Grief (PayOrGrief) un grupo de ransomware vinculado a Evil Corp, con sede en Rusia, afirma haber robado datos del grupo de derechos de armas y ha publicado archivos en su oscuro sitio web.

El grupo de ransomware vinculado a Rusia afirma haber robado datos de la Asociación Nacional del Rifle (NRA) en un ataque de ransomware contra el controvertido grupo de derechos de armas, que se ha negado a comentar nada sobre la situación.

La banda de ransomware Grief incluyó a la NRA como víctima de su nefasta actividad en su sitio de filtración de datos. Brett Callow, analista de amenazas de la firma de ciberseguridad Emsisoft, publicó una captura de pantalla de la publicación de Grief en su cuenta de Twitter.

Grief tiene vínculos con la notoria organización ciberdelincuente rusa Evil Corp y recientemente ha surgido como una creciente amenaza de ransomware.

El grupo mostró capturas de pantalla de hojas de cálculo de Excel que contienen información fiscal de EE. UU. Y montos de inversiones en su sitio de filtración. También publicaron un archivo de 2,7 MB titulado "National Grants.zip", según un informe de BleepingComputer. Grief supuestamente afirmó que el archivo contiene solicitudes de subvenciones de la NRA.

La NRA no comentará

La NRA es un grupo de derechos civiles cuyo objetivo es proteger los derechos de las personas de la segunda enmienda, o el derecho a portar armas. El grupo ha sido objeto de críticas políticas por parte de aquellos que buscan reducir la violencia con armas de fuego en los EE. UU. Por su postura contra las leyes de control de armas más estrictas, incluso en medio de las crecientes tasas de criminalidad y mortalidad relacionadas con las armas de fuego.

La NRA ha decidido guardar silencio sobre las afirmaciones de Grief por ahora. La organización publicó una declaración atribuida al Director Gerente de la NRA, Andrew Arulanandam, en su cuenta de Twitter, afirmando que "no discute asuntos relacionados con su seguridad física o electrónica".

"Sin embargo, la NRA toma medidas extraordinarias para proteger la información sobre sus miembros, donantes y operaciones, y está alerta al hacerlo", según el comunicado.

Al señalar que "es difícil salir disparado de un ciberataque", un experto en seguridad sugirió que es posible que la NRA no haya ido lo suficientemente lejos al tomar medidas de seguridad defensivas para proteger sus datos confidenciales. 

¿Tácticas cambiantes?

En estos días, los grupos de ransomware se han vuelto cada vez más agresivos y exitosos en la disrupción de numerosas empresas de alto perfil y entidades de infraestructura crítica. Los expertos observaron que las posibilidades de Grief de realizar un ataque de ransomware en la NRA son probables, incluso si la organización opta por no revelar detalles o reconocer el incidente en este momento.

De hecho, quizás fue el manejo del asunto por parte del grupo lo que inspiró a Grief a revelar el ataque antes de que la NRA remediara la situación por sí sola, sugirió otro experto en seguridad. Los grupos de ransomware a menudo divulgan datos en sus sitios web si una organización objetivo se niega a pagar un rescate después de un cierto período de tiempo.

Este puede ser el caso, en particular, si la organización en cuestión “pudo haber querido manejar el incidente en silencio o si los documentos filtrados contienen información de conversaciones o acciones que fueron inferiores a las anteriores”, agregó.

    "La NRA no discute asuntos relacionados con su seguridad física o electrónica. Sin embargo, la NRA toma medidas extraordinarias para proteger la información sobre sus miembros, donantes y operaciones, y está atenta al hacerlo". - Andrew Arulanandam, director ejecutivo, Asuntos Públicos de la NRA.

Evil Corp - BitPaymer - DoppelPaymer - Grief

Se cree que la banda de ransomware Grief está vinculada a un grupo de piratas informáticos ruso conocido como Evil Corp.

Evil Corp ha estado activo desde 2009 y ha estado involucrado en numerosas actividades cibernéticas maliciosas, incluida la distribución del troyano Dridex para robar credenciales bancarias en línea y robar dinero.

El grupo recurrió al ransomware en 2017, cuando lanzaron un ransomware conocido como BitPaymer. BitPaymer luego se transformó en la operación de ransomware DoppelPaymer en 2019.

Después de años de atacar los intereses de Estados Unidos, el Departamento de Justicia de Estados Unidos acusó a miembros de Evil Corp por robar más de $ 100 millones y agregó al grupo de piratería a la lista de sanciones de la Oficina de Control de Activos Extranjeros (OFAC).

Poco después, el Tesoro de los EE. UU. Advirtió que los negociadores de ransomware podrían enfrentar sanciones civiles por facilitar el pago de rescates a las pandillas en la lista de sanciones.

Desde entonces, Evil Corp ha estado lanzando de forma rutinaria nuevas cepas de ransomware con diferentes nombres para evadir las sanciones de EE. UU. Estas familias de ransomware incluyen WastedLocker, Hades, Phoenix CryptoLocker, PayLoadBin y, más recientemente, Macaw Locker.

Sin embargo, su ransomware original, DoppelPaymer, se ejecutó durante años con el mismo nombre hasta mayo de 2021, cuando dejaron de incluir nuevas víctimas en su sitio de filtración de datos.

Un mes después, surgió la banda de ransomware Grief, y los investigadores de seguridad creían que era un cambio de marca de DoppelPaymer basado en similitudes de código.

Como Grief está vinculado a Evil Corp, es probable que los negociadores de ransomware no faciliten el pago del rescate sin que la víctima obtenga primero la aprobación de la OFAC. 

Fuentes:
https://threatpost.com/grief-ransomware-nra/175850/

https://www.bleepingcomputer.com/news/security/nra-no-comment-on-russian-ransomware-gang-attack-claims/