Con los recientes ataques se ha ganado la notoriedad de todos los grupos de ransomware. Si además le sumamos los cobro satisfactorios del rescate por parte de la mayor empresa de oleoductos de Estados Unidos , Colonial Pipeline de casi 5 millones de dólares y la farmacéutica Brenntag que ha pagado casi 4,4 millones de dólares. En total casi 10 millones de dólares, 9,4 millones de ganancias, pese a todas  las recomendaciones de no pagar por secuestro. Y además ha anunciado una nueva víctima Toshiba Francia (toshiba.fr) con 740GB datos confidenciales robados. Pero últimas noticias: en una nota enviada a sus afiliados, DarkSide desaparece.

Últimas noticias sobre DarkSide: desaparecen

DarkSide Ransomware

Los expertos en ciberseguridad que han rastreado a DarkSide dijeron que parece estar compuesto por ciberdelincuentes veteranos que se centran en sacar la mayor cantidad de dinero posible de sus objetivos.

DarkSide es uno de varios grupos de extorsionadores digitales cada vez más profesionalizados, con una lista de correo, un centro de prensa, una línea directa para víctimas e incluso un supuesto código de conducta destinado a convertir al grupo en socios comerciales confiables, aunque despiadados.

El sitio de DarkSide en la web oscura insinúa los crímenes pasados ​​de sus piratas informáticos, afirma que anteriormente ganaron millones con la extorsión y que solo porque su software era nuevo "eso no significa que no tengamos experiencia y que venimos de la nada".

El sitio también presenta una galería al estilo del Salón de la Vergüenza de datos filtrados de víctimas que no han pagado, publicidad de documentos robados de más de 80 compañías en los Estados Unidos y Europa.

También tiene un programa de relaciones públicas, como lo hacen otros, que invita a los periodistas a revisar su colección de datos filtrados y afirma hacer donaciones anónimas a organizaciones benéficas. 

Nuevo aspirante a la corona del ransomware: se dice que Darkside tiene la velocidad de cifrado más rápido

En teoría el grupo Darkside desarrolló ransomware con la velocidad de cifrado más rápida del mercado. 

• Análisis técnico de DarkSide

La nueva versión del ransomware Darkside incluye una velocidad de cifrado más rápida, llamadas VoIP y objetivos de máquinas virtuales.

Afirman que la versión de Windows de Darkside 2.0 cifra los archivos más rápido que cualquier otro ransomware-as-a-service (RaaS) y es dos veces más rápido que la versión anterior. Significa que las víctimas tienen incluso menos tiempo para "desconectarse" si descubren que su red está infectada. Darkside 2.0 también incluye subprocesos múltiples en las versiones de Windows y Linux.

La versión de Linux del ransomware puede aprovechar las vulnerabilidades de VMware ESXi. En otras palabras, puede secuestrar máquinas virtuales y cifrar sus discos duros virtuales. También fue diseñado para enfocarse en almacenamientos conectados a la red (NAS), incluidos Synology y OMV, para un cifrado aún más extenso de los sistemas de las víctimas.

Finalmente, Darkside 2.0 incluye una función de "llámanos" que permite a los socios realizar llamadas VoIP gratis a víctimas, socios e incluso periodistas. El objetivo es presionar adicionalmente a las víctimas para que paguen. Curiosamente, el grupo aparentemente depositó más de $ 1 millón en Bitcoin en XSS que está "destinado a resolver cualquier problema financiero".

Darkside es inusual en términos de sus operaciones RaaS, ya que no se centra en las instalaciones de distribución de vacunas, las escuelas, el sector público y las organizaciones sin fines de lucro. Además, no especifica ningún objetivo de los países de la ex Unión Soviética que forman parte de la Comunidad de Estados Independientes, incluidas Georgia y Ucrania, lo que insinúa los orígenes del grupo.

Donaciones entidades benéficas

En octubre del año pasado, el grupo Darkside ocupó los titulares cuando donó a organizaciones benéficas $ 20,000 robados a corporaciones, aunque algunos expertos afirmaron que el grupo simplemente estaba probando un nuevo método de lavado de dinero. 

Comunicados en su página web

Comunicados:

Somos apolíticos, no participamos de la geopolítica, no necesitamos atarnos a un gobierno definido y buscar otros motivos nuestros. Nuestro objetivo es ganar dinero y no crear problemas para la sociedad A partir de hoy introducimos la moderación y comprobamos cada empresa que nuestros socios quieren cifrar para evitar consecuencias sociales en el futuro.

Ahora nuestro equipo y socios cifran muchas empresas que cotizan en NASDAQ y otras bolsas de valores. Si la empresa se niega a pagar, estamos listos para proporcionar información antes de la publicación, para que sea posible ganar en el precio de descuento de las acciones.

Ya no atacamos a las siguientes organizaciones:

•  Servicios funerarios (Morgues, crematorios, funerarias).

Hemos aclarado la lista de empresas médicas que no atacaremos:

• Medicina (solo: hospitales, cualquier organización de cuidados paliativos, enfermería
• Hogares, empresas que se desarrollan y participan (en gran medida) en la
• Distribución de la vacuna COVID-19)

Análisis técnico Ransomware DarkSide

Utiliza herramientas bien conocidas como:

• advanced_ip_scanner.exe
• psexec
• Mimikatz
• Dumping LSASS
• IE/FireFox password dumper
• Powertool64
• Empire
• Bypassing UAC

Completos Análisis técnicos

• https://www.varonis.com/blog/darkside-ransomware/
• https://krebsonsecurity.com/2021/05/a-closer-look-at-the-darkside-ransomware-gang/
• https://www.intel471.com/blog/darkside-ransomware-colonial-pipeline-attack
• https://www.fireeye.com/blog/threat-research/2021/05/shining-a-light-on-darkside-ransomware-operations.html
• https://www.cybereason.com/blog/cybereason-vs-darkside-ransomware
• https://news.sophos.com/en-us/2021/05/11/a-defenders-view-inside-a-darkside-ransomware-attack/
• https://www.mcafee.com/blogs/other-blogs/mcafee-labs/darkside-ransomware-victims-sold-short
• https://unit42.paloaltonetworks.com/darkside-ransomware/
• https://www.advanced-intel.com/post/from-dawn-to-silent-night-darkside-ransomware-initial-attack-vector-evolution
• https://geminiadvisory.io/who-is-darkside/