Los responsables del oleoducto Colonial Pipeline, el más grande de EEUU, pagaron cerca de 5 millones de dólares a los responsables del hackeo para poder seguir usando sus sistemas. Aunque pagaron el rescate pocas horas después del ataque de ransomware DarkSide para hacerse con un descifrador, resultó ser tan lento que Colonial usó sus propias copias de seguridad para recuperar sistemas. Las consecuencias del parón van más allá del dinero, ya que algunas zonas de Estados Unidos hay escasez de combustible e incluso la agencia de consumidores ha tenido que pedir a sus ciudadanos que no utilicen bolsas de plástico para transportar gasolina. También hay consecuencias políticas, un mayor endurecimiento de la administración de Biden contra Rusia.

• Una vez recibido el pago, proporcionaron la herramienta de descifrado pero era tan lenta que la empresa siguió utilizando sus propias copias de seguridad

Colonial Pipeline pagó 4.4 millones en rescate a los ciberdelincuentes

Colonial Pipeline restauró el jueves las operaciones de todo su sistema de tuberías casi una semana después de una infección de ransomware dirigida a sus sistemas de TI, lo que obligó a desembolsar casi $ 5 millones para restaurar el control de sus redes informáticas.

"Después de este reinicio, la cadena de suministro de entrega de productos tardará varios días en volver a la normalidad", dijo la compañía en un comunicado el jueves por la noche. "Algunos mercados atendidos por Colonial Pipeline pueden experimentar, o continuar experimentando, interrupciones intermitentes del servicio durante este período de puesta en marcha. Colonial moverá tanta gasolina, diésel y combustible para aviones como sea posible de manera segura y continuará haciéndolo hasta que los mercados regresen a la normalidad "

El sitio web oficial de la compañía, sin embargo, se ha desconectado al momento de la escritura con un mensaje de acceso denegado "Esta solicitud fue bloqueada por las reglas de seguridad".

Bloomberg, citando a "dos personas familiarizadas con la transacción", dijo que la compañía pagó el rescate pocas horas después del ataque de ransomware DarkSide para hacerse con un descifrador, que resultó ser tan lento que Colonial usó sus propias copias de seguridad para recuperar sistemas . inoperativo por el ransomware. Insurance Insider informó a principios de esta semana que el operador del gasoducto tenía alrededor de $ 15 millones en cobertura de seguro cibernético.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) no aprueba el pago de un rescate a los delincuentes, ya que hacerlo puede alentar a los adversarios a apuntar a más organizaciones y alentar a otros ciberdelincuentes a participar en la distribución de ransomware. Pero las entidades afectadas a menudo han optado por atender las demandas de los atacantes, ya que es la forma más rápida de reanudar el funcionamiento normal y prevenir el riesgo de exposición de datos.

Una investigación de ProPublica de 2019 reveló cómo las compañías de seguros están impulsando el aumento de las amenazas de ransomware al cubrir el costo menos un deducible, que generalmente es mucho menor que el rescate exigido por los atacantes.

• https://www.propublica.org/article/the-extortion-economy-how-insurance-companies-are-fueling-a-rise-in-ransomware-attacks

"Los actores de amenazas se han vuelto más competentes en la realización de operaciones de extorsión multifacéticas y que este éxito ha contribuido directamente al rápido aumento en el número de incidentes de ransomware de alto impacto en los últimos años", dijo la firma de ciberseguridad FireEye, cuya subsidiaria de Mandiant lidera el esfuerzos de respuesta a incidentes. "Los operadores de ransomware han incorporado tácticas de extorsión adicionales diseñadas para aumentar la probabilidad de que las víctimas accedan a pagar los precios del rescate".

El equipo de inteligencia de amenazas de la compañía está rastreando cinco grupos de actividades asociados con el despliegue de DarkSide: UNC2628, UNC2659 y UNC2465, algunos de los cuales han estado activos al menos desde abril de 2019.

DarkSide, anunciado por un actor de habla rusa llamado "darksupp" en los foros en ruso exploit.in y xss.is, opera como un ransomware-as-a-service (RaaS), y sus creadores reciben un descuento del 25%. pagos de rescate de menos de $ 500,000, una tarifa que disminuye al 10% para pagos superiores a $ 5 millones, según FireEye.

A raíz del ataque Colonial Pipeline, los operadores del ransomware DarkSide emitieron una declaración en su sitio de extorsión de la web oscura, prometiendo que tiene la intención de investigar a las empresas a las que apuntan sus afiliados en el futuro para "evitar consecuencias sociales en el futuro". Es más, xss.is anunció hoy una prohibición unilateral de las promociones de ransomware en el foro de delitos cibernéticos de la darknet, probablemente en un intento por evitar atención no deseada.

"El ransomware se volvió político", dijo el administrador de xss.is en una publicación revelada por Yelisey Boguslavskiy de Advanced Intel. "Peskov (el secretario de prensa de Putin) se ve obligado a dar excusas a nuestros" amigos "en el extranjero ... Ahora se lo equipara con cosas desagradables: geopolítica, extorsión, piratería del gobierno. Esta palabra se ha vuelto peligrosa y tóxica".

"Las asociaciones de RaaS conducen al establecimiento de una economía orgánica masiva centrada en los principales foros de Rusia", señaló Boguslavskiy. "Ahora, esta economía puede estar completamente perturbada".

La reciente ola de ciberataques dirigidos a SolarWinds, Microsoft Exchange y Colonial Pipeline también ha llevado al gobierno de EE. UU. A tomar medidas para reforzar las defensas "protegiendo las redes federales, mejorando el intercambio de información entre el gobierno de EE. UU. Y el sector privado sobre cuestiones cibernéticas y el fortalecimiento de la capacidad de Estados Unidos para responder a los incidentes cuando ocurren ". 

Entrevista CEO de Colonial Pipeline

Joseph Blount, CEO de Colonial Pipeline, tomó la decisión de pagar un rescate de 4.4 millones de dólares a los delincuentes habían irrumpido en los sistemas de la empresa, pues no estaban seguros de qué tan grave había sido el ciberataque y cuánto tiempo tomaría recuperar el oleoducto, dijo el ejecutivo en entrevista con The Wall Street Journal.El CEO reconoció que pagó el rescate pues era una opción que tenía que ejercer, dados los riesgos que implicaba el cierre de esa infraestructura energética. El Colonial Pipeline proporciona cerca del 45% del combustible para la costa este según la empresa.

Sé que es una decisión muy controvertida. No lo hice a la ligera. Debo admitir que no me sentí cómodo al ver que el dinero se le daba a gente como esta, pero fue lo correcto para el país

 El 75% del pago se realizó con bitcoins. A cambio la compañía recibió una herramienta de descifrado para desbloquear los sistemas

Fuentes:

https://thehackernews.com/2021/05/colonial-pipeline-paid-nearly-5-million.html

https://www.bloomberg.com/news/articles/2021-05-13/colonial-pipeline-paid-hackers-nearly-5-million-in-ransom