Los registros de chat (jabber) pertenecientes al grupo de ransomware Conti se filtró en línea gracias a una aparente fuente interna, que afirma haberse opuesto al apoyo del grupo a la invasión rusa de Ucrania. Un miembro molesto, de la operación de ransomware Conti filtró más de 60,000 mensajes privados después de que el grupo se posicionara abiertamente del lado de Rusia por la invasión de Ucrania.

Los chats del grupo Conti revelan mucho sobre su estructura interna y jerarquía. Conti mantiene muchas de las mismas unidades comerciales que una empresa legítima de tamaño pequeño a mediano, incluido un departamento de Recursos Humanos que está a cargo de entrevistar constantemente a posibles nuevos empleados.

La fuga también  se compartió también en VX-Underground, un grupo de investigación de malware que recopila muestras y datos de malware. El conjunto de datos filtrado tiene alrededor de 400 archivos que contienen decenas de miles de registros de chat internos del grupo Conti en su ruso nativo. Los archivos contienen aproximadamente un año de mensajes que datan de enero de 2021, unos seis meses después de que el grupo se formara por primera vez a mediados de 2020. 

   Los expertos en ransomware ya están estudiando detenidamente los archivos para obtener más información sobre las operaciones internas del grupo. El investigador de seguridad Bill Demirkapi tradujo los archivos al inglés.

De estos datos se puede obtener información de gran valor, cómo direcciones de Bitcoin, el modelo organizativo de la banda o guías sobre cómo realizar ataques.

Conti es un grupo de ransomware como servicio (RaaS), que permite a los afiliados alquilar el acceso a su infraestructura para lanzar ataques. Los expertos dicen que Conti tiene su sede en Rusia y puede tener vínculos con la inteligencia rusa. 

   Otros departamentos de Conti con sus propios presupuestos distintos, horarios de personal y liderazgo sénior incluyen:

• Desarrolladores: programadores contratados para escribir código malicioso e integrar tecnologías dispares.
• Testers: trabajadores a cargo de probar el malware Conti contra herramientas de seguridad y ofuscarlo.
• Administradores: trabajadores encargados de configurar servidores y cualquier otra infraestructura de ataque.
• Ingenieros en reversing: aquellos que pueden desensamblar código , estudiarlo, encontrar vulnerabilidades o debilidades.
• Penetration Testers/Hackers: aquellos en la primera línea que van contra los equipos de seguridad corporativos para robar datos y plantar ransomware.   

A principios de esta semana, Conti dijo en una publicación de blog, informada por primera vez por Reuters y vista también por TechCrunch, que tenía "total apoyo" para la invasión rusa de la vecina Ucrania, y prometió tomar represalias contra la infraestructura crítica si Rusia es atacada con ataques cibernéticos o ataques militares. En una publicación actualizada, el grupo afirmó que no está aliado con ningún gobierno, pero reiteró: "Usaremos nuestros recursos para contraatacar si el bienestar y la seguridad de los ciudadanos pacíficos están en juego debido a la ciberagresión estadounidense". 

Director ejecutivo de AdvIntel Vitali Kremezque ha estado rastreando la operación Conti/TrickBot durante los últimos años, también confirmó  que los mensajes filtrados son válidos y se tomaron de un servidor de registro para el sistema de comunicación Jabber utilizado por la banda de ransomware.

En total, hay 393 archivos JSON filtrados que contienen un total de 60 694 mensajes desde el 21 de enero de 2021 hasta hoy.

Estas conversaciones contienen diversa información sobre las actividades del grupo, incluidas víctimas no denunciadas anteriormente, URL de fuga de datos privados, direcciones de bitcoin y discusiones sobre sus operaciones.

El grupo de ransomware Conti publicó una publicación de blog en su sitio web la semana pasada. La esencia de la publicación era que Conti apoyaba plenamente al gobierno ruso y lo que los medios rusos todavía llaman una "operación militar" en Ucrania. La publicación pro-rusa de Conti culminó con la amenaza de que si alguien "organizara un ataque cibernético o cualquier actividad de guerra contra Rusia", entonces el grupo Conti usaría "todos los recursos posibles para contraatacar las infraestructuras críticas de un enemigo".

Se ha culpado a Conti de los ataques de ransomware dirigidos a docenas de empresas, incluidas Fat Face y Shutterfly, así como a infraestructuras críticas, como centros de despacho de emergencia y redes de primeros auxilios. En mayo pasado, Conti desconectó las redes del servicio de atención médica irlandés, lo que obligó a un cierre nacional de los sistemas de TI que provocó graves retrasos en todo el país y le costó al gobierno más de U$S 100 millones en costos de recuperación. 

   Según ransomwhe.re, un sitio de seguimiento de ransomware colaborativo, Conti ha recaudado más de 30,1 millones de dólares en pagos de ransomware hasta la fecha. "La filtración es un golpe significativo para Conti, sobre todo porque sus afiliados y otros asociados habrán perdido la confianza en la operación", dijo Brett Callow, experto en ransomware y analista de amenazas de Emsisoft. "Sin duda se preguntarán cuándo se comprometió la operación, si la policía estuvo involucrada y si hay migas de pan que podrían llevarlos a ellos".

"Muchas operaciones de RaaS tienen conexiones con Ucrania, incluidas las que tienen su sede en Rusia. Por lo tanto, es un error táctico que una operación tome partido públicamente, ya que corre el riesgo de enojar a las personas que tienen conocimiento interno de sus operaciones", dijo Callow.

La filtración de los archivos de Conti es parte de un esfuerzo más amplio de los hacktivistas y aliados de seguridad, incluida la formación del "IT Army" de Ucrania, que tiene como objetivo los sitios, servicios e infraestructura rusos en respuesta a la invasión del Kremlin.

Panel de control de Conti

Entre el contenido de interés publicado por ContiLeaks se encuentra el código fuente del panel de administración de la banda y capturas de pantalla de servidores de almacenamiento. Un archivo protegido con contraseña resultó contener el código fuente para las funciones de cifrado, y descrifado y constructor del ransomware.

   Los chats de Conti muestran que el grupo principalmente controla a sus víctimas (los bots infectados) a través de las plataformas Trickbot y Emotet Crimeware-as-a-Service, y que empleó a docenas de personas para probar, mantener y expandir continuamente esta infraestructura las 24 horas, los 7 días de la semana.

Los miembros de Conti se refieren a Emotet como "Booz" o "Buza", y es evidente al leer estos registros de chat que Buza tiene su propia gente con más de 50 desarrolladores, con la misma estructura organizativa que Conti. 

• Según Mango, al 18 de julio de 2021, la pandilla Conti empleaba a 62 personas, en su mayoría desarrolladores de malware de bajo nivel y testers.

Conti Rocket Chat Leaks contiene un historial de chat de miembros de Conti que intercambian consejos sobre objetivos y llevan a cabo ataques a través del favorito de los delincuentes: Cobalt Strike, la herramienta legítima disponible comercialmente utilizada por los evaluadores de penetración de redes y por delincuentes para detectar vulnerabilidades.

Hablaron sobre estas técnicas:

• Enumeración de directorio activo
• Enumeración de bases de datos SQL a través de sqlcmd.
• Cómo obtener acceso a las copias de seguridad de Shadow Protect SPX (StorageCraft).
• Cómo crear volcados NTDS vs vssadmin
• Cómo abrir el nuevo puerto RDP 1350

Herramientas