¿Qué ha ocurrido?

Un ataque de ransomware ha afectado a 3.100 servidores de MediaMarkt en varios países del centro y el norte de Europa, según han informado fuentes de la multinacional alemana de productos electrónicos. El ataque se ha producido a primera hora de esta mañana y tiene consecuencias en tiendas de Holanda, Bélgica y Alemania, aunque aún no hay información oficial sobre el alcance de la intrusión. 

El ataque afecta a distintos establecimientos de España y provoca que solo se puedan vender productos que estén físicamente en los locales, impidiendo realizar los servicios de devolución, recogida y otras gestiones online. 

Los empleados están realizando sus procedimientos de forma manual. Se puede seguir comprando en tienda, pero los empleados deben rellenar una plantilla de forma escrita, a mano, para cualquier transacción en la que sea necesaria una factura. Por si fuera poco, dichas fuentes afirman que este problema durará días.

¿Qué sabemos hasta ahora?

Un correo interno publicado en Twitter habla de 3.100 servidores Windows afectados. La compañía habría pedido a los empleados que desconecten los ordenadores, incluyendo cajas registradoras, de la red para evitar la extensión del ataque.

El problema podría está afectando también a las tiendas situadas en España, en las que no es posible acceder a los pedidos, no se pueden hacer devoluciones de productos o pagar mediante datáfono.

• Cajas registradoras  no funcionan
• No se puede pagar con tarjetas de crédito
• No se pueden realizar devoluciones.

Un ataque de ransomware de fin de semana

MediaMarkt sufrió un ataque de ransomware el fin de semana que cifró servidores y estaciones de trabajo y provocó el cierre de los sistemas de TI para evitar la propagación del ataque.

Si bien las ventas en línea continúan funcionando como se esperaba, las cajas registradoras no pueden aceptar tarjetas de crédito ni imprimir recibos en las tiendas afectadas. La interrupción de los sistemas también impide las devoluciones debido a la imposibilidad de buscar compras anteriores.

Los medios locales informan que las comunicaciones internas de MediaMarkt les dicen a los empleados que eviten los sistemas cifrados y desconecten las cajas registradoras de la red.

Hive, además de cifrar archivos, también roba datos confidenciales de las redes, amenazando con publicar todo en su sitio web HiveLeak, alojado en la web profunda, que es una práctica común entre el ransomware que trabaja en este esquema de doble extorsión.

Hay dos sitios web mantenidos por el grupo, el primero está protegido por el nombre de usuario y la contraseña, accesible solo por las víctimas que obtienen las credenciales en la nota de rescate. 

Entre los métodos que utiliza la banda para obtener acceso inicial y moverse lateralmente en la red se encuentran los correos electrónicos de phishing con archivos adjuntos maliciosos y el Protocolo de escritorio remoto (RDP).

Antes de implementar la rutina de cifrado, el ransomware Hive roba los archivos que considera valiosos para engañar a la víctima para que pague el rescate bajo la amenaza de pérdida de datos.

Ejemplo nota de rescate Hive

Your network has been breached and all data were encrypted.

Personal data, financial reports and important documents are ready to disclose.

To decrypt all the data or to prevent exfiltrated files to be disclosed at

http://hiveleakdbtnp76ulyhi52eag6c6tyc3xw7ez7iqy6wc34gd2nekazyd.onion/

you will need to purchase our decryption software.

Please contact our sales department at:

CENSURADO

Login: CENSURADO

Password: CENSURADO

To get access to .onion websites download and install Tor Browser at:

https://www.torproject.org/ (Tor Browser is not related to us)

Follow the guidelines below to avoid losing your data:

- Do not shutdown or reboot your computers, unmount external storages.

- Do not try to decrypt data using third party software. It may cause

irreversible damage.

- Do not fool yourself. Encryption has perfect secrecy and it's impossible

to decrypt without knowing the key.

- Do not modify, rename or delete *.key.k6thw files. Your

data will be undecryptable.

- Do not modify or rename encrypted files. You will lose them.

- Do not report to authorities. The negotiation process will be terminated

immediately and the key will be erased.

- Do not reject to purchase. Your sensitive data will be publicly disclosed.

El FBI señala que el autor de la amenaza también se basa en servicios de intercambio de archivos, muchos de ellos anónimos, como Anonfiles, MEGA, Send.Exploit, Ufile o SendSpace.

• https://anonfiles.com
• https://mega.nz
• https://send.exploit.in
• https://ufile.io
• https://www.sendspace.com

Ataque al Memorial Health System

Hive Ransomware infectó el Memorial Health System (MHS) el 15 de agosto de 2021. Los atacantes afirmaron haber robado datos de pacientes, incluidos nombres, números de seguro social, fechas de nacimiento, direcciones y números de teléfono, e historiales médicos de 200.000 pacientes, y un adicional 1,2 TB de otros datos.

MHS intentó apelar a los atacantes para que proporcionaran el descifrador de forma gratuita, pero finalmente terminó pagando 1.8M, divididos a partes iguales en dos billeteras Bitcoin. Los atacantes trasladaron los Bitcoins a otra billetera solo unos minutos después de que MHS realizara la transacción.

Aparte del descifrador, los atacantes también prometen un informe de seguridad, un árbol de archivos que describe todos los datos robados y los registros que prueban que han borrado todo de sus servidores. 

Esta es una historia en desarrollo y se actualizará a medida que haya más información disponible.

Fuentes:

https://bandaancha.eu/foros/mediamarkt-victima-ransomware-afecta-1744270

https://www.bleepingcomputer.com/news/security/electronics-retail-giant-mediamarkt-hit-by-ransomware-attack/

https://www.ic3.gov/Media/News/2021/210825.pdf