Las autoridades han identificado a un joven de 16 años como el presunto operador principal del grupo de ransomware KillSec. Tras una operación internacional coordinada entre nueve países, con el apoyo de Eurojust y Europol, se logró desmantelar la infraestructura del grupo y realizar tres arrestos. Esta organización estaba vinculada a casi 1,000 incidentes de ransomware en todo el mundo.

Las autoridades han identificado a un joven de 16 años como el presunto operador principal del grupo de ransomware KillSec después de que una operación policial internacional desmantelara la infraestructura del grupo y provocara tres arrestos.

La acción coordinada, en la que participaron autoridades de nueve países y contó con el apoyo de Eurojust y Europol, se centró en un grupo vinculado a casi 1.000 incidentes de ransomware en todo el mundo.

Eurojust afirmó que se cree que los sospechosos robaron datos confidenciales de organizaciones y exigieron pagos para evitar su publicación.

KillSec ha estado activo desde 2024 y se hizo un nombre robando datos y ejerciendo presión pública contra las víctimas. Los investigadores señalaron que el grupo accedía a través de debilidades del software y puntos de acceso mal protegidos, siendo los entornos de almacenamiento en la nube un objetivo clave.

Tras obtener el acceso, los operadores presuntamente copiaban los datos de la víctima en sistemas bajo su control y los utilizaban para exigir el pago de un rescate.

Según se informa, el grupo enviaba a las víctimas muestras de los archivos robados para demostrar que poseía los datos. Si la víctima no pagaba, KillSec amenazaba con publicar la información o ponerla a disposición para su descarga gratuita a través de su plataforma de filtraciones.

Este método se conoce comúnmente como doble extorsión porque los criminales utilizan el riesgo de una filtración de datos para presionar a las víctimas, independientemente de si los archivos están cifrados o no.

Las autoridades identificaron a varias personas sospechosas de desempeñar diferentes funciones dentro de la operación de KillSec, incluyendo un administrador, un desarrollador, un negociador y un afiliado.

Las autoridades sospechan que el joven de 16 años es el administrador y operador principal. Los investigadores también identificaron a un presunto desarrollador que acaba de cumplir 18 años y que aún era menor cuando ocurrieron algunos de los presuntos delitos. El grupo utilizaba alias en línea y servicios de mensajería cifrados para ocultar las identidades reales de los implicados.

Eurojust coordinó el caso internacional, en el que participaron autoridades judiciales y policiales de Bélgica, Finlandia, Alemania, Grecia, Rumanía, España, Suiza, el Reino Unido y los Estados Unidos.

Las autoridades de Bélgica, Alemania, Grecia y Rumanía establecieron un equipo de investigación conjunto. Europol apoyó la operación preparando informes sobre la actividad de KillSec, ayudando a los investigadores a colaborar con socios del sector privado, rastreando movimientos de criptomonedas y examinando pruebas digitales.

Durante el día de la acción, los agentes llevaron a cabo ocho registros en España, Grecia, el Reino Unido y Rumanía. Las autoridades incautaron pruebas y activos, aseguraron al menos 110 TB de datos robados y tomaron el control de cinco servidores presuntamente utilizados para almacenar datos extraídos de las víctimas. También incautaron dominios operados por KillSec, cortando el acceso a la infraestructura pública del grupo.

La incautación de un volumen tan grande de datos puede ayudar a los investigadores a identificar organizaciones que no sabían que habían sido afectadas. Las autoridades están revisando ahora los dispositivos, servidores y archivos incautados, mientras rastrean los beneficios financieros conectados al grupo. Este trabajo podría revelar más miembros sospechosos, víctimas y actividades de ransomware vinculadas a KillSec.

La operación también demuestra por qué debes tratar la seguridad en la nube, los servicios expuestos y los controles de identidad como prioridades fundamentales de seguridad. Deberías revisar los permisos de almacenamiento en la nube, imponer la autenticación de múltiples factores, parchear rápidamente los sistemas expuestos a internet, supervisar las transferencias de datos inusuales y mantener copias de seguridad probadas. Estos controles pueden reducir la posibilidad de que los criminales obtengan acceso y copien datos antes de lanzar una demanda de ransomware.

KillSec había sido vinculado anteriormente a actividades dirigidas a entornos informáticos sanitarios, donde las configuraciones deficientes de la nube y las aplicaciones sin parchear pueden exponer registros altamente sensibles.

Se informó previamente sobre la actividad del ransomware KillSec que afectaba a los sistemas sanitarios y los riesgos creados por el almacenamiento en la nube expuesto.

Fuentes:
https://cybersecuritynews.com/16-year-old-leader-killsec-ransomware/