The Phone House España victima del grupo de ransomware Babuk Locker. Se han robado 13 millones de datos de clientes, incluidos pasaportes y otra información de privacidad. Babuk, también conocido como 'Babuk Locker', 'Babyk' e inicialmente 'Vasa Locker'. Otra empresa Española víctima del mismo ransomware: VINCLE consultoría de negocio desarrolla software gestión de procesos comerciales de empresas como Danone, Damm, Nestlé Health Science, Schweppes, Pronovias, Puig, Santillana. Fundada en Barcelona con oficinas en Madrid y Cádiz

Troy Hunt, responsable de Have I been pwned?, ha añadido a su base de datos personales expuestos en filtraciones, 5,223,350 registros procedentes de la filtración del ransomware, que pretendía que la cadena de tiendas Phone House pague para evitar que publiquen los datos robados.

Introduciendo el email o número de teléfono móvil en haveibeenpwned.com podremos comprobar si nuestros datos figuran en el leak de Phone House o en uno de los muchos otros que recoge la web.

El 58% de los 5,2 millones de emails procedentes de la filtración ya figuraban en la base de datos de Have I been pwned? procedentes de otros incidentes.

PHONEHOUSE.ES - MÁS DE 100 GB DE DATOS SENSIBLES

Han descargado el volcado completo de sus 10 bases de datos Oracle que contienen información GDPR (nombre completo, fecha de nacimiento, correo electrónico, teléfono, dirección, nacionalidad, imei, datos bancarios etc.) de más de 3 MILLONES de clientes y empleados.

Si no paga, toda esta información se publicará en el blog público de Babuk, foros de darknet y se enviará a todos sus socios y competidores.

Nombres de bases de datos:

• INFOVENTAS
• TELÉFONO
• POS
• PÁGINAS
• SEGUROSPH
• CASA INTELIGENTE
• TARVAR
• VENTASONLINE
• VISIOFRANK
• MK_DWH

Entre las muestras robadas podemos ver diferentes datos:

• DNI
• Nombre
• Apellidos
• Número de Teléfono
• IMEI
• Número de cuenta Bancaria
• Fecha de Nacimiento
• Nacionalidad
• Dirección Completa

Según podemos leer en este informe de McAfee, los operadores de Babuk Locker se dirigen principalmente a entidades con sede en Italia, España y los Emiratos Árabes Unidos

Sus operadores recibieron recientemente un pago de 85.000 dólares y, de promedio, sus acciones comprometen la seguridad de unas diez empresas al mes, lo que nos invita a pensar que sus ataques son plenamente dirigidos.

Utilizan un cifrado seguro para evitar que las víctimas recuperen sus archivos si no pagan. «Un esquema de cifrado sólido que utiliza el algoritmo Diffie-Hellman de curva elíptica, que ha demostrado ser eficaz para atacar a muchas empresas hasta ahora», explica un investigador.

 Algunos comentarios de autores vinculados con este malware (biba99, RAIDforums), apuntan a nuevas variantes para sistemas Unix.

Babuk usa su propio esquema de cifrado. Emplea ChaCha8, una variante de Salsa20, cifrado de flujo usado por ejemplo en el malware  REvil (Sodinokibi), así como criptografía de curva elíptica (ECDH). Durante el cifrado lanzará múltiples hebras para cifrar los discos, variando la carga de las hebras conforme el tamaño del disco. 

Aunque no es un malware complejo de analizar, y tampoco emplea técnicas novedosas, ya hay empresas que han sido víctimas de este ransomware, por los mecanismos de engaño habituales. Los precios anunciados en la nota de rescate oscilan entre 65.000 y 85.000 dólares (algo menos de 70.000 euros). Como medidas preventivas más allá de la concienciación sobre ciberseguridad y la monitorización de los recursos, se encuentran la política de backups y la segmentación de la red de la organización. 

En el sitio de filtración de datos se incluye una lista de organizaciones que no atacarán, que incluye hospitales, organizaciones sin fines de lucro, escuelas y pequeñas empresas.

Para cada una de estas categorías, las bandas de ransomware enumeran las siguientes exclusiones:

     No auditamos las siguientes categorías de organizaciones

• Hospitales: excepto clínicas de cirugía plástica privadas, clínicas dentales privadas
• Sin fines de lucro: cualquier fundación benéfica sin fines de lucro (excepto las fundaciones que ayudan a LGBT y BLM)
• Escuelas: excepto las principales universidades
• Pequeñas empresas: empresas con ingresos anuales inferiores a 4 millones de dólares (información sobre los ingresos que obtenemos de zoominfo)