México se ubicaba a fines de 2023 en el segundo país de Latinoamérica, solo detrás de Perú, con más detecciones únicas en cuanto refiere a Ransomware con un total del 16.3% de distribución en LATAM conforme a la telemetría de ESET.

La tendencia para este año 2024 es que el ransomware seguirá siendo un enorme desafío en nuestra región y para México en particular. Los ciberdelincuentes no distinguirán entre sectores públicos o privados, empresas grandes o pequeñas.

Durante este primer trimestre, y a pesar de los enormes esfuerzos de las diferentes agencias gubernamentales como el FBI por detener estas actividades ilícitas, la forma en que siguen operando estos grupos es a través del Ransomware-as-a-Service.

Los grupos que han sido desmantelados o frenados resurgieron al invitar a sus afiliados a migrar a otros medios haciendo de esto un tipo de cooperación entre comunidades, es decir, por si el grupo A falla, pueden asociarse al grupo B o C dependiendo de las ideologías y motivaciones que persigan sus nuevos usuarios.

En México, se observan también exafiliados a estos grupos que deciden mantener el código fuente aún funcional y adaptarlo a distintas circunstancias para sus fines nada éticos.

A continuación, repasamos las familias de ransomware más activas en México durante el primer trimestre de este 2024, a pesar de que estas ya han sido identificadas en años anteriores por parte de ESET, siguen siendo una amenaza presente en el territorio mexicano debido a carencia de emplear buenas prácticas por los administradores de los sistemas.

Ransomware BlackMatter en México

En publicaciones pasadas se ha hecho hincapié en el impacto de ALPHV y BlackCat (posible sucesor de BlackMatter) que han tenido en LATAM.

A pesar de que BlackMatter detuvo sus actividades “oficialmente” en noviembre del 2021, como se menciona en el post, recientemente investigaciones por parte de ESET, se observan muestras aún activas de este malware cuyas infecciones se debieron principalmente por las siguientes cuestiones:

• Los Sistemas Operativos Windows afectados eran aquellos que no contaban con parches aplicados debido a que ya no contaban con soporte (EoL), tampoco tenían instalado un producto antimalware y si contaban con alguno, este estaba totalmente desactualizado.
• El servicio de RDP estaba expuesto a Internet sin ningún firewall configurado y con contraseñas débiles susceptibles a ataques de fuerza bruta.
• Ausencia de soluciones para el monitoreo de servidores críticos.
• Implementación inadecuada de herramientas y/o políticas que pudieron detener la propagación de este malware.