Una empresa de Fortune 50 pagó un rescate récord de 75 millones de dólares a la banda de ransomware Dark Angels, según un informe de Zscaler ThreatLabz.

"A principios de 2024, ThreatLabz descubrió una víctima que pagó a Dark Angels 75 millones de dólares, una cantidad superior a cualquier otra conocida públicamente, un logro que está destinado a atraer el interés de otros atacantes que buscan replicar tal éxito mediante la adopción de sus tácticas clave (que describimos a continuación)", se lee en el Informe 2024 de Zscaler sobre ransomware.

Este pago récord fue confirmado por la empresa de inteligencia criptográfica Chainalysis

El mayor pago de rescate conocido anteriormente fue de 40 millones de dólares, que el gigante de los seguros CNA pagó tras sufrir un ataque de ransomware de Evil Corp.

Aunque Zscaler no compartió qué empresa pagó el rescate de 75 millones de dólares, mencionó que la empresa estaba en la lista Fortune 50 y que el ataque se produjo a principios de 2024.

Una empresa de Fortune 50 que sufrió un ciberataque en febrero de 2024 es el gigante farmacéutico Cencora, que ocupa el puesto número 10 de la lista. Ninguna banda de ransomware reivindicó la autoría del ataque, lo que podría indicar que se pagó un rescate.

Dark Angels

Dark Angels es una operación de ransomware lanzada en mayo de 2022, cuando comenzó a atacar a empresas de todo el mundo.

Como la mayoría de las bandas de ransomware operadas por humanos, los operadores de Dark Angels penetran en las redes corporativas y se mueven lateralmente hasta que consiguen acceso administrativo. Durante este tiempo, también roban datos de los servidores comprometidos, que más tarde utilizan como ventaja adicional a la hora de pedir rescates.

Cuando obtienen acceso al controlador de dominio de Windows, los actores de la amenaza despliegan el ransomware para cifrar todos los dispositivos de la red.

Cuando iniciaron su operación, utilizaron cifradores de Windows y VMware ESXi basados en el código fuente filtrado del ransomware Babuk.

Sin embargo, con el tiempo, cambiaron a un cifrador Linux que era el mismo utilizado por Ragnar Locker desde 2021. Ragnar Locker fue desarticulado por las fuerzas de seguridad en 2023.

Este cifrador Linux se utilizó en un ataque de Dark Angels a Johnson Controls para cifrar los servidores VMware ESXi de la empresa.

En este ataque, Dark Angels afirmó haber robado 27 TB de datos corporativos y exigió el pago de un rescate de 51 millones de dólares.

Zscaler ThreatLabz dice que Dark Angels utiliza la estrategia de "Caza Mayor", que consiste en atacar sólo a unas pocas empresas de alto valor con la esperanza de obtener pagos masivos en lugar de a muchas empresas a la vez para obtener numerosos pero pequeños pagos de rescate.

"El grupo Dark Angels emplea un enfoque muy selectivo, atacando normalmente a una sola gran empresa a la vez", explican los investigadores de Zscaler ThreatLabz.

"Esto está en marcado contraste con la mayoría de los grupos de ransomware, que se dirigen a las víctimas de forma indiscriminada y subcontratan la mayor parte del ataque a redes afiliadas de intermediarios de acceso inicial y equipos de pruebas de penetración."

Según Chainalysis, la táctica de caza mayor se ha convertido en una tendencia dominante utilizada por numerosas bandas de ransomware en los últimos años.

Fuentes:
https://www.bleepingcomputer.com/news/security/dark-angels-ransomware-receives-record-breaking-75-million-ransom/