El FBI advierte sobre una nueva escalada en las actividades de extorsión de la banda de ransomware DoppelPaymer, los operadores han estado llamando a las víctimas, amenazando con enviar a las personas a sus hogares si no pagan el rescate. El FBI dice que el grupo de ransomware ha estado llamando a las víctimas, amenazando con enviar a las personas a sus hogares si no pagan el rescate.

La Oficina Federal de Investigaciones de EE. UU. Dice que tiene conocimiento de incidentes en los que la banda de ransomware DoppelPaymer ha recurrido a empresas para intimidar y coaccionar a las víctimas para que paguen las demandas de rescate.

Según una alerta de notificación (PIN) de la industria privada, enviada por el FBI a organizaciones privadas, la Oficina tiene conocimiento de las actividades de extorsión que han estado ocurriendo desde febrero de 2020.

A principios de este mes, Evgueni Erchov, Director de Inteligencia de Infrarrojos y Ciberamenazas en Arete Incident Response, dijo que varias bandas de ransomware son víctimas de llamadas en frío si no pagan el rescate e intentan restaurar desde copias de seguridad. Esta práctica criminal es adoptada desde agosto por varias bandas, incluidas Sekhmet, Conti y Ryuk.

El PIN del FBI, número 20201210-001, se emitió el 10 de diciembre de 2020 y proporciona detalles sobre la actividad delictiva de Doppelpaymer y los sectores en los que se centra el grupo (atención médica, servicios de emergencia e instituciones educativas).

La alerta de PIN del FBI, detalla tácticas similares de llamadas en frío utilizadas por otros cuatro grupos de ransomware: 

• Sekhmet (ahora desaparecido)
• Maze (ahora desaparecido)
• Conti
• Ryuk

• https://beta.documentcloud.org/documents/20428892-doppelpaymer-fbi-pin-on-dec-10-2020

El informe también detalla tácticas, técnicas y procedimientos adicionales asociados con la amenaza, incluida la intimidación a través de llamadas telefónicas.

“A partir de febrero de 2020, en varios casos, los actores de DoppelPaymer habían seguido las infecciones de ransomware con llamadas a las víctimas para extorsionarlos a través de la intimidación o amenazar con divulgar datos exfiltrados. En un caso, un actor, que utilizó un número de teléfono falsificado de EE. UU. Mientras afirmaba estar ubicado en Corea del Norte, amenazó con filtrar o vender datos de una empresa identificada si la empresa no pagaba el rescate ". establece el PIN del FBI. “Durante las siguientes llamadas telefónicas al mismo negocio, el actor amenazó con enviar a una persona a la casa de un empleado y proporcionó la dirección de la casa del empleado. El actor también llamó a varios familiares del empleado ".

Luego, la agencia detalla un incidente en particular en el que las amenazas aumentaron desde la empresa atacada a sus empleados e incluso a familiares. Desde la alerta de PIN:

El actor de la amenaza amenazó con enviar a una persona a la casa de un empleado y proporcionó la dirección de la casa del empleado.

Claramente, las amenazas de violencia no son realistas y solo tienen como objetivo presionar a las víctimas.

La alerta también incluye las siguientes mitigaciones recomendadas para prevenir ataques de ransomware:

•     Asegúrese de que las copias de seguridad sean seguras y estén desconectadas de la red al final de cada sesión de copia de seguridad.
•     Audite las cuentas de usuario con regularidad, en particular las cuentas de administración y supervisión remotas que sean de acceso público. Aplicar parches a los sistemas operativos, software, firmware y terminales.
•     Monitorear el tráfico de red entrante y saliente; establecer alertas para la exfiltración de datos.
•     Aplique la autenticación de dos factores a las credenciales de inicio de sesión del usuario, recibiendo respuestas por texto en lugar de correo electrónico, ya que los actores pueden tener el control de las cuentas de correo electrónico de las víctimas.
•     Implemente el privilegio mínimo para los permisos de archivos, directorios y recursos compartidos de red. 

Pero aunque nuestro informe rastreó las amenazas telefónicas realizadas por grupos de ransomware hasta septiembre de este año, el FBI dice que esta táctica se vio por primera vez con la pandilla DoppelPaymer meses antes.

"Doppelpaymer es una de las primeras variantes de ransomware donde los actores han llamado a las víctimas para atraer pagos", dijo el FBI.

"A partir de febrero de 2020, en varios casos, los actores de DoppelPaymer habían seguido las infecciones de ransomware con llamadas a las víctimas para que extorsionaran pagos mediante intimidación o amenazas de divulgar datos exfiltrados", agregó.

Luego, la agencia detalla un incidente en particular en el que las amenazas aumentaron desde la empresa atacada a sus empleados e incluso a familiares. Desde la alerta de PIN:

"En un caso, un actor, que utilizó un número de teléfono falsificado de EE. UU. Mientras afirmaba estar ubicado en Corea del Norte, amenazó con filtrar o vender datos de una empresa identificada si la empresa no pagaba el rescate. Durante las llamadas telefónicas posteriores a la misma negocios, el actor amenazó con enviar a una persona a la casa de un empleado y proporcionó la dirección del hogar del empleado. El actor también llamó a varios familiares del empleado ".

Las amenazas de violencia, como en este caso, suelen ser vacías. Por otro lado, las amenazas de divulgar o vender los datos no lo son.

La banda DoppelPaymer es una de las más de 20 bandas de ransomware que operan sitios de filtración donde publican datos de empresas que se niegan a pagar el rescate, como una forma de venganza.

En muchos casos, las empresas ignoran estas amenazas y optan por restaurar desde copias de seguridad, pero también hay casos conocidos [1, 2] en los que las empresas optan por pagar para evitar que se publique información confidencial en línea.

En su alerta de PIN de DoppelPaymer, el FBI recomienda que las víctimas aseguren sus redes para evitar intrusiones en primer lugar, y en el caso de un ataque, recomendó que las víctimas notifiquen a las autoridades y traten de evitar pagar el rescate, ya que esto envalentona a los atacantes a realizar nuevos intrusiones, atraídas por las ganancias fáciles que están obteniendo.

Fuentes:

https://securityaffairs.co/wordpress/112399/cyber-crime/doppelpaymer-fbi-alert.html

https://www.zdnet.com/article/fbi-says-doppelpaymer-ransomware-gang-is-harassing-victims-who-refuse-to-pay/