SecOps habló con Mauro Eldritch, analista de amenazas de Birmingham Cyber Arms, empresa de seguridad informática, y experto en interpretar la información encriptada por ciberdelincuentes. Acá, su análisis:

• Analizando el filetree (árbol de ficheros publicado por el actor de ransomware) vemos que - en principio - se trataría de una filtración que abarcar 8 volúmenes: uno etiquetado como CNS_MAIN, 5 como FS -filesystems, volúmenes/discos- y 2 como SQL (bases de datos).

• En los volúmenes etiquetados como SQL se listan bases de datos cuyos nombres referencian al BackOffice de Prensa, Bolsa de Reportes, CAFirmantes, Calificadoras, Fideicomisos, Fondos Comunes, Invertir, RRHH, Registro, RESOL, CNV y CNVWeb, todas aludiendo también en su nombre que pertenecen a entornos de Producción.

CNV afirma que la información robada es pública

Pero se demuestra lo contrario:

• En el volúmen "MAIN" los nombres de directorios y archivos aluden a información financiera, de recursos humanos, escaneos de documentos, y hasta planos en formato CAD.

• En los demás encontramos directorios que mencionan Informes de a DyEMC, Intranet de la CNV, Comité de Seguridad, Comunicación Interna, Denuncias, Directorio de Prensa, Fichas de Sociedades, GDE, mesa Fintech, Mercosur, e incluso información sobre CEDEARS.

Algunos especialistas dicen que entre los datos robados se encuentran:

• Auditoría
• Asuntos Jurídicos
• Prevención de Lavado de dinero
• Inspección e Investigación
• Personal del Consejo de Administración de la CNV

Acerca del ransomware Medusa

Medusa es un grupo de ransomware cuya actividad se hizo más notoria en 2023 con el lanzamiento de su sitio en la Red Onion, donde al igual que muchos otros grupos de ransomware, publica los nombres de sus víctimas para extorsionarlas y amenazarlas con publicar información robada si no pagan.

Según explica bleepingcomputer, este grupo de ransomware se caracteriza por dejar una nota de rescate mediante un archivo txt bajo el nombre !!!READ_ME_MEDUSA!!!txt , y por cifrar los archivos en los equipos comprometidos y cambiar su extensión por .MEDUSA.

Es importante mencionar que en lo que va de 2023 el grupo afectó a empresas y organismos en distintas partes del mundo y en diversas industrias, desde organismos gubernamentales, empresas de tecnología y construcción, pasando por plataformas educativas, instituciones deportivas y universidades, entre muchas otras más.

En América Latina, el grupo se ha cobrado varias víctimas en lo que va de este año. Además de este ataque a la Comisión Nacional de Valores de Argentina, este ransomware fue el responsable del ataque a la empresa Garbarino del mismo país. Pero además de Argentina, Medusa publicó en su sitio el nombre de compañías de Bolivia, Brasil, Chile, Colombia y República Dominicana.

Fuentes:

https://www.argentina.gob.ar/noticias/la-cnv-aislo-y-controlo-un-ataque-informatico

https://www.infobae.com/economia/2023/06/11/al-cabo-de-4-dias-la-comision-nacional-de-valores-logro-aislar-y-controlar-un-ataque-informatico-y-manana-lo-denunciara-a-la-justicia/

https://juanbrodersen.substack.com/p/ransomware-a-la-cnv-exclusivo-que