El grupo de Ransomware REvil exigen un rescate de $50 millones de dólares a Acer  en lo que podría ser la mayor cantidad de dinero jamás pedida en un ataque de ransomware hasta la fecha. Acer es el sexto vendedor de ordenadores del mundo El grupo operador de REvil recientemente estuvo desplegando múltiples ataques contra algunos servidores de Microsoft Exchange

Acer: fabricante Taiwanes de portátiles y ordenadores víctima del ransomware REvil

Como prueba de este ataque, compartieron algunas capturas de pantalla de los sistemas comprometidos en su plataforma alojada en dark web. Las imágenes publicadas incluyen hojas de cálculo, saldos bancarios y evidencia de comunicación interna.

Poco después de que Acer confirmara la infección, la investigadora Valery Marchive reveló que el ataque fue llevado a cabo con la peligrosa variante de ransomware REvil. Además, una posterior filtración de la nota de rescate recibida por Acer confirmó la información presentada por Marchive.

En su mensaje, la compañía menciona que están abordando el incidente, además de implementar medidas para prevenir ataques posteriores: “Estamos monitoreando nuestros sistemas de TI en busca de cualquier nuevo indicio de conducta anómala. La mejora de nuestros mecanismos de seguridad es continua y queremos asegurarle a nuestros clientes y empleados que este problema no pondrá en riesgo su información sensible.”

Sobre las características y detalles técnicos del ataque, como la variante de ransomware, la compañía se limitó a mencionar que la investigación sigue en curso y por el momento es imposible aportar más información.

Fuentes cercanas a la compañía mencionan que las  negociaciones entre REvil y Acer habrían comenzado el 14 de marzo, aunque desde un inicio los negociadores se mostraron sorprendidos por la demanda de 50 millones de dólares. Los atacantes también habrían ofrecido un 20% de descuento si el pago se realizaba antes del miércoles pasado, algo que parece no haber ocurrido.

Finalmente, el investigador Vitali Kremez mencionó que la plataforma de ciberseguridad e inteligencia Advanced Intel detectó que un grupo operador de REvil recientemente estuvo desplegando múltiples ataques contra algunos servidores de Microsoft Exchange: “Algunos grupos afiliados a REvil han estado explotando estas fallas par infectar implementaciones de Microsoft.”

Hace un par de días se confirmó que los actores de amenazas que operan el ransomware DearCry emplearon la falla ProxyLogon para infectar los sistemas afectados. Si los operadores de REvil explotaran las vulnerabilidades recientes de Microsoft Exchange para robar datos o cifrar dispositivos, sería la primera vez que una de las operaciones de ransomware utiliza este vector de ataque.

REvil ahora puede cifrar los archivos en modo seguro en Windows

Unas nuevas muestras de REvil han indicado que ahora los criminales pueden causar un reboot en dispositivos en modo seguro, usado para evadir sistemas detección

De esta forma REvil puede evadir EDR y soluciones antiransomware. 

En los registros se puede apreciar el nombre "AstraZeneca" y se usa para ejecutar el ransomware en modo seguro. "Franceisshit" se usa para ejecutar un comando en modo seguro y que el pc se ejecute de forma normal al siguiente reboot.

REvil afirma en una entrevisa tener acceso a sistemas de lanzamiento de misiles balísticos

En una reciente entrevista, identificado como “Unknown” en diversos foros de dark web, fue entrevistado pro Dmitry Smilyanets, por Recorded Future. 

Durante la entrevista,  menciona que esta siempre ha sido una práctica cibercriminal muy lucrativa, incluso desde sus inicios y antes de un avanzado proceso de sofisticación. Además, Unknown afirma que las ganancias han aumentado desde la llegada de los seguros contra ciberataques: “En ocasiones atacamos primero a las compañías aseguradoras para saber qué empresas cuentan con un seguro contra ciberataques; después de revisar esta información comienzan los ataques de verdad.”

Por otra parte, el cibercriminal confirma que la pandemia por coronavirus impactó sus operaciones en cierta medida, por lo que en muchos casos negociaron rescates por cantidades menores a las esperadas. No obstante, esto no se repite en las compañías farmacéuticas afectadas, ya que muchas de ellas han visto sus ingresos aumentar debido a la crisis sanitaria: “Vale la pena prestar atención a estas empresas, están obteniendo buen margen de ganancias”, agrega Unknown.

Sobre la posibilidad de que esta variante de ransomware sea utilizada como recurso de ciberguerra, Unknown afirma que la infraestructura de este malware podría ser de gran utilidad en un potencial escenario de ciberguerra, aunque cree que esto sería contraproducente para todos los actores involucrados.

Finalmente, lanzó una polémica recomendación a los negociadores que trabajan para las compañías afectadas: “Eviten presentar ofertas demasiado bajas; cuando esto sucede damos por hecho que no obtendremos ganancias y comienza la etapa de venta de información robada”, afirma el cibercriminal.

Fuentes:

https://www.bleepingcomputer.com/news/security/computer-giant-acer-hit-by-50-million-ransomware-attack/