• Una banda de ransomware 8Base se dirige a organizaciones de todo el mundo en ataques de doble extorsión, con un flujo constante de nuevas víctimas desde principios de junio.
• La banda de ransomware apareció por primera vez en marzo de 2022, manteniéndose relativamente tranquila con pocos ataques notables. 
• Sin embargo, en junio de 2023, la operación de ransomware experimentó un pico de actividad, dirigiéndose a muchas empresas de diversos sectores y realizando una doble extorsión. 

El sitio de filtración de datos de la banda se lanzó en mayo de 2023, y la banda de extorsionadores afirma ser pentesters "honestos y sencillos".

"Somos pentesters honestos y sencillos. Ofrecemos a las empresas las condiciones más leales para la devolución de sus datos", reza su sitio de filtración de datos.

"Esta lista contiene sólo aquellas empresas que han descuidado la privacidad y la importancia de los datos de sus empleados y clientes".

En un nuevo informe del equipo Carbon Black de VMware, las tácticas observadas en los recientes ataques de 8Base apuntan a que se trata de una nueva marca de una organización de ransomware bien establecida, potencialmente RansomHouse.

RansomHouse es un grupo de extorsión que afirma no realizar ataques de cifrado, sino asociarse con operaciones de ransomware para vender sus datos. Sin embargo, es consciente de los actores de amenazas que utilizan ransomware en los ataques, como White Rabbit o MARIO, que también ha sido vinculado al grupo de ciberdelincuencia FIN8.

VMware sospecha que 8Base es una rama de RansomHouse, basándose en las notas de rescate idénticas utilizadas por los dos grupos y en el lenguaje y contenido muy similares vistos en los respectivos sitios de filtraciones, donde incluso las páginas de preguntas frecuentes parecen haber sido copiadas.

Sin embargo, no hay pruebas suficientes para determinar si 8Base fue creado por miembros de RansomHouse o simplemente otra operación de ransomware que copia las plantillas de un grupo establecido, lo que no es infrecuente entre los actores de amenazas.

Desde un punto de vista técnico, 8Base utiliza una versión personalizada del ransomware Phobos v2.9.1, que se carga a través de SmokeLoader.

Phobos es una operación RaaS dirigida a Windows que apareció por primera vez en 2019 y comparte muchas similitudes de código con la operación de ransomware Dharma.

Al cifrar archivos, el ransomware anexará la extensión .8base en ataques recientes. Sin embargo, el experto en ransomware Michael Gillespie dice que las presentaciones de Phobos ransomware en ID Ransomware también utilizaron la extensión .eight en ataques más antiguos.

Tanto en los ataques más recientes que añaden la extensión .8base como en los más antiguos con extensión .eight, se utilizó la misma dirección de correo electrónico de contacto "helpermail@onionmail.org" desde junio de 2022.

Otro hallazgo notable de los analistas de VMware es que 8Base utiliza el dominio "admlogs25[.]xyz" para el alojamiento de la carga útil, que está asociado con SystemBC, un malware proxy utilizado por varios grupos de ransomware para la ofuscación C2.

Estos hallazgos demuestran que los operadores de 8Base llevan realizando ataques de cifrado desde hace al menos un año, pero sólo recientemente se han hecho un nombre tras lanzar su sitio de filtración de datos.

8Base sólo ahora está empezando a recibir la atención de los analistas, por lo que muchos aspectos de su naturaleza técnica siguen siendo desconocidos o poco claros.

El informe de VMware contiene indicadores de compromiso (IoC) que los defensores pueden utilizar para proteger sus sistemas de esta amenaza creciente.

Fuentes:
https://www.bleepingcomputer.com/news/security/8base-ransomware-gang-escalates-double-extortion-attacks-in-june/

https://blogs.vmware.com/security/2023/06/8base-ransomware-a-heavy-hitting-player.html