sí que planean subastarlos pero han redactado su escrito de manera descuidada".
Respecto a las posibles identidades de los integrantes de REVil, Callow asegura que "la evidencia sugiere una posible conexión entre ellos y GandCrab [otro grupo de ciberdelincuentes, ahora presumiblemente retirados] y que podrían estar en Rusia o en otro país de la Comunidad de Estados Independientes" (Bielorrusia, Ucrania, Armenia, Azerbaiyán, Kazajistán, Kirguistán, Moldavia, Tayikistán, Turkmenistán o Uzbekistán).

"No hay que pagar rescates"

En cuanto a las posibles condiciones que REVil pudiera imponer a Adif para no hacer pública toda su información sensible, Callow es tajante: "Europol y otros organismos encargados de hacer cumplir la ley han aconsejado sistemáticamente que no se pague rescates, y ese es el mejor consejo. La única forma de detener los ataques de 'ransomware' es hacer que no sean rentables, y eso significa que las empresas deben dejar de pagarlos".

Así pues, en su opinión, "en casos de robo de datos, las compañías no tienen una buena opción: han sido violadas y pagar no cambia ese hecho. Incluso si pagan, simplemente recibirán una 'promesa de meñique' de que los delincuentes eliminarán su copia de los datos, y esa promesa, obviamente, no tiene mucho peso".

  • Adif anunció en 2019 que instalaría un sistema contra ciberataques para proteger el AVE y los trenes españoles La entidad pública busca más seguridad y protección frente a ataques deliberados que puedan poner en riesgo la continuidad de los servicios

Adif (Administrador de Infraestructuras Ferroviarias) formalizó un contrato para proteger la infraestructura ferroviaria española frente a ciberataques que puedan poner en peligro el servicio de la red de trenes y ferrocarriles nacional.

Se trata de la adquisición de un conjunto de servidores específicamente desarrollados para trabajar con el Equipo de Respuesta ante Incidentes de Seguridad de la Información del Centro Criptológico Nacional (CCN-CERT).

"Los incidentes de seguridad a los que están expuestos los sistemas de la Administración Pública española son cada día más numerosos y, a través de Internet, más fáciles de llevarse a cabo y de propagarse. Código dañino y/o espía instalado en los equipos de un organismo, gusanos que intentan extenderse por la red -como el ransomware WannaCry- y comunicarse con servidores externos para enviar información o para destruir o modificar datos almacenados, ataques contra los servicios web de un ente público… En general, este tipo de ataques y especialmente los de código dañino han experimentado un crecimiento exponencial en los últimos años (..) Ya no basta con responder y gestionar el incidente una vez se ha producido, sino que es necesaria una labor proactiva que permita actuar antes de que el ataque haya penetrado en los sistemas o, por lo menos, detectarlo en un primer momento para reducir su impacto", explica el CCN-CERT.

En 2019 empresas como Everis y Prisa Radio fueron víctimas de un ataque de ransomware que dejó paralizados sus equipos. En octubre, Ryuk, un ransomware de origen ruso, dejó inhabilitados los Ayuntamientos de Jerez de la Frontera y Bilbao, y en junio, un ransomware conocido como Silex hackeó miles de dispositivos como cámaras de vigilancia, cerraduras, bombillas, termostatos, routers o webcams, dejándolos inutilizables.

Recomendaciones para evitar un ataque de Ransomware


  • -Actualiza temprano y con frecuencia: muchos ataques de ransomware aprovechan fallos de seguridad conocidas en servidores y escritorios.
  • -Deshabilita RDP: abreviatura de Remote Desktop Protocol, esta característica de Windows permite que un sistema se administre de forma remota a través de Internet. Un número ridículo de empresas, en particular los proveedores de atención médica, son atacadas con ransomware porque dejan RDP abierto en Internet y protegido con contraseñas fáciles de adivinar. Y hay una serie de servicios criminales que venden el acceso a las instalaciones de RDP con fuerza bruta.
  • -Filtrar todo el correo electrónico (Phishing): invierta en sistemas de seguridad que puedan bloquear archivos ejecutables en la puerta de enlace de correo electrónico.
  • -Aislar sistemas y datos de misión crítica: esto puede ser más difícil de lo que parece. Puede valer la pena contratar una empresa de seguridad competente para asegurarse de que esto se haga correctamente.
  • - Copia de seguridad de archivos y bases de datos clave: tenga en cuenta que el ransomware puede cifrar cualquier red o archivos o carpetas basados ​​en la nube que estén asignados y se les haya asignado una letra de unidad. Hacer una copia de seguridad en un sistema secundario que no tiene asignada una letra de unidad o está desconectado cuando no está haciendo una copia de seguridad de los datos es clave. Aquí entra en juego la antigua regla de copia de seguridad "3-2-1": siempre que sea posible, mantenga tres copias de seguridad de sus datos, en dos tipos de almacenamiento diferentes, con al menos una copia de seguridad fuera del sitio.
  • -Desactivar macros en Microsoft Office: bloquear contenido externo en archivos de Office. Informe a los usuarios que el ransomware a menudo tiene éxito solo cuando un usuario abre archivos adjuntos de Office enviados por correo electrónico y habilita manualmente las macros.
  • - Habilita el acceso controlado a la carpeta: cree reglas para no permitir la ejecución de archivos ejecutables en Windows desde carpetas de perfil de usuario locales ( (App Data, Local App Data, ProgramData, Temp, etc)
  • Deshabilita wscript (Windows Script Host) que permite la ejecución de ficheros con extensión .js,.vbs, wsf, wsh, hta.

¿Cómo evitar o prevenir infección de cualquier Ransomware?

  1. Habilitar el acceso controlado a las carpetas
  2. Herramientas específicas Anti-ransomware
  3. Desactivar Windows Script Host
  4. Desactivar macros Microsoft Office
  5. Evitar que los usuarios ejecuten Powershell a través de GPO


Fuentes:

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.