La empresa de distribución de productos químicos Brenntag, con 17.000 empleados en todo el mundo, pagó un rescate de $ 4,4 millones en Bitcoin a la banda de ransomware DarkSide  para recibir un descifrador y recuperar los archivos cifrados y evitar que los actores de la amenaza filtraran públicamente 150 GB datos privados robados.

Distribuidor de productos químicos paga 4,4 millones de dólares al ransomware DarkSide

La empresa de distribución de productos químicos Brenntag pagó un rescate de $ 4,4 millones en Bitcoin a la banda de ransomware DarkSide para recibir un descifrador de archivos cifrados y evitar que los actores de la amenaza filtren públicamente datos robados.

Brenntag es una empresa de distribución de productos químicos líder en el mundo con sede en Alemania, pero con más de 17.000 empleados en todo el mundo en más de 670 emplazamientos.

Según el informe de ICS Top 100 Chemical Distributors, Brenntag es el segundo más grande en ventas para América del Norte.

A principios de mayo, Brenntag sufrió un ataque de ransomware dirigido a su división de América del Norte. Como parte de este ataque, los actores de amenazas cifraron dispositivos en la red y robaron archivos confidenciales.

El grupo de ransomware DarkSide afirmó haber robado 150 GB de datos durante su ataque.

Para probar sus afirmaciones, la banda de ransomware creó una página privada de filtración de datos que contiene una descripción de los tipos de datos que fueron robados y capturas de pantalla de algunos de los archivos.

DarkSide inicialmente exigió un rescate de 133,65 Bitcoin, valorado en aproximadamente $ 7,5 millones en ese momento. Sin embargo, después de las negociaciones, aunque después la demanda de rescate se redujo a $ 4,4 millones, que se pagó hace unos días.

"Brenntag North America está trabajando actualmente para resolver un incidente de seguridad de la información limitada", dijo Brenntag 

"Tan pronto como nos enteramos de este incidente, desconectamos los sistemas afectados de la red para contener la amenaza".

"Además, se contrató de inmediato a expertos en ciberseguridad y forenses para que ayudaran a investigar. También informamos a las fuerzas del orden público sobre este incidente".

Acceso obtenido a través de credenciales robadas

DarkSide es una operación de Ransomware-as-a-Service (RaaS), que es cuando los desarrolladores de ransomware se asocian con afiliados de terceros o piratas informáticos, que son responsables de obtener acceso a una red y dispositivos de cifrado.

Como parte de este arreglo, el equipo central de DarkSide gana entre el 20 y el 30% del pago de un rescate y el resto se destina al afiliado que realizó el ataque.

Una de las condiciones para la mayoría de las negociaciones de ransomware es que el afiliado revele cómo obtuvo acceso a la red de la víctima. Esto podría venir en forma de un informe de auditoría de seguridad de varias páginas o simplemente un párrafo simple en la pantalla de chat de Tor que explique cómo obtuvieron acceso.

En este caso particular, el afiliado de DarkSide afirma haber obtenido acceso a la red después de comprar credenciales robadas. Sin embargo, el afiliado de DarkSide no sabe cómo se obtuvieron originalmente las credenciales.

Las bandas de ransomware y otros actores de amenazas suelen utilizar el mercado de la web oscura para comprar credenciales robadas, especialmente las de escritorio remoto.

Uno de los mercados de RDP más grandes, UAS, sufrió una brecha que muestra que durante los últimos tres años tuvieron acceso a 1,3 millones de credenciales robadas.

Si bien esta fue una lección costosa y, lamentablemente, demasiado común, el ataque ilustra la importancia de hacer cumplir la autenticación de múltiples factores para todos los inicios de sesión en una red y poner todos los servidores de Escritorio remoto detrás de una VPN.

Si se hubiera habilitado MFA para los inicios de sesión de la cuenta, es poco probable que el afiliado de DarkSide hubiera podido obtener acceso a la red. 

Fuente:

https://www.bleepingcomputer.com/news/security/chemical-distributor-pays-44-million-to-darkside-ransomware/