El Levante UD sufrió un "ataque informático" en febrero de 2021 y aunque desde el Club aseguraron que los atacantes no tuvieron éxito y no pudieron exfiltrar la información, el grupo de ransomware que les atacó llamado Pysa publica en su página web de filtraciones miles de documentos privados y confidenciales del Club Granota como contratos privados de los jugadores, nóminas de los jugadores y empleados del  Club de Fútbol.

Según los servicios informáticos detectaron la intromisión en la red del club a mediados de febrero y pudieron atajarlo sin que accedieran a información sensible. "Nos podía haber hecho un daño terrible", aseguran fuentes granotas

"Por fortuna, lo pillamos a tiempo. Estábamos actualizando las conexiones a internet, que eran antiguas, y la velocidad era ese día especialmente baja. Por eso no pudieron completar las descargas que intentaron antes de que los informáticos lo detectaran", relataron a EL MUNDO fuentes oficiales del club en febrero.

El ciberataque no bloqueó los equipos del club ni permitió la descarga de ningún tipo de información que les permitiera a los autores pedir un rescate, que suele ser la maniobra habitual. Aún así, el Levante presentó una denuncia ante la Policía Nacional para dejar constancia del intento de 'hackeo' y revisó sus protocolos de ciberseguridad.

"Para cualquier empresa esto es un problema grave, pero para nosotros mucho más, porque podrían tener acceso a datos personales de todo tipo, desde los que aportan los abonados a los contratos de los jugadores o patrocinadores", aseguraron.

Información Filtrada - Datos Privados Club Fútbol Levante UD

Ransomware PYSA - Mespinoza

El ransomware PYSA es una variante del ransomware Mespinoza.

PYSA, que significa “Protect Your System Amigo”, fue nombrada por primera vez en documentos de código abierto en diciembre de 2019, dos meses después de que Mespinoza fuera descubierto en estado salvaje . Mespinoza usó originalmente la .locked extensión en archivos cifrados y luego pasó a usar .pysa. Debido a esto, muchos usan los nombres PYSA y Mespinoza indistintamente.

PYSA, como muchas familias de ransomware conocidas, se clasifica como una herramienta de ransomware como servicio (RaaS) . Esto significa que sus desarrolladores han alquilado este ransomware listo para usar a organizaciones criminales, que pueden no ser lo suficientemente hábiles técnicamente para producir el suyo propio. Los clientes de PYSA pueden personalizarlo en función de las opciones proporcionadas por los grupos RaaS e implementarlo a su gusto. PYSA es capaz de extraer datos de sus víctimas antes de cifrar los archivos que se van a rescatar.

Según Intel 471, una empresa de inteligencia de amenazas, PYSA / Mespinoza es un operador de RaaS de nivel 2, ya que ha ido ganando reputación en el mundo underground. Los operadores o equipos que hacen esto tienen una página, llamada «lista de filtraciones», donde nombran y avergüenzan a las víctimas que deciden no pagar el rescate. Las víctimas se enumeran con un archivo adjunto que contiene archivos que los actores de la amenaza extrajeron de ellos.

El ransomware PYSA tiene al menos tres vectores de infección conocidos: ataques de fuerza bruta contra consolas de administración y cuentas de Active Directory (AD) , correos electrónicos de phishing y conexiones no autorizadas de Protocolo de escritorio remoto ( RDP ) a controladores de dominio. Una vez dentro de una red, los actores de amenazas se toman su tiempo para escanear archivos usando Advanced Port Scanner y Advanced IP Scanner, ambos son software gratuito y se mueven lateralmente dentro de la red usando PsExec .

Luego, los actores de amenazas ejecutan manualmente el ransomware dentro de la red después de filtrar todos los datos que necesitan para aprovechar. Los archivos se cifran mediante AES implementado con claves cifradas RSA.

¿Quién ha sido atacado por PYSA?

Se sabe que PYSA se dirige a grandes organizaciones privadas y a aquellas que pertenecen a la industria de la salud. También han afectado a grupos gubernamentales en varios continentes. Recientemente, PYSA se ha utilizado cada vez más contra instituciones educativas en los EE. UU. Y el Reino Unido.

A continuación se muestra una lista no exhaustiva de incidentes relacionados con PYSA:

• En marzo de 2020, CERT Francia emitió una advertencia a los gobiernos locales franceses sobre el aumento de los ataques de PYSA.
• En mayo de 2020, MyBudget, la empresa de administración de dinero de Australia, experimentó una “interrupción” que duró 13 días (del 9 al 22 de mayo). Las filtraciones de datos extraídos llegaron al blog de PYSA. Posteriormente, la compañía confirmó a iTWire el 29 de mayo que la larga interrupción fue causada por un ataque de ransomware. Sin embargo, al mes siguiente, las fuentes notaron que el nombre y los archivos de MyBudget fueron eliminados del blog de PYSA, lo que llevó a algunos a especular que pudo haber pagado el rescate, a pesar de las garantías de que «no tenía intención de comprometerse con las demandas de rescate».
• En octubre de 2020, un “ciberataque grave” afectó al Hackney Council de Londres en el Reino Unido, dejándolo incapaz de procesar los pagos de las prestaciones de vivienda y provocando la caída de las compras de viviendas. Aunque al principio no hablaron de todo el incidente, se supo que los actores de la amenaza del ransomware PYSA estaban detrás del ataque después de filtrar los datos que extrajeron de la compañía en enero de 2021.

Fuentes:

https://malwarebytes.antimalwares.es/pysa-el-ransomware-que-ataca-a-las-escuelas

https://www.elmundo.es/comunidad-valenciana/2021/03/11/604935e321efa0467e8b463f.html